Aktuelles, Branche, Studien - geschrieben von dp am Dienstag, Juli 24, 2018 17:54 - noch keine Kommentare
Pentester finden gravierende IT-Sicherheitsschwachstellen in Unternehmen
Neuer Report „Under the Hoodie: 2018 – Lessons From a Season of Penetration Testing“ von Rapid7 veröffentlicht
[datensicherheit.de, 24.07.2018] Rapid7 hat am 24. Juli 2018 seinen neuen Sicherheitsreport „Under the Hoodie 2018“ veröffentlicht. Dieser Bericht soll demnach die Praxis von Penetrationstests entmystifizieren und beschreiben, welche Sicherheitslücken Pentester in den vergangenen zwölf Monaten am häufigsten bei ihren Kunden beobachtet haben – von Software-Schwachstellen über Fehlkonfigurationen im Unternehmensnetzwerk bis hin zu unsicheren Passwörtern.
Nur 4% der Unternehmen ohne Software-Sicherheitslücke
Insgesamt hätten die Pentester von Rapid7 bei 84 Prozent ihrer Einsätze im Auftrag der Kunden mindestens eine produktive Schwachstelle ausnutzen können. Diese Zahl steige bei rein intern durchgeführten Penetrationstests sogar auf 96 Prozent – d.h. nur vier Prozent der so untersuchten Unternehmen hätten keine Software-Sicherheitslücke aufzuweisen.
In ähnlicher Weise seien Pentester in 80 Prozent der Fälle in der Lage gewesen, mindestens eine Netzwerkfehlkonfiguration zu missbrauchen. Bei internen Tests hätten sie bei fast jedem ihrer Einsätze (96%) eine Fehlkonfiguration finden können.
Darüber hinaus sei es den Auftragshackern gelungen, bei 53 Prozent ihrer Untersuchungen mindestens einen Satz von Anmeldedaten zu stehlen. Konnten sie eine LAN- oder WLAN-Verbindung ausnutzen, dann hätten sie es sogar in 86 Prozent der Einsätze geschafft, Logindaten von Unternehmensnutzern zu erfassen.
28% aller Tests endeten im „Sicherheits-Supergau“
28 Prozent aller Tests hätten im „Sicherheits-Supergau“ geendet: Hierbei hätten die Pentester schließlich die vollständige administrative Kontrolle über das Netzwerk der Zielorganisation ergreifen können. Bei internen Pentests, wenn Schwachstellen, Fehlkonfigurationen und Login-Daten vergleichsweise einfacher zu finden seien, sei dieser Anteil sogar auf 67 Prozent gestiegen.
Die Mehrheit der Rapid7-Pentester hätten ihre Angriffe völlig ungestört ausführen können – in 61 Prozent der Fälle habe das untersuchte auftraggebende Unternehmen die Eindringlinge nicht bemerkt.
Der Bericht von Rapid7 basiert nach eigenen Angaben auf 268 Pentesting-Einsätzen im Zeitraum September 2017 bis Juni 2018 bei Unternehmen aller Größen und aus allen Branchen.
Penetrationstests seien wichtiger Teil eines umfassenden Sicherheitsprogramms. Ziel sei das Erkennen von Sicherheitslücken einer Organisation und ein Verständnis dazu, wie Angreifer diese ausnutzen könnten.
Weitere Informationen zum Thema:
RAPID 7
Under the Hoodie: 2018 / Lessons From a Season of Penetration Testing
datensicherheit.de, 29.06.2018
Ausnutzen von Schwachstellen: Cyber-Kriminelle haben durchschnittlich sieben Tage Zeit
datensicherheit.de, 29.06.2018
Schwachstelle bei Ticketmaster muss ernstgenommen werden
datensicherheit.de, 12.12.2016
Penetrationstests für Datenschutz-Berater – Ein Einstieg
Kooperation
Kooperation

Mitgliedschaft

Multiplikator

Partner

Gefragte Themen
- Netzwerkdurchsetzungsgesetz: Rechtsunsicherheit für Soziale Netzwerke
- Digitalen Schutzraum für Kinder gefordert
- McAfee benennt Cyber-Security-Trends 2020
- EDSA: Erste Leitlinien zum Recht auf Vergessenwerden verabschiedet
- Vermehrt Angriffe auf biometrische Daten
- Vectra meldet Erfolg: Ermittlern gelang Schlag gegen RAT-Betreiber
- BEC-Attacken bevorzugt an Werktagen
- Unternehmen ohne Mobile-First-Strategie droht Scheitern
- Datensicherheit als Nachzügler: Zuerst stand die Fabrik
- Ransomware Ryuk hat Sicherheitsdienstleister angegriffen
- Datenschutz-Adventskalender bietet 24 Hinweise
- Sehr geehrter Herr Müller,
bezieht sich Ihr obiges Papier zu ePrivacy auf die...
- Es ist nicht zu fassen, was Herr Spahn sich hier mit diesem Gesetz erlaubt! Ein ...
- Von dem Cyberangriff auf Nordvpn hat ursprünglich TechCrunch berichtet und alle ...
- Intelligente Gebäudeautomation und damit Smart Buildings sind an sich schon eine...
- Mir hat man bei meiner immer noch herausragenden Ausbildung bei der AOK beigebra...
- Sehr geehrter Herr Stange,
die Redaktion von datensicherheit.de geht davon aus,...
- Ich vermute, dass es sich bei „GermanWiper“ um nichts anderes als eine Hoax-Meld...
- Vielen Dank für Ihren Kommentar. Weitere Informationen finden Sie unter den Empf...
Aktuelles, Experten - Dez 6, 2019 21:08 - noch keine Kommentare
Netzwerkdurchsetzungsgesetz: Rechtsunsicherheit für Soziale Netzwerke
weitere Beiträge in Experten
- Digitalen Schutzraum für Kinder gefordert
- EDSA: Erste Leitlinien zum Recht auf Vergessenwerden verabschiedet
- Datenschutz-Adventskalender bietet 24 Hinweise
- Recht auf Vergessenwerden gilt auch gegenüber Online-Archiven
- Zero Trust: Warum die Zeit gerade jetzt dafür reif ist
Aktuelles, Branche, Studien - Dez 5, 2019 20:16 - noch keine Kommentare
McAfee benennt Cyber-Security-Trends 2020
weitere Beiträge in Branche
- Vermehrt Angriffe auf biometrische Daten
- Vectra meldet Erfolg: Ermittlern gelang Schlag gegen RAT-Betreiber
- BEC-Attacken bevorzugt an Werktagen
- Unternehmen ohne Mobile-First-Strategie droht Scheitern
- Datensicherheit als Nachzügler: Zuerst stand die Fabrik
Aktuelles, Persönlichkeiten, Portraits, Rezensionen, Service - Okt 16, 2019 15:42 - noch keine Kommentare
Warnung und Trost zugleich: Keine absolute Sicherheit
weitere Beiträge in Service
- Nährwertkennzeichnung: Große Mehrheit für Nutri-Score-Ampel
- Datenschutz: Mehrheit fühlt sich durch die Gesetze sicher
- Umfrage der Brabbler AG zum Thema Privatsphäre
- Bitkom: Kunden achten beim Online-Banking nicht immer auf Sicherheit
- Trotz hoher Risiken: Unternehmen vertrauen auf die Sicherheit der Cloud-Provider
Kommentieren