Ausnutzbarkeit belegen. Angriffspfade und Schutzwirkung prüfen.
Level 2 prüft, ob und unter welchen Bedingungen sich Schwachstellen ausnutzen lassen. Wir wählen die Prüffelder passend zu Ihren Systemen und Ihrem Ziel: Angriffswege nachvollziehen, Auswirkungen belegen und konkrete Maßnahmen ableiten.
Zum vereinbarten Umfang können Anmeldung, Sitzungen, Zugriffsrechte, Mandantentrennung, Geschäftslogik und Eingabeverarbeitung gehören. Bei APIs prüfen wir passende Objekte, Funktionen und Abläufe. Testkonten und erwartete Berechtigungen legen wir vorab fest.
Für freigegebene Systeme prüfen wir nach Vereinbarung erreichbare Dienste, Konfigurationen, Identitäten und Vertrauensbeziehungen. Zielsysteme, Umgebung, Berechtigungen und Prüftiefe stehen im Auftrag. Cloud-Konfigurationsprüfungen und aktive Infrastruktur-Pentests erhalten jeweils einen eigenen, klaren Umfang.
Wir prüfen Hinweise auf Betroffenheit und Voraussetzungen und validieren die Ausnutzbarkeit kontrolliert. Bestätigte Schwachstellen, offene Verdachtsfälle und nicht abschließend bewertbare Tests werden im Bericht klar unterschieden.
Ausgewählte Angriffsschritte bilden ein vereinbartes Szenario. Wir prüfen die Voraussetzungen, Berechtigungen und Übergänge eines Angriffspfads. Bei Adversary Emulation dokumentieren wir zusätzlich Technik, Reihenfolge und MITRE-ATT&CK-Bezug sowie die tatsächlich ausgeführten Schritte und ihre Nachweise.
Breach and Attack Simulation und die Prüfung von Schutzmaßnahmen zeigen, wie vereinbarte Kontrollen auf definierte Tests reagieren. Ausführung, Blockierung, Protokollierung und eingegangene Alarme werden einzeln ausgewertet. Geeignete Protokolle und weitere Nachweise stimmen wir vorab ab.
Ein nachvollziehbarer Bericht zu den vereinbarten Tests mit belegten Befunden, offenen Fragen und priorisierten Maßnahmen. Geprüfte Angriffspfade und Schutzreaktionen sind mit ihren Nachweisen dokumentiert.
Geprüft werden die schriftlich vereinbarten Systeme und Szenarien. Behebung wird separat beauftragt.
Prioritäten ergeben sich aus technischer Auswirkung, Erreichbarkeit und Geschäftskritikalität. CVSS, EPSS und CISA KEV ergänzen die Bewertung passender CVE-Befunde. Auch Fehler ohne CVE, etwa in der Mandantentrennung, werden im konkreten Systemkontext bewertet.
Sie erhalten einen Bericht auf Deutsch oder Englisch mit Managementüberblick, technischen Nachweisen, Abdeckung, offenen Fragen und priorisierten Maßnahmen. Ein vereinbarter Retest prüft die Behebung bezogen auf das ursprüngliche Prüfziel. Änderungen können Sie über Cyberkern Fix separat beauftragen.
Beschreiben Sie Ihr Vorhaben im Anfrageformular. Wir vereinbaren Prüffelder, Systeme, Berechtigungen, Ausschlüsse, Testfenster und Abbruchkriterien schriftlich. Der Auftrag umfasst die ausgewählten Prüfungen; vollumfängliches Red Teaming, verdeckte Langzeitoperationen und uneingeschränkte Angriffe sind nicht enthalten.
Systeme, Prüfumfang und Termin stimmen wir schriftlich ab.
