8.2. Definition von Analyse und Test

Schwachstellenanalysen k�nnen in zwei Arten klassifiziert werden: von au�en innen herumschn�ffeln und innen herumschn�ffeln.

Wenn Sie eine Schwachstellenanalyse von au�en betrachtet durchf�hren, so versuchen Sie, Ihr System von au�en zu beeinflussen. Wenn Sie Ihre Firma extern betrachten, gibt Ihnen dies die Sichtweise eines Crackers. Sie sehen, was der Cracker sehen kann — �ffentlich-weiterleitbare IP-Adressen, Systeme auf Ihrer DMZ, externe Schnittstellen Ihrer Firewall und vieles mehr. DMZ steht f�r "Demilitarized Zone", was einem Computer oder einem kleinen Subnetzwerk entspricht und welche sich zwischen einem internen, zuverl�ssigen Netzwerk befindet, wie z.B. einem gemeinschaftlichen privaten LAN und einem unzuverl�ssigen, externen Netzwerk, wie z.B. das �ffentliche Internet. �blicherweise beinhaltet die DMZ Ger�te, die f�r den Internetverkehr zug�nglich sind, wie z.B. Web(HTTP)-Server, FTP-Server, SMTP(E-Mail)-Server und DNS-Server.

Wenn Sie eine Schwachstellenanalyse von innen betrachtet durchf�hren, haben Sie den gewissen Vorteil, das Sie bereits intern sind, und Sie einen Status des vertrauens haben. Dies ist der Blickwinkel, den Sie und Ihre Kollegen haben, wenn Sie sich einmal im System angemeldet haben. Sie sehen Druckserver, Dateiserver, Datenbanken und andere Ressourcen.

Es gibt klare Unterschiede zwischen diesen beiden Arten der Schwachstellenanalyse. Als interner Mitarbeiter Ihres Unternehmens besitzen Sie erh�hte Privilegien — weit mehr als jeder Au�enstehende. In den meisten Unternehmen sind Sicherheitsvorkehrungen derartig getroffen, um Eindringlinge fernzuhalten. Es wird nur sehr wenig f�r die interne Sicherung des Unternehmens getan (z.B. Firewalls f�r Abteilungen, Zugangskontrollen auf Benutzerebene, Authentifizierungsvorg�nge f�r interne Ressourcen und so weiter. �blicherweise gibt es wesentlich mehr Ressourcen, wenn man sich intern umschaut, da die meisten Systeme in einem Unternehmen intern sind. Sobald Sie sich einaml au�erhalb eines Unternehmens befinden, erhalten Sie sofort den Status vertrauensunw�rdig zu sein. Die extern zug�nglichen Systeme und Ressourcen sind f�r gew�hnlich wesentlich st�rker eingeschr�nkt.

Betrachten Sie die Unterschiede zwischen Schwachstellenanalyse und Eindringungstests. Sehen Sie die Schwachstellenanalyse als ersten Schritt zu einem Eindringungstest an. Die Informationen aus der Schwachstellenanalyse werden im Test angewendet. Mit der Analyse wird nach L�chern und m�glichen Schwachstellen im System gesucht, w�hrend der Eindringungstest die Ergebnisse in die Tat umsetzt.

Die Einsch�tzung der Netzwerk-Infrastruktur ist ein dynamischer Prozess. Das Durchf�hren der Analyse gibt einen �berblick �ber positive sowie negative Aspekte.

Sicherheits-Administratoren sind nur so gut wie die Tools, die diese benutzen, und das Wissen, das diese bewahren. Nehmen Sie eines der aktuell erh�ltlichen Analysetools und lassen Sie es �ber Ihr System laufen Dabei ist fast garantiert, dass einige Schwachstellen gefunden werden, die gar nicht existieren. Ob durch einen Programmfehler oder Benutzerfehler hervorgerugen, das Ergebnis ist das gleiche. Das Tool findet Schwachstellen, die gar nicht existieren, oder schlimmer noch, findet wirklich existierende Schwachstellen nicht.

Da wir nun den Unterschied zwischen Schwachstellenanalyse und Eindringungstest definiert haben, ist es ratsam, die Ergebnisse der Analyse sorgf�ltig zu pr�fen, bevor Sie den Eindringungstest tats�chlich durchf�hren.

	Achtung
	Der Versuch, Schwachstellen in Produktionsressourcen aufzudecken, kann einen negativen Effekt auf die Produktivit�t und Effizienz Ihrer Systeme und Netzwerke haben.

In der folgenden Liste werden einige der Vorteile einer Schwachstellenanalyse aufgezeigt.

• Proaktiver Fokus auf Informationssicherheit

• Auffinden potentieller Schwachstellen, bevor diese von Crackern gefunden werden

• Resultiert normalerweise darin, dass Systeme aktuell gehalten und mit Patches versehen werden

• F�rdert Wachstum und hilft bei der Entwicklung von Mitarbeiter-Kompetenz

• Vermindert finanzielle Verluste und negative Publicity