Nicht der Scan schließt die Lücke, sondern der Prozess.
Einen Scanbericht zu erstellen ist einfach. Schwierig ist es, aus Tausenden von Befunden das tatsächlich Ausnutzbare herauszufiltern und den Patch einzuspielen, ohne die Produktion zu beeinträchtigen. Auf diese beiden Schritte konzentriert sich unser Service.
Sechs Schritte von der Inventarisierung bis zum Retest
Asset-Inventar.
Vollständige Festlegung des Scanumfangs; ein Asset, das nicht im Inventar ist, kann nicht gescannt werden.
Scan.
Authentifizierte und nicht authentifizierte Scans nach festem Zeitplan.
Priorisierung.
CVSS allein reicht nicht aus; Verfügbarkeit von Exploit-Code, Erreichbarkeit aus dem Internet und geschäftliche Kritikalität werden gemeinsam bewertet.
Patch-Plan.
Zielzeit, Wartungsfenster und Testschritt je Kritikalitätsklasse.
Vorübergehende Risikominderung.
Wenn kein Patch eingespielt werden kann: virtuelles Patching, Zugriffsbeschränkung oder Konfigurationsänderung.
Retest.
Überprüfung jedes als behoben gemeldeten Befunds.
Umfang der Penetrationstests
Externer Test
An aus dem Internet erreichbaren Assets, aus der Perspektive eines Angreifers.
Interner Test
Möglichkeiten zur lateralen Bewegung eines Angreifers mit Netzwerkzugang.
Webanwendung
Auf Basis der OWASP Top 10, einschließlich Tests der Geschäftslogik.
API-Test
Prüfung auf Umgehung der Autorisierung, Datenlecks und Rate Limiting.
Social Engineering
Auf Anfrage, mit schriftlich freigegebenem Umfang.
Bericht und Retest
Management Summary, belegte technische Befunde und Retest nach der Behebung.
Zielzeiten nach Kritikalität
| Kritikalität | Zielzeit |
|---|---|
| Kritisch | 7 Tage (72 Stunden bei aus dem Internet erreichbaren Assets) |
| Hoch | 30 Tage |
| Mittel | 90 Tage |
| Niedrig | Bei geplanter Wartung |
Der Monatsbericht enthält die Anzahl offener Schwachstellen nach Kritikalität, die durchschnittliche Behebungszeit und die Begründung für Befunde, die die Zielzeit überschreiten. Steigt die Zahl, schreiben wir auch das.
Ergänzend zu dieser Lösung
Cybersicherheit
SOC, Penetrationstests, Compliance mit Gesetz Nr. 5651 und Kuantum Pi für KMU.
DevOps
Wiederholbare Bereitstellung mit Kubernetes, CI/CD, Infrastructure as Code und GitOps – in Ihrem Rechenzentrum oder in der Cloud.
Middleware
Installation, Härtung und Versions-Upgrades für WebLogic, IIS, Tomcat und Nginx.
Ein unverbindlicher Einstieg in drei Schritten.
Erstgespräch
In 45 Minuten lernen wir Ihre Umgebung und Ihre Prioritäten kennen. Kostenlos.
Kostenlose Ersteinschätzung
Nach dem Gespräch eine einseitige Notiz mit ersten Befunden und Empfehlungen; die Ergebnisse gehören Ihnen. Ein umfassender Health Check mit Risikobericht ist Teil unserer Accelerator-Pakete.
Paket oder Service
Starten Sie mit einem Accelerator-Paket oder nehmen Sie direkt Managed Services in Anspruch.