Black-Box vs. White-Box

Bei der Untersuchung der IT-Sicherheit Ihres Unternehmens spielt der Penetrationstest eine entscheidende Rolle. Dieser Test ist im Prinzip ein Angriff auf Ihre Systeme, um Schwachstellen zu identifizieren, bevor sie von echten Angreifern ausgenutzt werden können. Dabei kann die Informationslage der untersuchenden Spezialisten ein entscheidender Faktor über die Dauer und Vollständigkeit eines Tests sein. Es gibt zwei Hauptarten von Informationslagen bei einem Penetrationstest: White-Box und Black-Box. Jeder dieser Tests bietet einen unterschiedlichen Ansatz und Einblick in die Sicherheit Ihres Netzwerks und Ihrer Anwendungen.

White-Box Testing

Beim White-Box Testing verfügt unser Spezialist Kenntnis und Zugriff auf die interne Struktur, den Code oder die Architektur der zu testenden Software oder Systeme. Diese Methode ermöglicht eine gründliche Überprüfung der internen Sicherheitsmechanismen und Logik. Je nach Tiefe dieser Informationen spricht man auch von einem Grey-Box Test, vor allem dann, wenn die Informationen nicht sehr umfangreich sind. White-Box Tests sind besonders effektiv, um verborgene Fehler in komplexen Systemen zu finden, einschließlich Probleme, die von der Softwareentwicklung herrühren. Sie ermöglichen es unseren Spezialisten, gezieltere Tests durchzuführen und bieten die umfassendste Abdeckung aller Schwachstellen. Ein passendes Szenario hierfür könnte beispielsweise ein Angriff von (Ex-) Mitarbeitenden oder eines externen Dienstleisters sein, der in der Regel tiefere Einblicke in die verwendeten Systeme hat. Informationen, die in diese Kategorie passen, sind beispielsweise IP-Adressen, genutzte Software, Netzpläne oder auch API-Strukturen, Konfiguration und Code einer Software.

Black-Box Testing

Black-Box Testing simuliert einen externen Angriff auf die Systeme eines Unternehmens, ohne dass vorherige Kenntnisse über die internen Strukturen oder die Architektur vorliegen. Unsere Spezialisten erhalten keinen Zugriff auf den Quellcode oder die Systemkonfiguration. Diese Art von Test ahmt die Vorgehensweise eines echten Angreifers nach, der wenig bis kein Wissen über die innere Struktur der Zielnetzwerke oder Anwendungen hat. Black-Box Tests sind sehr nützlich, um Sicherheitslücken in der Benutzeroberfläche und anderen öffentlich zugänglichen Bereichen zu identifizieren, und sie testen die Effektivität der generellen Sicherheitsmaßnahmen. Der Nachteil ist, dass unter Umständen Sicherheitslücken übersehen werden können, wenn diese beispielsweise in unbekannten Funktionen auftreten. Zudem sind diese Tests meist aufwendiger und zeitintensiver durchzuführen, allerdings benötigen die Spezialisten dafür kaum Informationen von Ihnen, um loszulegen.

Wichtig: Natürlich benötigt ein Spezialist auch hier einen Scope, mit dem er arbeiten darf. Daher müssen in der Regel trotzdem beispielsweise bei externen Tests die IP-Adressen oder Zugangspunkte angegeben werden. Dabei sind diese Informationen allerdings nur sehr dürftig und reichen nicht aus, um daraus tieferes Wissen zu ziehen.

Was passt zu mir?

Die Auswahl des richtigen Typs hängt zum einen von dem zu testenden Objekt, zum anderen aber auch von vielen weiteren Faktoren ab. Dazu gehören die spezifischen Sicherheitsanforderungen Ihres Unternehmens, die Vorgehensweise beim Test und Ihre IT-Infrastruktur. Bei der DIBITS helfen wir Ihnen, die beste Teststrategie zu wählen, um die Sicherheit Ihrer IT-Systeme zu maximieren und Ihr Unternehmen vor zukünftigen Angriffen zu schützen.

Nice-To-Know

Das BSI empfiehlt in seinem Leitfaden für IS-Penetrationstests generell White-Box Tests, um die Nachteile von Black-Box Tests auszuschließen und die Gefahren zu minimieren.