Penetrationstests oder Pentests sind eine Praxis des ethischen Hackings, die von Unternehmen eingesetzt wird, die die Leistung ihrer Cybersicherheitsteams und -tools auf den Prüfstand stellen wollen. Pentests können von internen Experten oder von externen ethischen Hackern durchgeführt werden.

Die Arten von Pentests werden nach Ziel und Ansatz unterschieden. Hinsichtlich des Ziels umfassen die Penetrationstests Netzwerkdienste, Webanwendungen, Social Engineering, clientseitige, drahtlose und physische Penetrationstests. Hinsichtlich des Ansatzes umfassen die gängigsten Arten von Penetrationstests Black-Box-, White-Box-, Blue-Team- und Red-Team-Pentests.

Bei Black-Box-Tests wird ein authentischer Hacking-Versuch inszeniert. Das Angreiferteam muss alle üblichen Phasen durchlaufen, einschließlich der Aufklärung, der Infiltration, der Etablierung eines Standbeins und der Suche nach ausnutzbaren Schwachstellen. Die Authentizität von Black-Box-Netzpenetrationstests entspricht einem echten Cyberangriff, was diesen Ansatz ideal für Unternehmen macht, die die volle Leistungsfähigkeit ihrer Systemverteidigung testen wollen. Black-Box-Tests sind das Gegenteil von White-Box-Tests, bei denen die Angreifer genaue Informationen über die Schwachstellen des Systems, die verwendeten Tools und das Personal, das das System bewacht, erhalten.

Blue-Team-Tests werden oft als unternehmensinterne Penetrationstests bezeichnet. Das Blue-Team besteht aus Personen, die die Vermögenswerte des Unternehmens schützen. Sie bewerten und verteidigen die Sicherheit eines Unternehmens gegenüber den Red-Teams. Diese Red-Teams spielen die Rolle von Angreifern, indem sie Sicherheitsschwachstellen aufspüren und in einer kontrollierten Umgebung Angriffe starten. Beide Teams arbeiten zusammen, um den wahren Zustand der Sicherheit eines Unternehmens aufzudecken und zu stärken. Der Hauptnachteil von Blue-Team-Tests besteht darin, dass das Team eine Reihe verschiedener Aufgaben ausführen muss, was bedeutet, dass es mehr Raum für Fehler gibt.

Red-Box-Tests sind mit Netzwerk-Penetrationstests verbunden, die von lizenzierten Penetrationstestern durchgeführt werden, die üblicherweise als "Red-Team" bezeichnet werden. Bei Red-Team-Tests weiß das Blue-Team nichts von der Existenz des Red-Teams. Die Angreifer können frei entscheiden, welche Tools sie verwenden und welche Schwachstellen sie ausnutzen wollen. Das Blue-Team soll die Angreifer bei ihren Bemühungen abfangen und sie daran hindern, in das System einzudringen. Das Testen des roten Teams dient vielen Zwecken, aber das Endziel besteht darin, die Kompetenz des blauen internen Teams zu ermitteln und die Leistung der aktuellen Cybersicherheitsabwehr zu bewerten.

Ein Pentest dient dazu, die Effizienz von Cybersicherheitssystemen zu ermitteln, die die Kerninfrastruktur und Vermögenswerte eines Unternehmens vor Cyberangriffen schützen. Mit Pentest-Berichten erhält ein Unternehmen eine detaillierte Beschreibung der Schwachstellen seines Systems, der Arten von Cyber-Bedrohungen, die es abwehren kann, und der Arten, denen es am meisten ausgesetzt ist.