Security Scanner und Penetrationstest

Beide Verfahren suchen Schwachstellen. Sie beantworten aber unterschiedliche Fragen und ersetzen einander nicht.

Was der Scanner beantwortet

Der Scanner ermittelt, welches Produkt in welcher Version hinter einem offenen Port läuft, und schlägt in seiner Datenbank nach, ob dazu Schwachstellen bekannt sind.
Seine Aussage lautet: hier könnte etwas sein.
Ob die Schwachstelle in dieser konkreten Umgebung tatsächlich ausnutzbar ist, prüft er nicht.
Daraus entstehen Falschmeldungen (False Positives): gemeldete Schwachstellen, die im vorliegenden Aufbau ins Leere laufen.
Ebenso entstehen Lücken in der Erkennung (False Negatives): der Scanner findet nur, was in seiner Datenbank steht.

Beim Penetrationstest wird die Schwachstelle tatsächlich ausgenutzt.
Die Aussage lautet: hier ist etwas, und ich bin hineingekommen — mit Nachweis.
Geprüft wird nicht nur die einzelne Lücke, sondern auch die Verkettung mehrerer für sich harmloser Schwächen.
Gefunden werden dabei auch Fehler, die in keiner Datenbank stehen: Logikfehler in der Anwendung, fehlerhafte Berechtigungsprüfungen, unsaubere Abläufe im Geschäftsprozess.

	Security Scanner	Penetrationstest
Frage	Ist etwas bekannt Verwundbares vorhanden?	Lässt es sich ausnutzen?
Ablauf	automatisiert	überwiegend manuell
Umfang	flächendeckend, alle Systeme	punktuell, ausgewählte Ziele
Häufigkeit	regelmäßig, z. B. wöchentlich	einmalig oder jährlich
Grundlage	Datenbank bekannter Schwachstellen	Kenntnis und Erfahrung des Testers
Ergebnis	lange Liste mit Bewertung	wenige belegte Befunde mit Nachweis
Fehlerarten	Falschmeldungen und Erkennungslücken	abhängig vom Können des Testers
Aufwand	gering, nach Einrichtung fast keiner	hoch, Personentage
Findet Logikfehler	nein	ja
Beauftragung	auf eigenen Systemen nicht erforderlich	schriftliche Beauftragung zwingend

Ein Penetrationstest ohne schriftliche Beauftragung des Systembetreibers ist strafbar.
Die Beauftragung legt fest: Ziele, Zeitraum, erlaubte Verfahren, Ansprechpartner und das Vorgehen bei einem gefundenen kritischen Befund.
Bei fremdgehosteten Systemen ist zusätzlich die Zustimmung des Betreibers erforderlich.
Auch ein Scan gegen fremde Systeme ist ohne Erlaubnis nicht zulässig.

Der Scanner läuft dauerhaft und hält den Grundzustand sauber: fehlende Patches, veraltete Dienste, unsichere Konfigurationen.
Der Penetrationstest prüft in größeren Abständen, ob die verbliebenen Schwächen zusammen einen Weg ins System ergeben.
Ein Penetrationstest auf einem System, das nie gescannt wurde, verbringt seine Zeit mit dem Auflisten fehlender Patches — dafür ist er zu teuer.
Werkzeuge lassen sich nicht eindeutig zuordnen: OWASP ZAP ist im automatischen Scan ein Scanner, im Proxy-Betrieb mit manuellem Nachfassen ein Werkzeug für den Penetrationstest.