Penetrationstests und ASV-Scans richtig auswerten

Bei einem Penetrationstest, kurz Pentest, versucht man, Sicherheitslücken eines Webprojektes offen zu legen. Dazu werden alle Bestandteile des Projektes, etwa der Webserver, die Server-Software oder auch die Webseite, künstlich verschiedenen Angriffsszenarien ausgesetzt. Das geschieht mit dem Ziel, Schwachpunkte frühzeitig zu erkennen und Sicherheitslücken zu schließen. 

Grundsätzlich gilt: Die Durchführung eines Pentests ist gesetzlich verboten. Dieser Umstand lässt sich allerdings durch eine vertragliche Vereinbarung (Permission to Attack, kurz PTA) zwischen der zu testenden und der den Test durchführenden Organisation umgehen. 

Ein ASV Scan ist ein externer Schwachstellenscan, der von einem PCI SSC zugelassenen Unternehmen durchgeführt wird. Ein solcher Scan ist bei der Verarbeitung von Kreditkartendaten ein wichtiger Bestandteil der PCI DSS-Konformität und wird von Zahlungsdienstleistern gefordert. mittwald ist nicht PCI DSS-konform da sich dieser Standard an Unternehmen richtet, die Kreditkartendaten verarbeiten oder speichern. mittwald verarbeitet oder speichert keine Zahlungsdaten, sondern stellt ausschließlich die technische Plattform bereit, auf der du deine Anwendungen betreibst. 

Sowohl ein Pentest als auch ein ASV-Scan ist eine Sicherheitsprüfung deines Webprojektes. Sie unterscheiden sich jedoch in Umfang und Durchführung. Der Pentest ist eine umfassende, manuelle Sicherheitsüberprüfung, die darauf abzielt, Schwachstellen zu identifizieren und zu exploitieren. Ein ASV-Scan ist ein automatisierter Schwachstellenscan, der eine Liste bekannter Schwachstellen identifiziert, um die Einhaltung von PCI DSS zu gewährleisten. 

Das Reporting beider Tests ist oftmals sehr ausführlich. Häufig werden vom Anbieter extrem viele Daten ausgeliefert, die konzentriert und priorisiert abgearbeitet werden müssen. Oftmals stellt sich dabei heraus, dass den vielen Angaben weitaus weniger Maßnahmen folgen müssen. Starte am besten mit den Problemen, die als “High” klassifiziert wurden. Als “Medium” oder “Low” eingestufte Issues sind selten dringlich und können in der Regel im nächsten Entwicklungszyklus, wenn du sowieso am Code arbeitest, betrachtet werden.

Typische Probleme, die ein Pentest und ein ASV-Scan offen legen:

• Fehlende SSL Verschlüsselung: Der Klassiker unter den Sicherheitsanforderungen an ein Webprojekt. Das SSL-Zertifikat lässt sich ohne großen Aufwand implementieren. Hostest du deine Projekte bei mittwald, stehen dir sowohl kostenlose als auch kostenpflichtige Zertifikate für unterschiedliche Anwendungsbereiche zur Verfügung.
   
• Weak cipher: Schwache TLS-Chiffren sind ein Sicherheitsrisiko. Deshalb wird etwa bei mittwald standardmäßig TLS nur noch ab Version 1.2 aufwärts angewendet. Infos, wie du deine Verschlüsselungsprotokolle anpasst, findest du in unserem FAQ-Artikel.
   
• Offene Ports: Die offenen Ports 21, 22, 80 und 443 und 3306 werden häufig als Sicherheitsrisiko ausgezeichnet. Allerdings wird kaum eine Webseite ohne zumindest einen dieser Ports auskommen.
  
  Zur Erklärung:

Hierüber greift deine Webseite auf ihre Datenbank zu. Bei mittwald wird der Port zwar als offen angezeigt, ist jedoch nur mit einem zusätzlichen Datenbanknutzer (der explizit berechtigt werden muss) nutzbar. Jeder Versuch die Datenbank auf andere Weise zu öffnen, läuft ins Leere. Zugriffe sind nur im internen Netz möglich

• Fehlende security header: Können über PHP gesetzt werden , zum Beispiel so:
  <?php
  header("Strict-Transport-Security: max-age=63072000; includeSubDomains; preload");
  Weitere Informationen findest du in diesem Artikel.
• Veraltete Software: Ein alter Hut. Nur wer seine Systeme regelmäßig updated, hält sie geschützt. Tipp: Nutze die Auto-Update-Funktion. Damit bist du diese Sorge los.

In manchen fällen reicht es aus, dein Projekt manuell zu überprüfen und Maßnahmen zu ergreifen. Die folgende Liste hilft dir dabei.

Checkliste
 

• Ist dein SSL Zertifikat aktuell? Benötigst du evtl. ein besonderes SSL Zertifikat?
• Werden deine Daten sicher gehostet? Achte auf Online Gütesiegel für Web Security und Rechtssicherheit
  Mach den Security Headers Check, z.B. über securityheaders oder wao.
• Schütze dich vor DDoS Angriffen durch ein Content Delivery Network
• Verwende eine Web Application Firewall (WAF)
• Halte deine Software aktuell: CMS, Shop, Plugins, Extensions, …

Der Pentest sowie alle anschließenden Maßnahmen dienen der Sicherheit deiner Projekte. Ein weiterer wichtiger Security-Baustein für deine Projekte ist das Hosting. Hier spielen viele Facetten eine Rolle - vom Monitoring über die Anomalieerkennung bis hin zur Gebäudesicherheit. All das bekommst du bei mittwald ab dem kleinsten Tarif. Zudem liegen deine Daten in einem Rechenzentrum in Deutschland, das mit der ISO 27001 zertifiziert ist.