Zum Hauptinhalt springen
VexaroSecurity
Netzwerk-Pentest

Netzwerk-Penetrationstest

Wir testen Ihr Netzwerk so, wie ein Angreifer es täte: vom Internet-Perimeter aus, von einem angenommenen Ausgangspunkt im internen Netz und über Segmentierungsgrenzen hinweg. Auf Basis von PTES und NIST SP 800-115 bestätigt ein Pentest aktiv, dass eine Schwäche ausnutzbar ist, statt nur danach zu scannen.

Umfang

Drei Perspektiven

Ein Penetrationstest bestätigt, dass eine Schwäche ausnutzbar ist, und nicht nur, dass eine Schwachstelle existiert (NIST SP 800-115). Wir decken den externen Perimeter und das interne Netz von einem angenommenen Ausgangspunkt aus ab. Besonders wichtig: Die Segmentierung prüfen wir aktiv, statt sie nur zu scannen.

Typischer Umfang
  • Externer Perimeter: internetzugewandte Dienste, exponierte Assets und Remote-Zugriff
  • Internes Netzwerk: laterale Bewegung, Privilege Escalation und Active-Directory-Angriffe
  • Segmentierung: der aktive Versuch, die sensible Zone (CDE) von außen zu erreichen
  • Fehlkonfigurationen, schwache Dienste und Schwächen bei Anmeldedaten
  • Unzureichende Eingabevalidierung und ausnutzbare Dienst-Schwachstellen
  • Exploitation verkettet, um reale, priorisierte Auswirkung zu demonstrieren
So arbeiten wir

Ein standardbasiertes Projekt

Wir folgen den Phasen von NIST SP 800-115, in denen die Angriffsphase zur Discovery zurückkehrt, sobald neuer Zugriff gewonnen wird, und strukturieren das Projekt nach PTES. Der Box-Typ (Black-, Grey- oder White-Box) wird vorab mit Ihnen vereinbart.

  1. 1

    Planung

    Wir legen Umfang, Bedrohungsmodell, Ziele und Rules of Engagement fest und unterzeichnen vor jedem Zugriff ein NDA.

  2. 2

    Discovery

    Wir enumerieren Hosts, Dienste und Vertrauensbeziehungen, um ein genaues Bild der Angriffsfläche zu erstellen.

  3. 3

    Angriff

    Wir bestätigen Schwächen, indem wir sie ausnutzen, und kehren zur Discovery zurück, sobald neuer Zugriff neue Pfade eröffnet.

  4. 4

    Segmentierungsvalidierung

    Wir versuchen aktiv, Isolationsgrenzen in die sensible Zone zu überschreiten, statt uns auf einen Scan zu verlassen.

  5. 5

    Berichterstattung & kostenloser Re-Test

    Sie erhalten einen priorisierten Bericht einschließlich der Segmentierungsergebnisse. Behobene Probleme testen wir ohne Mehrkosten erneut, innerhalb des im Statement of Work festgelegten Zeitfensters.

Lieferumfang

Was Sie erhalten

Ein Bericht, der sich an der Gliederung des PCI-SSC-Penetrationstest-Berichts orientiert, mit einem eigenen Segmentierungsabschnitt und der Tiefe unseres Beispielberichts.

Was Sie erhalten
  • Management Summary, Umfangsbeschreibung (CDE vs. Nicht-CDE) und Methodik
  • Test-Narrativ und ein eigener Ergebnisabschnitt zum Segmentierungstest
  • Jeder Befund: Ausnutzbarkeit, Nachweis, Reproduktionsschritte und Behebung
  • Schweregrad bewertet mit CVSS 3.1 und in Geschäftsrisiko übersetzt
  • Verweise auf CVE und CWE, dazu eingesetzte Tools und eine Cleanup-Erklärung
  • Kostenloser Re-Test behobener Probleme innerhalb des im SoW festgelegten Zeitfensters; optionales Bestätigungsschreiben (keine QSA-Attestierung)
Methodik & Standards

Gegründet auf PTES, NIST SP 800-115 & PCI-Leitlinien

PTESNIST SP 800-115PCI DSS Req 11.4CVSS 3.1CVECWE

Externe, interne und Segmentierungstests basieren auf PTES und NIST SP 800-115. Segmentierungstests prüfen die Isolation aktiv und unterstützen Ihre Pentest-Anforderungen nach PCI DSS Req 11.4. Wir bieten Vorbereitung und Tests, sind aber kein QSA und stellen keine Zertifizierungen aus. Auf Wunsch erhalten Sie ein Bestätigungsschreiben, das ausdrücklich keine QSA-Attestierung ist. Befunde werden mit CVSS 3.1 bewertet.

Testen Sie Ihr Netzwerk.

Erzählen Sie uns von Ihrem Perimeter, Ihrer internen Umgebung und der Segmentierung, auf die Sie sich verlassen. Wir legen den Projektumfang fest, vereinbaren gemeinsam die Regeln und liefern den Bericht unter NDA. Die Erstberatung ist kostenlos.