Pentest, BAS oder Cyber Range?

Zuerst das Prüfziel

Ein Pentest, eine Angriffssimulation und eine Cyber Range sind keine austauschbaren Bezeichnungen für dasselbe Angebot. Für die Auswahl hilft eine einfache Trennung: Soll eine konkrete Schwachstelle untersucht werden, soll eine Schutzmaßnahme auf ein Szenario reagieren, oder wird eine Umgebung zum Üben und Testen benötigt?

Pentesting: Was lässt sich im vereinbarten Umfang ausnutzen?

Ein Pentest untersucht die Sicherheit konkreter Systeme innerhalb definierter Grenzen. Bei einer Geschäftsanwendung kann die Frage etwa lauten, ob ein Benutzer auf Daten eines anderen Mandanten zugreifen kann. Der Wert liegt nicht allein in einer Liste technischer Hinweise, sondern in der nachvollziehbaren Untersuchung einer Sicherheitsfrage. Welche Rollen, Funktionen und Systeme betrachtet wurden, muss aus dem Ergebnis hervorgehen.

BAS: Wie reagieren vereinbarte Schutzmaßnahmen?

Breach and Attack Simulation untersucht definierte Angriffsschritte und die Reaktion von Schutzmaßnahmen. Das kann beispielsweise die Frage betreffen, ob ein ausgewähltes Testszenario blockiert oder erkannt wird. Die Beschreibung von SafeBreach zeigt dieses Prinzip anhand geplanter Szenarien und der Auswertung von Ergebnis- und Ereignisdaten. Das ist eine Anbieterbeschreibung, kein Beleg dafür, dass jedes BAS-Angebot denselben Umfang hat.

Adversary Emulation: Verhalten statt bloßer Schwachstellenlisten

Bei der Angreifer-Nachbildung werden ausgewählte Verhaltensweisen von Angreifern modelliert. MITRE beschreibt dies für seine Arbeit an Caldera als ATT&CK-orientierte Nachbildung von Angreiferverhalten. Für einen Auftrag muss daraus ein konkreter Szenarioumfang werden. Eine Technik im Plan zu nennen ist nicht dasselbe wie sie vollständig geprüft zu haben.

Cyber Range: die Umgebung

NIST verwendet Cyber Range für eine abgegrenzte Umgebung für praktische Szenarien, Training und Übungen. Der Begriff benennt damit zuerst einen Testraum. Er sagt für sich genommen nicht, welche Anwendung geprüft wurde oder ob ein produktives Schutzsystem einen Angriff erkennen würde. Ein gelungenes Szenario in einer Laborumgebung ersetzt diesen Nachweis nicht.

Was Sie vor der Beauftragung klären sollten

Unsere Empfehlung: Schreiben Sie die gewünschte Aussage als überprüfbare Frage auf. Legen Sie dazu die Umgebung, die Voraussetzungen und das notwendige Ergebnis fest. Bei einer Erkennungsprüfung braucht es beispielsweise passende Ereignisdaten; bei einer Rechteprüfung passende Testidentitäten. Fragen Sie anschließend, welche Methode diese Aussage belegen kann und was ausdrücklich ungeprüft bleibt.

Ein Beispiel für die Entscheidung

Eine neue Kundenanwendung mit mehreren Mandanten braucht zunächst eine gezielte Prüfung ihrer Rechtebeziehungen. Die Frage, ob die vorhandene Überwachung einen bestimmten Angriffsablauf erkennt, verlangt ein zusätzliches Szenario mit auswertbarer Telemetrie. Sollen Mitarbeitende denselben Ablauf üben, ist eine geeignete Übungsumgebung sinnvoll. Diese drei Aufträge können zusammenhängen, sind aber nicht automatisch im selben Paket enthalten.