Quelltext der Seite IT-Sicherheitsaudit

Als '''IT-Sicherheitsaudit''' ({{enS|'''IT security [[audit]]'''}}, von [[latein]]isch ''audit'' ‚er/sie hört‘, sinngemäß ‚er/sie überprüft‘) werden in der [[Informationstechnik]] (IT) Maßnahmen zur [[Risikoanalyse|Risiko-]] und [[Schwachstellenanalyse]] (engl. [[Vulnerability Scan]]) eines IT-[[System]]s oder [[Computerprogramm]]s bezeichnet. Bedrohungen für die Sicherheit können ausgehen von kriminellen Angriffen, von organisatorischen Mängeln aber auch von technischen Unfällen oder höherer Gewalt. [[Schwachstelle (Organisation)|Schwachstellen]] sind Fehler eines IT-Systems oder einer Organisation, durch die diese für Bedrohungen anfällig werden. Eine Bedrohung oder eine Schwachstelle allein reichen jedoch nicht aus, um die Sicherheit eines Systems zu gefährden. Eine Gefährdung für das angegriffene System besteht nur dann, wenn eine Bedrohung auf eine existierende Schwachstelle trifft. Die Ursachen für Schwachstellen sind vielseitig. Sie können in der Konzeption, Implementierung oder auch im Betrieb liegen und umfassen ebenfalls Design- oder Konstruktionsfehler, menschliches Fehlverhalten oder ungenügende Standortsicherheit. Schwachstellenanalysen dienen dazu, diese Fehler systematisch zu finden, um Bedrohungen und Angriffsszenarien abzuwenden<ref>{{Internetquelle |autor=Fraunhofer FOKUS Kompetenzzentrum Öffentliche IT |url=https://www.oeffentliche-it.de/trendsonar |titel=Das ÖFIT-Trendsonar der IT-Sicherheit - Schwachstellenanalyse |datum=2016-04 |abruf=2016-05-30}}</ref>. Sicherheitsaudits finden meist im Rahmen eines [[Qualitätsmanagement]]s statt und dienen der Reduzierung von [[Sicherheitslücke|Sicherheitslücken]] sowie der Einführung von [[Best practice]]s in einer [[Organisation]] (öffentliche [[Verwaltung]], [[Unternehmen]]). IT-Sicherheitsaudits zählen zum Bereich der [[Netzwerksicherheit|Netzwerk-]] und [[Informationssicherheit]].

In Anlehnung an die englischsprachigen [[Terminus technicus|Termini]] ''Security Test'' und ''Security Scan'' werden in der deutschsprachigen Literatur statt ''Sicherheitsaudit'' Begriffe wie ''Sicherheitsüberprüfung'' oder ''Sicherheitsprüfung'' verwendet. Meist sind hiermit nur Teilaspekte eines vollständigen Audits gemeint. Der Prozess des Audits wird häufig als [[Auditing (Informationstechnik)|Auditing]] bezeichnet, während die durchführende Person [[Auditor]] heißt.

== Übersicht ==
Regelmäßige IT-Sicherheitsaudits bilden einen unentbehrlichen Teil des deutschen [[IT-Grundschutz]]es. International sind die Management-Standards für IT-Sicherheitsaudits in der Norm [[ISO/IEC 27001]] der [[Internationale Organisation für Normung|ISO]] festgelegt. Darüber hinaus gibt es eine Reihe weiterer internationaler [[Sicherheitsrichtlinie|Security Policies]]. Diese dienen der Planung, Dokumentierung und ständigen Weiterentwicklung des [[Information Security Management System|Informationssicherheitsmanagementsystems]] eines Unternehmens (ISMS, ''siehe auch [[IT-Service-Management]]''). Die Audits werden meist von externen [[Experte]]n – auch ''Chief Audit Executives'' (CAE) genannt – in Absprache mit der Geschäftsführung durchgeführt. Der dabei erstellte Maßnahmenkatalog bildet die Grundlage für weitere Schritte durch die [[Systemadministrator|Administratoren]] der hausinternen IT-Abteilung. Sie sind für den laufenden Abgleich von Soll und Ist und die Wartung des Systems in Übereinstimmung mit der Security Policy des Unternehmens zuständig. Systeme können dabei [[Personal Computer]], [[Client-Server-Modell|Server]], [[Großrechner]] (Mainframes), [[Router]] oder [[Switch (Netzwerktechnik)|Switches]] umfassen. Anwendungen können beispielsweise [[Webserver]] wie [[Apache HTTP Server|Apache]], [[Datenbank]]-Systeme wie [[Oracle Database|Oracle]] oder [[MySQL]] und [[Mailserver]] umfassen.

Nach einer Bestandsaufnahme, der IT-Strukturanalyse, finden die jeweiligen [[Test]]s statt. Auf diese folgt in der Regel die Bewertung des Schutzbedarfs sowie eine Auswahl von Maßnahmen, welche in einem Maßnahmenkatalog festgehalten werden. Die Umsetzung der Maßnahmen wird aus Gründen der internen Sicherheit meist nicht vom Auditor selbst durchgeführt, da dieser nach Durchführung eines Audits mit den Sicherheitslücken des Unternehmens zu sehr vertraut ist. Mit der Unterzeichnung eines [[Geheimhaltungsvertrag|Non-Disclosure Agreements]] (NDA) verpflichtet sich der Auditor zur Geheimhaltung. Ein Auditor muss ausreichend Erfahrung im Netzwerkbereich mitbringen und in der Lage sein, sich in einen Angreifer hinein zu versetzen. Gründe und Ziele einer potenziellen Attacke entscheiden über die angewandte [[Methodik]].

Manuelle Maßnahmen einer [[Sicherheitsanalyse]] umfassen dabei:
* die [[Befragung]] der [[Belegschaft]] eines Unternehmens (''siehe [[Social Engineering (Sicherheit)|Social Engineering]]'')
* Security Scans mittels [[Portscanner]]n wie [[Nmap]], [[Sniffer]]n wie [[Wireshark]], [[Vulnerability Scanner]]n (engl. für „Verwundbarkeitsprüfer“) wie [[Nessus (Software)|Nessus]] und anderer Tools, nämlich ''Vulnerability Assessment'' (VA) Produkte
* die Überprüfung der [[Zugangskontrolle (Informatik)|Zugangskontrolle]] bei [[Anwendungsprogramm|Anwendungen]] und [[Betriebssystem]]en
* die Analyse des physikalischen Zugangs zum System.
Eine weitere Methode, Sicherheitsschwachstellen festzustellen, sind [[Penetrationstest (Informatik)|Penetrationstests]]. Sie bilden einen wesentlichen Bestandteil eines vollen IT-Sicherheitsaudits. Hierbei werden Angriffe von außen ([[Internet]]) als auch von innerhalb des Unternehmensnetzwerkes simuliert. Dieser Vorgang wird häufig auch als [[Hacker (Computersicherheit)|friendly Hacking]] und der Auditor als White-Hat-Hacker bezeichnet (''siehe auch [[Hackerethik]]'')

Das BSI IT-Sicherheitshandbuch trifft folgende Unterscheidung:<ref>{{
Literatur
 |Hrsg=[[Bundesamt für Sicherheit in der Informationstechnik|BSI]]
 |Titel=IT-Sicherheitshandbuch – Handbuch für die sichere Anwendung der Informationstechnik
 |Verlag=[[Bundesdruckerei]]
 |Ort=[[Bonn]]
 |Datum=1992-03
 |Kommentar=Version 1.0
 |Online=[http://www.bsi.bund.de/literat/kriterie.htm Online-Version]
 |Abruf=2008-11-09}}</ref>
* Informationsbasis (Black-Box, White-Box)
* Aggressivität (passiv, vorsichtig, abwägend, aggressiv)
* Umfang (vollständig, begrenzt, fokussiert)
* Vorgehensweise (offensichtlich, verdeckt)
* Technik (Netzwerkzugang, sonstige Kommunikation, physischer Zugang, Social Engineering)
* Ausgangspunkt (von außen, von innen)

Eine beliebte unauffällige (passive) Methode bei manuellen Audits ist das [[Google hacking]]. Während zur groben Abschätzung der IT-Infrastruktur eines Unternehmens oft ein Blick in öffentliche [[Stellenausschreibung]]en ausreicht, können mit Hilfe komplexer [[Suchmaschine]]nabfragen auf [[Google]], [[Live Search]], [[Yahoo (Webportal)|Yahoo]] Search und ähnlichen Suchmaschinen [[Vertraulichkeit|vertrauliche]] und sensible Daten unbemerkt erspäht werden. Die Bandbreite der „Security Nuggets“ (engl. für „Sicherheitsbrocken“) reicht dabei von privaten Informationen wie [[Kreditkartennummer]]n, [[Sozialversicherungsnummer]]n und [[Kennwort|Passwörtern]] sowie abgelegten Dateien wie internen Auditing-Berichten, Passwort-[[Hashfunktion|Hashes]] oder [[Logdatei]]en (Nessus, Sniffer) über unsichere offene Dienste wie [[Microsoft Outlook|OWA]], VPN und [[Remote Desktop Protocol|RDP]] bis zur Offenlegung zahlreicher Exploits und Schwachstellen der betreffenden [[Website]]s. Hierbei kommen bestimmte Suchmaschinenfilter und [[Datenbankoperator|Operatoren]] zum Einsatz. Mit der ''Google hacking Datenbank'' (GHDB) existiert eine eigene Sammlung bekannter [[Taktik (Militär)|Taktiken]] und Einsatzmöglichkeiten.<ref>{{Webarchiv |url=http://johnny.ihackstuff.com/ghdb/ |text=Google Hacking Database |wayback=20090808115759 }}</ref> Mehrere Anbieter von automatisierten Vulnerability Scannern für [[Webservice|Webdienste]] haben diese Datenbank in ihre Produkte integriert.<ref>Neben der freien Software {{Webarchiv |url=http://www.sensepost.com/research/wikto/ |text=Wikto Web Server Assessment Tool |wayback=20081014081708 }},  {{Webarchiv |url=http://ussysadmin.com/whcc/ |text=WHCC Web Hack Control Center |wayback=20081216060543 }} und rgod’s {{Toter Link |datum=2019-04 |url=http://johnny.ihackstuff.com/forums/showthread.php?t=2319 |text=Googledorks Scanner}} enthält der kommerzielle [http://www.acunetix.com/vulnerability-scanner/ Acunetix Web Vulnerability Scanner]sowie {{Webarchiv |url=http://www.foundstone.com/us/resources/proddesc/sitedigger.htm |text=SiteDigger |wayback=20081209001302 }} von [[McAfee]] Foundstone eine GHDB-Integration. Eine Auswahl weiterer Produkte findet sich unter [http://sectools.org/web-scanners.html Top 10 Web Vulnerability Scanners].</ref> Zur Erkennung einer „Google-hacking-Attacke“ können eigene [[Honeypot]]s eingerichtet werden.<ref>[http://ghh.sourceforge.net/ Google Hack Honeypot]</ref> Häufig finden sich im [[Quelltext|Quellcode]] von Websites Kommentare mit nützlichen Informationen für Angreifer. Werden diese Daten vom Anbieter einer Website gelöscht, sind sie in den meisten Fällen über den [[Cache]] einer Suchmaschine oder über [[Archiv]]e wie die [[Internet Archive|Wayback Machine]] der Öffentlichkeit nach wie vor zugänglich.

[[Datei:Nagios service detail.png|mini|Automatisiertes Auditing mit [[Nagios]]]]
Als Alternative oder Ergänzung zu den manuellen Auditing-Maßnahmen können ''computerunterstützte Auditing-Techniken'' (engl. ''Computer Assisted Auditing Techniques'', CAAT) eingesetzt werden. Solche automatischen Auditing-Maßnahmen sind Teil der Audit-Standards, welche vom ''American Institute of Certified Public Accountants'' (AICPA) herausgegeben werden und in den USA für die Verwaltung verpflichtend sind (''siehe [[Sarbanes-Oxley Act]]'').<ref>AICPA: {{Webarchiv |url=http://infotech.aicpa.org/Resources/System+Security+and+Reliability/Security+Standards+Frameworks+and+Guidelines/Federal+Information+Security+Management+Act/ |text=''Federal Information Security Management Act'' |wayback=20080724210437 }}, September 2003; abgerufen am 25. September 2008.</ref> Sie umfassen systemgenerierte Audit-Reports sowie die Verwendung von [[Monitoring]]-Software, welche Änderungen an [[Datei]]en oder Einstellungen auf einem System berichtet. Eine Checklist der AICPA soll Administratoren diese Arbeit erleichtern.<ref>AICPA: {{Webarchiv |url=http://www.aicpa.org/pubs/jofa/sep2003/chklist.htm |text=''Sarbanes-Oxley Software: Ten Questions to Ask'' |wayback=20080720155226 }}, September 2003; abgerufen am 25. September 2008.</ref> [[freie Software]] in diesem Bereich sind die Auditing- und Reporting-Software [[Tiger (Software)|TIGER]]<ref>[http://www.nongnu.org/tiger/ Tiger security audit and intrusion detection tool]</ref> und [[Open Source Tripwire]]<ref>Nachdem Tripwire, Inc. die Entwicklung an der GPL-Version im Jahr 2000 einstellte, entstanden als Folgeprojekte [http://sourceforge.net/projects/tripwire/ Open Source Tripwire] und {{Webarchiv |url=http://www.cs.tut.fi/~rammer/aide.html |text=AIDE |wayback=20081016041221 }} (Advanced Intrusion Detection Environment).</ref> sowie die Monitoring-Software [[Nagios]]. Hauptzweck dieser Produkte ist die Dokumentation und Warnung bei Änderungen am System.

== Richtlinien und Maßnahmen ==
=== Standards und Methodik ===
Die von Sicherheitsexperten vorgeschlagenen Richtlinien und Maßnahmenkataloge im Bereich der IT-Sicherheit sind sehr umfangreich. So gibt es neben der ISO/IEC 27001 auch noch die [[ISO/IEC 17799]] sowie die diesen zu Grunde liegende britische [[BS 7799]]. Ferner existieren die Sicherheitsarchitektur [[X.800]], die [[IT-Grundschutz-Kataloge]] (früher IT-Grundschutzhandbuch) des [[Bundesamt für Sicherheit in der Informationstechnik|BSI]], die Verfahrensbibliothek [[ITIL]] sowie die [[Information Technology Security Evaluation Criteria|ITSEC]]-Kriterien. Das Audithandbuch ''[[Open Source]] Security Testing Methodology Manual'' (OSSTMM) des ''Institute for Security and Open Methodologies'' (ISECOM) unterscheidet entsprechend der möglichen Angriffsmöglichkeiten fünf Kategorien der [[Interaktion|Sicherheitsinteraktion]], Kanäle genannt<ref>{{Literatur
 |Autor=Brian Hatch, James Lee, George Kurtz
 |Hrsg=[[McAfee]], ISECOM
 |Titel=Hacking Linux Exposed: Linux Security Secrets and Solutions
 |Verlag=McGraw-Hill / Osborne
 |Ort=Emeryville, [[Kalifornien|California]]
 |Datum=2003
 |Seiten=xxx, 7 f.
 |Online=[http://books.google.at/books?id=pt-3rbiyVVIC Voransicht bei Google]; [http://www.hackinglinuxexposed.com/ Website zum Buch]
}}<br />
Pete Herzog: ''OSSTMM – Open Source Security Testing Methodology Manual''. 3, ISECOM, New York, 1. August 2008.</ref>:
* physikalische Interaktion
* [[Telekommunikation]] ([[Analogsignal|analoge]] [[Kommunikation]])
* [[Netzwerk|Datennetzwerke]] (Paketkommunikation)
* drahtlose Interaktion
* menschliche Interaktion

Grundsätzlich muss sich ein Unternehmen zwischen unterschiedlichen Risikoanalysestrategien entscheiden und darauf aufbauend die Ziele eines Auditings festlegen. Da die Durchführung einer detaillierten Risikoanalyse einer gesamten Organisation teuer und aufwändig ist, wird meist eine Kombination aus Grundschutzmaßnahmen (Baseline Security Controls) und Schutzbedarfsfeststellung (High Level Risk Analysis) gewählt. Alle Systeme, deren Risiko über niedrig bis mittel, also bei hoch bis sehr hoch liegt, werden einer detaillierten Risikoanalyse unterzogen. Je nach möglichem Schadensausmaß (dem Wert der bedrohten Objekte) und Relevanz ergibt sich eine unterschiedliche Risikobewertung und somit auch ein unterschiedlicher Schutzbedarf.<ref>{{Literatur |Hrsg=[[Bundeskanzleramt (Österreich)|Österreichisches Bundeskanzleramt]], Informationssicherheitsbüro |Titel=Österreichisches Informationssicherheitshandbuch |Verlag=Österreichische Computer Gesellschaft (OCG) |Ort=Wien |Datum=2007 |ISBN=978-3-85403-226-7 |Seiten=35 ff. |Online=[http://www.a-sit.at/de/sicherheitsbegleitung/sicherheitshandbuch/index.php Online-Version] |Abruf=2008-11-05}}</ref>

Die Bandbreite der vorgeschlagenen Maßnahmen reicht von der Einrichtung einer [[Demilitarisierte Zone (Informatik)|DMZ]] für externe Dienste und der Trennung des Netzwerks in unterschiedliche [[Netzwerksegment|Segmente]] durch [[Virtual Local Area Network|VLANs]] (beispielsweise ein separates VLAN für [[Drucker (Gerät)|Netzwerkdrucker]], ein weiteres für [[Wireless Local Area Network|WLAN]], Abteilung A, Abteilung B, Geschäftsführung und so fort) sowie der Einschränkung der [[Autorisierung]] des Zugriffs von außen auf das Netzwerk über [[Virtual Private Network|VPN]]<ref>Eine verbreitete [[SSL-VPN]]-Lösung ist [[OpenVPN]]. Eine Browser-basierte Alternative wäre der [http://sourceforge.net/projects/sslexplorer/ SSL-Explorer]. Beide stehen unter der [[GNU General Public License|GPL]]. Zum besseren Verständnis siehe Johannes Franken: [http://www.jfranken.de/homepages/johannes/vortraege/ssh3_inhalt.de.html ''OpenSSH Teil 3: Firewalls durchbohren'']; abgerufen am 25. September 2008.</ref> über den Einsatz von [[Verschlüsselung]]smechanismen, die Einrichtung und Wartung von [[Firewall]]s, [[Intrusion Detection System|IDS]]/[[Intrusion Prevention System|IPS]], [[Virenschutz]], [[Zugriffskontrolle#Physische Zugriffskontrolle|Geräte- oder Endpunktkontrolle]] und [[Identitätsmanagement#Identitätsmanagement von Unternehmen|Identitätsmanagement]] sowie die Evaluierung der vorhandenen [[Benutzerprofil]]e und [[Access Control List|Zugriffskontrolllisten]] (ACLs) sowohl auf den Arbeitsplatzrechnern als auch im Netzwerk bis hin zur Einrichtung eines zentralen Update-Servers für alle Betriebssysteme (''siehe z.&nbsp;B. [[Windows Server Update Services|Windows Update Server]]'').<ref>AICPA: {{Webarchiv |url=http://infotech.aicpa.org/Resources/System+Security+and+Reliability/Security/Solutions/ |text=''Security Solutions'' |wayback=20080724201952 }}, September 2003; abgerufen am 25. September 2008.</ref>

Sicherheitsexperten haben die Möglichkeit, ihr Wissen potenziellen Kunden gegenüber durch anerkannte [[Liste der IT-Zertifikate|Zertifizierungen]] nachzuweisen. Darunter fallen unter anderem der [[CISSP]] von der International Information Systems Security Certification Consortium, der [[Certified Information Systems Auditor|CISA]] und der [[Certified Information Security Manager|CISM]] von der [[ISACA]], der ''OSSTMM Professional Security Tester'' (OPST) und der ''OSSTMM Professional Security Analyst'' (OPSA) der ISECOM, eine der zahlreichen ITIL- oder [[Linux Professional Institute|LPI]]-Zertifizierungen, sowie solche der [[APO-IT]] oder von im IT-Sicherheitssektor angesehener Firmen wie [[Cisco]]. In [[Österreich]] existiert für [[IT-Berater]] ferner die Auszeichnung des [[Ingenieurkonsulent für Informatik|IT-Ziviltechnikers]]. Diese und weitere Zertifikate können in speziellen [[Lehrgang|Lehrgängen]] erworben werden.

=== Regulatorische Entwicklungen ===
Die [[NIS-2-Richtlinie]] (EU 2022/2555) erweitert seit Januar 2023 die Anforderungen an [[Sicherheitsaudit|IT-Sicherheitsaudit]] in der EU erheblich.<ref>{{Internetquelle |url=https://www.nis.gv.at/nis-2-richtlinie.html |titel=Die neue NIS-2-Richtlinie |sprache=de |abruf=2026-01-16}}</ref> Betroffene Unternehmen müssen regelmäßige [[Risikobewertung|Risikobewertungen]] durchführen und die Sicherheit ihrer [[Lieferkette|Lieferketten]] berücksichtigen.<ref>{{Internetquelle |url=https://www.wko.at/it-sicherheit/nis2-uebersicht |titel=Cybersicherheits-Richtlinie NIS 2 und NISG 2026 |sprache=de-AT |abruf=2026-01-16}}</ref> Experten empfehlen Unternehmen, die in die Lieferkette eines NIS-2 pflichtigen Partners fallen, einen strukturierten Ansatz mit übergreifenden Sicherheitsaudits zur systematischen Schwachstellenanalyse.<ref>{{Internetquelle |url=https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Infopakete/NIS-2-Lieferkette/NIS-2-Lieferkette_node.html |titel=#nis2know Sichere Lieferkette |sprache=de-DE |archiv-url=http://web.archive.org/web/20251028134138/https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Infopakete/NIS-2-Lieferkette/NIS-2-Lieferkette_node.html |archiv-datum=2025-10-28 |abruf=2026-01-16}}</ref>

== Ablauf eines Audits ==
[[Datei:Zombie-process.png|mini|Kompromittierte PCs in einem [[Botnet]]]]

Audits verlaufen im Wesentlichen nach demselben Muster wie bösartige Angriffe. Hacker-Attacken können nach Methode und Zielsetzung grob in drei unterschiedliche Typen unterteilt werden:
* passiv
* aktiv
* aggressiv
Ziel eines '''passiven''', automatisierten Angriffs durch [[Skriptsprache|Skripte]] und [[Bot]]s kann beispielsweise die Ausweitung eines [[Botnet]]s sein. Insbesondere [[Computerwurm|Würmer]] werden zur automatisierten Ausnutzung von Schwachstellen eingesetzt. Andere bösartige Computerprogramme zur Verbreitung derartiger Bots sind [[Computervirus|Viren]] und [[Trojanisches Pferd (Computerprogramm)|Trojaner]]. Bei erfolgter Kompromittierung eines (als [[Zombie (Internet)|Zombie]] bezeichneten) [[Computer]]s kann dieser zum Versenden von [[Spam]], als [[Datenspeicher]] für [[Schwarzkopie]]n, zum Ausführen von [[Denial of Service|DDoS]]-Attacken und dergleichen genutzt werden.<br />
Durch einen '''aktiven''', manuellen Angriff können sensible [[Ausspähen von Daten|Daten ausgelesen]] oder bei Installation eines [[Backdoor]]s Benutzer [[Spionage|ausspioniert]] und Anwendungen durch den Angreifer kontrolliert werden.<br />
'''Aggressive''' Angriffe sind meist politisch motiviert und sollen in der Regel einen Systemausfall bewirken.<br />
Die Grenzen der Angriffsarten sind fließend.

Ein Audit besteht somit aus mehreren Phasen. Wurden Daten wie der zu scannende [[IP-Adresse|IP-Adressbereich]] (IP-Range) vom Kunden nicht bekannt gegeben, handelt es sich um einen [[Black-Box-Test]]. Hier kann im ersten Schritt ein [[Footprinting]] für den Auditor von Nutzen sein, um eine ungefähre [[Netzwerktopologie]] zu entwerfen. Dieser Schritt entfällt bei einem [[White-Box-Test]]. Das Erstellen einer Netzwerktopologie wird auch ''„Network Mapping“'' (engl. für „Netzwerkabbildung“) genannt. Im nächsten Schritt wird das [[Rechnernetz|Computernetz]] mit einem automatischen Vulnerability Scanner auf potenzielle Schwachstellen hin überprüft. Um [[Falsch positiv|False Positives]] auszuschließen, ist eine genaue Auswertung der Resultate nötig. Eine weitere Phase eines Audits kann ein ''[[Penetrationstest (Informatik)|Penetrationstest]]'' (PenTest) auf Grundlage der in der Schwachstellenanalyse gewonnenen Erkenntnisse sein. Die Ergebnisse werden schließlich in einem ausführlichen Bericht zusammengefasst, welcher durch einen ''Maßnahmenkatalog'' zur Risikominimierung beziehungsweise -dezimierung zu ergänzen ist.

Vor einem Audit müssen Fragen wie Umfang, Dauer und Methoden abgeklärt werden. Darf der Betrieb in einem Unternehmen durch das Auditing nicht gestört werden, muss beispielsweise auf das Ausnutzen von etwaigen [[Programmfehler]]n (Bugs) beziehungsweise Sicherheitslöchern wie [[Pufferüberlauf|Pufferüberläufe]] in Software – [[Exploit]] genannt – verzichtet werden. Stark verbreitet sind hier [[Denial of Service|DoS-Attacken]].<ref>Tools zum Durchführen von DoS-Attacken finden sich im Artikel [http://www.cisco.com/en/US/tech/tk59/technologies_white_paper09186a0080174a5b.shtml ''Strategies to Protect Against Distributed Denial of Service (DDoS) Attacks'']. Weitere Dokumente und nützliche Ressourcen finden sich auf {{Webarchiv |url=http://www.computec.ch/download.php?list.7 |text=computec.ch |wayback=20051202164337 }} und auf [http://www.packetstormsecurity.com/papers/contest/ packetstormsecurity.com].</ref> Das Herausfiltern von potenziellen Sicherheitslücken in einem System wird als ''„Vulnerability Mapping“'' bezeichnet. Hierbei erstellt der Auditor eine Liste aller laufenden Dienste samt bekannter Bugs. Diese können beispielsweise auf [[Bugtraq]], der [[Common Vulnerabilities and Exposures|CVE-Liste]] oder beim [[Computer Emergency Response Team|US-CERT]] abgefragt werden.<ref>Für GNU/Linux siehe linuxsecurity.com: [http://www.linuxsecurity.com/content/section/3/170/ ''Linux Advisory Watch'']</ref>

Zu den häufigsten Sicherheitslücken zählen laut [[McAfee]]<ref>{{
Literatur
 |Autor=Stuart McClure, Joel Scambray, George Kurtz
 |Hrsg=[[McAfee]]
 |Titel=Hacking Exposed: Network Security Secrets & Solutions
 |Verlag=McGraw-Hill Professional
 |Ort=Emeryville, [[Kalifornien|California]]
 |Datum=2005
 |ISBN=0-07-226081-5
 |Umfang=692
 |Online={{Google Buch |BuchID=J5CDISzdA1EC}}
}}</ref>:
* Vorgabeeinstellungen (default settings) bei kaum konfigurierten Routern, Firewalls, Webservern
* einfache, unverschlüsselte und/oder voreingestellte Passwörter (Fabrikseinstellung)
* mangelnde Sicherheits-, Wartungs- und Programmierkompetenzen beim Personal
* mangelnde Sicherheitskonzepte wie [[Security through obscurity]], fahrlässiger Umgang mit vertraulichen Daten, Anfälligkeit für [[Social Engineering (Sicherheit)|Social Engineering]]
* mangelnde Wartungskonzepte, beispielsweise seltene [[Softwareaktualisierung|Updates]] und Passwortänderungen, oder mangelndes [[Monitoring]]
* schlechte Programmierkonzepte wie fehlende [[Qualitätssicherung|QA]] und [[Review (Softwaretest)|Code Reviews]] sowie Vernachlässigung des Sicherheitsaspekts<ref>vgl. [[Software Quality Assurance Plan]] sowie SunWorld: [http://sunsite.uakom.sk/sunworldonline/swol-08-1998/swol-08-security.html ''The Unix Secure Programming FAQ'']</ref>
* Verwendung unsicherer Dienste wie [[telnet]], [[Simple Network Management Protocol|SNMP]], [[Remote Desktop Protocol|RDP]], [[X Window System|X]], [[Server Message Block|SMB]], [[Remote Procedure Call|MSRPC]], [[Grafische Benutzeroberfläche|Web-Guis]] wie [[Outlook Web Access|OWA]]
* schlecht (meist in Eile) entwickelte Anwendungen mit Buffer Overflows, Format string vulnerabilities, integer overflows und/oder fehlender Eingabeprüfung

Zum Ausführen von Exploits dienen meist fertige Skripte wie sie beispielsweise auch von [[Scriptkiddie]]s bei ihren Angriffen verwendet werden. Eine Sammlung von Exploits für viele gängige Betriebssysteme bietet [[Metasploit]], ein Framework zum Erstellen und Testen von Exploits für Sicherheitslücken. Es ist eines der verbreitetsten Werkzeuge für PenTests.<ref>Achim Eidenberg: [https://www.heise.de/security/artikel/Metasploit-Exploits-fuer-alle-270766.html ''Metasploit: Exploits für alle''], 6. Januar 2006</ref>

[[Datei:Zenmap.png|mini|Portscanner [[Nmap]] unter Windows mit Zenmap-GUI]]
Der Portscanner Nmap kann dabei verwendet werden, um Informationen über die Aktualität der am Zielsystem laufenden Anwendungen ([[Version (Software)|Version]] und [[Patch (Software)|Patchlevel]]) zu gewinnen sowie zur Erkennung des Betriebssystems durch [[OS-Fingerprinting]].<ref>Fyodor: {{Webarchiv |url=http://www.computec.ch/download.php?view.190 |text=''Das Erkennen von Betriebssystemen mittels Stack-Fingerprinting'' |wayback=20071228215259 }}</ref> Das grafische Network Mapper [[Front-End und Back-End|Frontend]] nmapfe wurde mittlerweile durch zenmap ersetzt, welches seinerseits aus Umit<ref>[http://www.umitproject.org/ Umit nmap frontend]</ref> hervorgegangen ist. [[Banner Grabbing]] und Port Scanning können alternativ auch mit [[Netcat]] durchgeführt werden.<ref>Johannes Franken: [http://www.jfranken.de/homepages/johannes/vortraege/netcat.de.html Vortrag zu netcat].</ref> Eine effiziente und schnelle Alternative zum verbreiteten Nmap bietet unter Umständen PortBunny.<ref>[[Linux-Magazin]]: [http://www.linux-magazin.de/heft_abo/ausgaben/2008/05/von_port_zu_port ''Von Port zu Port''], Mai 2008.</ref> Nmap ist jedoch eines der mächtigsten und verbreitetsten Tools auf dem Gebiet.<ref>SelfLinux: [http://www.selflinux.org/selflinux/html/nmap.html ''nmap – der Netzwerksicherheits-Scanner'']</ref>

Bekannte Sicherheitslücken können mit dem Vulnerability Scanner Nessus ausfindig gemacht werden. Auch eine manuelle Prüfung von Exploits in Web-Applikationen wie [[SQL-Injection]] oder [[Cross-Site-Scripting]] ist mit Nessus möglich. Verwandte Angriffe in diesem Bereich sind: [[Session Fixation]], [[Cross-Site-Cooking]], [[Cross-Site-Request-Forgery]] (XSRF), [[URL-Spoofing]], [[Phishing]], [[E-Mail-Spoofing]], [[Session Poisoning]], [[Cross-Site-Tracing]] (XST).

Weil Nessus ein sehr „lautes“ Tool ist, sein Gebrauch in einem Netzwerk also leicht festzustellen ist, werden oftmals „leise“ (meist passive) Tools wie firewalk ([[Paketfilter]]ing [[Iterator (Entwurfsmuster)|Enumerator]]), hping3 ([[TCP/IP]]-Paketanalyse mit [[Traceroute]]-Modus) oder nmap bevorzugt. Zum Testen von Web-Applikationen existiert ferner der Nikto Web Scanner, der allein betrieben oder in Nessus eingebunden werden kann.<ref>HowtoForge: [http://www.howtoforge.com/apache_security_testing_with_nikto ''Security Testing your Apache Configuration with Nikto''], 11. August 2006.</ref>

Häufig wird bei IT-Sicherheitsaudits (in Absprache mit der IT-Abteilung) versucht, [[Computervirus|Viren]], [[Computerwurm|Würmer]] und [[Trojanisches Pferd (Computerprogramm)|Trojaner]] und sonstige [[Malware]] in ein System einzuschleusen. Dies geschieht meist durch Social Engineering, indem der Auditor beispielsweise an alle User ein „wichtiges Sicherheitsupdate“ per Mail sendet oder persönlich überreicht. Auf diese Weise kann vorhandene Antivirensoftware, [[Personal Firewall]], [[Paketfilter]], [[Intrusion Prevention System]] und dergleichen auf Aktualität und Wirksamkeit hin überprüft werden. Wichtiger jedoch ist die Frage, wie die Anwender reagieren und ob sie den Sicherheitsrichtlinien des Unternehmens folgen.

Mit Tools wie [[John the Ripper]] kann versucht werden, Passwörter im System zu knacken.<ref>Vgl. die [[Frequently Asked Questions|FAQ]] zum Thema Sicherheit auf der Website des [[Chaos Computer Club]]: {{Webarchiv |url=http://www.ccc.de/faq/security?language=de |text=''FAQ – Sicherheit'' |wayback=20040818211615}}.</ref> Diese können beispielsweise aus einem mittels Sniffern wie Wireshark oder [[tcpdump]] gewonnenen [[Hashfunktion|Hash]] ausgelesen werden. Hierzu sind auch [[Plug-in]]s für Nessus erhältlich. Verborgene [[Rootkit]]s können mit [[Chkrootkit]] entdeckt werden. Auch gewöhnliche [[Unix]]-Bordmittel wie [[lsof]] (list open files) oder [[top (Unix)|top]] zur [[Prozess-Scheduler|Prozessverwaltung]] können hier helfen. Unter [[Microsoft Windows|Windows]] empfiehlt sich die Verwendung der [[Winternals|Sysinternals]] Suite von [[Mark Russinovich]].<ref>[[Microsoft]]: [http://technet.microsoft.com/de-de/sysinternals/0e18b180-9b7a-4c49-8120-c47c5a693683(en-us).aspx Sysinternals Suite]</ref>

Die meisten der beschriebenen Tools finden sich unter anderem in den folgenden auf [[Linux|GNU/Linux]] basierenden [[Live-System]]en:<ref>Eine Übersicht findet sich auf {{Webarchiv |url=http://securitydistro.com/ |text=Archivierte Kopie |wayback=20081006204527 }}.</ref> [[BSI OSS Security Suite]] (BOSS), [[BackTrack]]<ref>{{Webarchiv |url=http://www.remote-exploit.org/backtrack_download.html |text=BackTrack Downloads |wayback=20081006065026 }}</ref> (früher: Auditor Security Collection), [[Knoppix]] STD (Security Tools Distribution)<ref>[http://s-t-d.org/download.html Knoppix STD: Download]</ref>, Network Security Toolkit (NST),<ref>[http://www.networksecuritytoolkit.org/ ''Network Security Toolkit'']</ref> [[Liste von Linux-Distributionen#Ubuntu und Derivate|nUbuntu]]<ref>{{Webarchiv |url=http://www.nubuntu.org/downloads.php |text=nUbuntu: Download |wayback=20081006074442 }}</ref> (oder Network [[Ubuntu (Betriebssystem)|Ubuntu]]), Helix.<ref>[http://www.e-fense.com/helix/Download.html Helix: Downloads]</ref> BackTrack wurde im März 2006 von Darknet zur besten Security Live-CD gekürt.<ref>[http://www.darknet.org.uk/2006/03/10-best-security-live-cd-distros-pen-test-forensics-recovery/ ''10 Best Security Live CD Distros (Pen-Test, Forensics & Recovery)'']</ref>

Neben den zahlreichen freien [[Free/Libre Open Source Software|FOSS]]-Tools<ref>vgl. {{Toter Link |datum=2018-04 |url=http://blupenguin.com/2008/06/15/a-bunch-of-network-admins-applications-linux/ |text=A bunch of network admin’s applications (Linux)}}</ref> existiert eine Reihe von weit verbreiteten [[Closed Source|Closed-Source]]-Produkten wie der Paketanalyseplattform OmniPeek von WildPackets, dem Web Application Security Scanner N-Stalker,<ref>[http://www.nstalker.com/products/ Products | N-Stalker]</ref> den automatischen Vulnerability Scannern Qualys,<ref>[http://www.qualys.com/products/trials/ Qualys Tools & Trials]</ref> SecPoint Penetrator Vulnerability Scanner<ref>{{Internetquelle |url=https://www.secpoint.com/ |titel=SecPoint {{!}} Vulnerability Scanning {{!}} UTM Firewall {{!}} WiFi Pentest |abruf=2023-12-21}}</ref> Retina von eEye Digital Security,<ref>[http://www.eeye.com/html/products/Retina/ eEye Digital Security » Retina]</ref> den automatischen Vulnerability Scannern Quatrashield,<ref>[http://www.quatrashield.com/ Quatrashield Scanner Tools]</ref> [[IBM]] Internet Scanner (vormals: Internet Security Scanner)<ref>{{Webarchiv |url=http://www-935.ibm.com/services/us/index.wss/offering/iss/a1027208 |text=IBM - Internet Scanner |wayback=20080618081641 }}</ref>, Shadow Security Scanner<ref>[http://www.safety-lab.com/en/products/securityscanner.htm SafetyLab: Shadow Security Scanner]</ref> und GFI LANguard Network Security Scanner,<ref>[http://www.gfi.com/lannetscan/ GFI LANguard Network Security Scanner]</ref> sowie dem Paketsniffer [[Cain & Abel]] und anderen. Kostenpflichtige Tools zur Erstellung von Sicherheitskonzepten auf Basis des IT-Grundschutzes sind das [[GSTOOL]] des BSI sowie [[SecuMax]] und die HiScout GRC Suite. Im Unterschied zu den meisten freien Tools funktionieren die meisten dieser Produkte jedoch nur unter Windows. Eine freie und betriebssystemübergreifende Alternative zum GSTOOL bietet das auf [[Java-Plattform|Java]] basierende ISMS-Tool [[Verinice]].<ref>[http://verinice.org/Downloads.48.0.html Downloads: Verinice]</ref>

== Siehe auch ==
* [[Informationssicherheit]]
* [[ISO/IEC 17799]]
* [[OpenBSD-Sicherheitsmerkmale]]
* [[Penetrationstest (Informatik)|Penetrationstest]]

== Literatur ==
<!-- nach alter: älteste zuerst -->
* {{Literatur
   |Autor=Anonymous
   |Hrsg=Que
   |Titel=Maximum Security
   |Auflage=4.
   |Verlag=Sams Publishing
   |Ort=[[Indianapolis]], [[Indiana]]
   |Datum=2002
   |ISBN=0-672-32459-8
   |Kommentar=inkl. CD-ROM
   |Online=[http://safari.informit.com/0672324598?tocview=true Online-Version]
   |Umfang=976}}
* {{Literatur
   |Autor=Brian Hatch, James Lee, [[George Kurtz]]
   |Hrsg=[[McAfee]], ISECOM
   |Titel=Hacking Linux Exposed: Linux Security Secrets and Solutions
   |Verlag=McGraw-Hill / Osborne
   |Ort=Emeryville, [[Kalifornien|California]]
   |Datum=2003
   |ISBN=0-07-222564-5
   |Online=[http://books.google.at/books?id=pt-3rbiyVVIC Voransicht bei Google]; [http://www.hackinglinuxexposed.com/ Website zum Buch]
   |Umfang=712}}
* {{Literatur
   |Autor=Stuart McClure, Joel Scambray, George Kurtz
   |Hrsg=McAfee
   |Titel=Hacking Exposed: Network Security Secrets & Solutions
   |Verlag=McGraw-Hill / Osborne
   |Ort=Emeryville, California
   |Datum=2005
   |ISBN=0-07-226081-5
   |Online=[http://books.google.de/books?id=J5CDISzdA1EC Voransicht bei Google]
   |Umfang=692}}
* {{Literatur
   |Autor=Johnny Long, Ed Skoudis
   |Titel=Google Hacking for Penetration Testers
   |Verlag=Syngress
   |Datum=2005
   |ISBN=1-931836-36-1
   |Online=[http://books.google.at/books?id=fKsc9NwsNpMC Voransicht bei Google]
   |Umfang=448}}
* {{Literatur
   |Autor=Sasha Romanosky, Gene Kim, Bridget Kravchenko,
   |Hrsg=Institute of Internal Auditors
   |Titel=Managing and Auditing IT Vulnerabilities
   |Sammelwerk=Global Technology Audit Guide
   |Band=6
   |Ort=Altamonte Springs, FL
   |Datum=2006
   |ISBN=0-89413-597-X
   |Online=[http://www.theiia.org/guidance/technology/gtag/ Online-Version] der gesamten Serie}}
* {{Literatur
   |Autor=Joel Scambray, Stuart McClure
   |Titel=Hacking Exposed Windows: Windows Security Secrets and Solutions
   |Datum=2007
   |ISBN=0-07-149426-X
   |Online=[http://books.google.at/books?id=-bkRryv377QC Voransicht bei Google]; [http://www.winhackingexposed.com/ Website zum Buch]
   |Umfang=451}}
* {{Literatur
   |Autor=Christian Hawellek
   |Hrsg=[[EICAR]]
   |Titel=Die strafrechtliche Relevanz von IT-Sicherheitsaudits
   |Verlag=Grin Verlag
   |Datum=2007
   |Online=[http://www.eicar.org/files/hawellek_leitfaden_.pdf Online-Version]; PDF
   |Umfang=15}}
* {{Literatur
   |Autor=Dennis Jlussi
   |Hrsg=EICAR
   |Titel=Strafbarkeit beim Umgang mit IT-Sicherheitstools nach dem 41. Strafrechtsänderungsgesetz zur Bekämpfung der Computerkriminalität
   |Verlag=Grin Verlag
   |Datum=2007
   |Online=[http://www.eicar.org/press/infomaterial/JLUSSI_LEITFADEN_web.pdf Online-Version]; PDF
   |Umfang=13}}
* {{Literatur
   |Hrsg=[[Bundeskanzleramt (Österreich)|Österreichisches Bundeskanzleramt]], Informationssicherheitsbüro
   |Titel=Österreichisches Informationssicherheitshandbuch
   |Verlag=Österreichische Computer Gesellschaft (OCG)
   |Ort=Wien
   |Datum=2007
   |ISBN=978-3-85403-226-7
   |Online=[http://www.a-sit.at/de/sicherheitsbegleitung/sicherheitshandbuch/index.php Online-Version]
   |Abruf=2008-11-05}}
* {{Literatur
   |Autor=[[Marc Ruef]]
   |Titel=Die Kunst des Penetration Testing
   |Auflage=1.
   |Verlag=Computer & Literatur (CuL)
   |Ort=Böblingen
   |Datum=2007
   |ISBN=3-936546-49-5
   |Umfang=911}}

== Weblinks ==
* [http://sectools.org/ Top 100 Network Security Tools], Insecure.Org 2006
* [https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Studien/Penetrationstest/penetrationstest_pdf.pdf?__blob=publicationFile&v=2 Durchführungskonzept für Penetrationstests], [[Bundesamt für Sicherheit in der Informationstechnik|BSI]] im November 2003
* [http://infotech.aicpa.org/Resources/System+Security+and+Reliability/Security/Vulnerability+Assessment/Managing+and+Auditing+IT+Vulnerabilities.htm Managing and Auditing IT Vulnerabilities] (aus: ''Global Technology Audit Guide'') mit Zusammenfassung durch die AICPA
* [http://oval.mitre.org/ Open Vulnerability Assessment Language] (OVAL): offener Mitre-Standard für Sicherheitslücken
* [http://www.securityfocus.com/ SecurityFocus]: Community von IT-Sicherheitsexperten
* [http://www.boris-koch.de/2011/01/19/google-hacking-datenpannen-und-deep-web/ Blog Boris Koch]: Fachbericht zum Thema Google Hacking, Datenpannen und Deep Web

== Einzelnachweise ==
<references responsive />

{{SORTIERUNG:Itsicherheitsaudit}}
[[Kategorie:IT-Sicherheit]]
[[Kategorie:Qualitätsmanagement (Softwaretechnik)]]