Ein ausgeführter Test ist noch keine wirksame Erkennung.

Eine präzise Fragestellung

Bei einer Angriffsemulation lohnt es sich, das Ziel vor dem Test schriftlich festzulegen. Soll die Ausführung verhindert werden? Soll eine bestimmte Aktion in den Protokollen sichtbar sein? Oder soll ein zuständiges Team einen verwertbaren Alarm erhalten? Diese Fragen lassen sich nicht durch ein einziges grünes Statusfeld beantworten.

Angreiferverhalten als Bezug

MITRE beschreibt Emulationspläne, mit denen ausgewähltes Angreiferverhalten und zusammenhängende Techniken nachvollziehbar untersucht werden. Die Pläne beruhen auf verfügbaren Berichten und haben entsprechende Grenzen. Ein Bezug zu ATT&CK macht den Umfang beschreibbar, bestätigt aber nicht von selbst, dass alle betreffenden Techniken erfolgreich ausgeführt oder erkannt wurden.

Vier getrennte Nachweise

Als Prüfmodell empfehlen wir vier getrennte Beobachtungen: Ausführung des vereinbarten Tests, Reaktion einer Schutzmaßnahme, Aufzeichnung des relevanten Ereignisses und Zustellung eines auswertbaren Alarms. Dazu gehören Zeitpunkt, System, erwartetes Ergebnis und tatsächlich beobachteter Nachweis. Fehlende Telemetrie bedeutet ungeklärt und nicht automatisch unentdeckt.

Der Unterschied zum Pentest

Ein Pentest kann die Ausnutzbarkeit eines Fehlers belegen, ohne die komplette Erkennungskette zu prüfen. Security Control Validation richtet den Blick auf die Wirkung von Schutzmaßnahmen. Beides kann sich ergänzen; zusätzliche Prüfziele, Zugänge und Messpunkte gehören dann ausdrücklich in den Auftrag.

Was Sie als Auftraggeber verlangen können

Lassen Sie Szenario, erwartete Reaktion, Messpunkt und Aussagegrenze nebeneinander dokumentieren. Ein Retest sollte dieselbe Frage unter vergleichbaren Voraussetzungen beantworten. So wird aus einem Testlauf eine konkrete Entscheidung darüber, welche Schutzmaßnahme oder welcher Ablauf verbessert werden muss.

Passende Prüftiefe

Leistungsumfang ansehen↗