Vorgehensweise

1. Vorbereitung

   Wir besprechen wesentliche Kriterien wie Typ und Ziel des Produktpenetrationstests sowie organisatorische Maßnahmen mit Ihnen: Um welche Produkte oder Solutions geht es? Wie sollen sie betrachtet werden? Wer ist unsere Ansprechperson? Wollen Sie die Komponente als Ganzes oder nur die Firmware überprüfen lassen? Liegt das Augenmerkt auf der Prüfung der Verfügbarkeit von Produkten oder ist es Ihnen wichtig, den Schutz Ihres geistigen Eigentums besser einschätzen zu können? Wollen Sie mehr über potenzielle Schwachstellen in den von Ihnen genutzten, vertriebenen oder hergestellten Komponenten erfahren? Diese und weitere Fragen entscheiden über das grundsätzliche Vorgehen, Black- oder Whitebox-Test und die Aggressivität der Methoden. Ziel ist, die Grundlagen eines erfolgreichen Audits zu schaffen.

2. Informationsbeschaffung

   Wir sammeln relevante Daten, um verwertbare Erkenntnisse zu gewinnen. Während dieser Phase informieren wir uns über das zu analysierende Produkt: Welche Funktionen bietet es? In welchem Umfeld und wie bzw. wozu wird es genutzt? Welche Schnittstellen sind verfügbar und wie sind diese abgesichert? Welches Betriebssystem bzw. welche Firmware nutzt das Produkt und in welchen Programmiersprachen wurde es entwickelt?
   Dazu kann es nach Absprache sinnvoll sein, ein Produkt physisch zu untersuchen bzw. zu demontieren. Um sich auf den Angriff vorzubereiten, interagieren unsere Analyst:innen mit dem Zielsystem und definieren die Angriffsvektoren. Ebenso versuchen wir, Details über verwendete Technologien, Libraries und Versionsnummern zu erfassen. So gewinnen wir unter Umständen auch Informationen über Supply-Chain-Schwachstellen.

3. Analyse

   Aufbauend auf den so gewonnenen Erkenntnissen über Ihr Produkt nutzen wir verschiedene Methoden, um weitere Details zu ermitteln. Dies können z. B. veraltete Versionsstände, vorhandene Schwachstellen, konzeptionelle Fehler oder unsichere Betriebsmöglichkeiten sein. Aber auch hartkodierte Nutzer-Accounts oder Backdoors werden von uns gesucht. Bei diesem Vorgehen versuchen wir, immer weiter in Ihr Produkt einzudringen und Möglichkeiten zu finden, die auch von Cyberkriminellen sowohl zur Störung der Verfügbarkeit, zum Abgriff von Daten oder Ihres geistigen Eigentums als auch zur Manipulation genutzt werden können. Dazu bewerten und priorisieren wir jeden der gefundenen Ansatzpunkte und versuchen, Probleme zu entdecken, die Sie als Hersteller und Integrator, aber auch Ihre Kunden betreffen könnten. Wir werten alle neuen Informationen des Produkts aus und suchen damit weiter nach problematischen Eigenschaften. Wie tief wir dabei durch Iteration der zuvor erläuterten Schritte in Ihre Systeme vordringen, hängt von Ihren Zielen und Wünschen ab.

4. Reporting

   Sie erhalten eine ausführliche Dokumentation inklusive Management Summary, welche alle Erkenntnisse detailliert zusammenfasst sowie jede Schwachstelle ausführlich beschreibt, nach ihrem Gefahrenpotenzial gewichtet und mit einem entsprechenden Vorschlag für ihre Behebung ausweist. Dies ermöglicht es Ihnen, die Schwachstellen zu reproduzieren und nachzuvollziehen.

5. Cleaning

   Nach Abschluss des Auftrags entfernen unsere Analyst:innen alle Code Snippets, Skripte, Tools, Testdaten und andere Geräte, die bei dem „Angriff“ eingesetzt wurden, sodass sie später bei einem realen Angriff von Dritten nicht mehr verwendet werden können. Sollte das eigenständige Aufräumen nicht möglich sein, informieren wir Sie anhand einer genauen Anleitung, wie Sie verbliebene Artefakte selbst entfernen können.