Diese Sicherheitslücken konnten Pentester in vielen Unternehmen feststellen
Rapid7 veröffentlicht seinen neuen Sicherheitsreport. Erfahren Sie hier, welche Sicherheitslücken Pentester in den vergangenen 12 Monaten am häufigsten bei ihren Kunden beobachtet haben. Von Software-Schwachstellen über Fehlkonfigurationen im Unternehmensnetzwerk bis hin zu unsicheren Passwörtern.
Im Jahr 2017 startete Rapid7 das Projekt „Under the Hoodie“. Dieses Jahr haben sie ihren Ansatz erneuert, um auch in Zukunft für Transparenz zu sorgen. Der Bericht von Rapid7 basiert auf 268 Pentesting-Einsätzen im Zeitraum September 2017 bis Juni 2018 bei Unternehmen aller Größen und aus allen Branchen. Penetrationstests sind wichtiger Teil eines umfassenden Sicherheitsprogramms. Ziel ist das Erkennen von Sicherheitslücken einer Organisation und ein Verständnis dazu, wie Angreifer diese ausnutzen können.
Deutlich über die Hälfte (59 Prozent) aller im Erhebungszeitraum durchgeführten Penetrationstests wurden extern durchgeführt. Die drei großen Kategorien von Kompromiss-Rapid7-Penetrationstestern sind Software-Schwachstellen, Netzwerk-Fehlkonfigurationen und Netzwerk-Anmeldeinformationen.
Insgesamt konnten die Pentester von Rapid7 bei 84 Prozent ihrer Einsätze im Auftrag der Kunden mindestens eine produktive Schwachstelle ausnutzen. Diese Zahl steigt bei rein intern durchgeführten Penetrationstests sogar auf 96 Prozent- das bedeutet, nur 4 Prozent der so untersuchten Unternehmen wiesen keine Software-Sicherheitslücke auf.
Want to know what’s most commonly found during a #pentest? Tomorrow we’ll tell you in our annual #underthehoodie research report. #security #penetrationtest pic.twitter.com/KqlA5z8NTM
— Rapid7 (@rapid7) July 24, 2018
In ähnlicher Weise waren Pentester in 80 Prozent der Fälle in der Lage, mindestens eine Netzwerkfehlkonfiguration zu missbrauchen. Bei internen Tests konnten sie bei fast jedem ihrer Einsätze eine Fehlkonfiguration finden.
Darüber hinaus gelang es den Auftragshackern, bei runde der Hälfte (53 Prozent) ihrer Untersuchungen mindestens einen Satz von Anmeldedaten zu stehlen. Konnten sie eine LAN- oder WLAN-Verbindung ausnutzen, dann schafften sie es sogar in 86 Prozent der Einsätze, Login-Daten von Unternehmensnutzern zu erfassen.
Über ein Viertel (28 Prozent) aller Tests endeten im Sicherheits-Super Gau: Hier konnten die Pentester schließlich die vollständige administrative Kontrolle über das Netzwerk der Zielorganisation ergreifen. Bei internen Pentests, wo Schwachstellen, Fehlkonfigurationen und Login-Daten vergleichsweise einfacher zu finden sind, stieg dieser Prozentsatz sogar auf rund zwei Drittel (67 Prozent).
Die Mehrheit der Rapid7-Pentester konnten ihre Angriffe ungestört ausführen. In 61 Prozent der Fälle bemerkte das untersuchte Unternehmen, das den Pentest in Auftrag gegeben hatte, die Eindringlinge nicht. Das Einsetzen von Pentestern ist somit definitiv hilfreich um die eigenen IT-Risiken identifizieren zu können.
Quelle Titelbild: pexels/ Juhasz Imre
