Rapid7-Sicherheitsbericht "Under the Hoodie 2018"
Jeder vierte Pentest endet mit totaler Kontrolle des Netzwerks
Rapid7 hat seinen neuen Sicherheitsbericht "Under the Hoodie 2018" vorgestellt. Der Report beschreibt, welche Sicherheitslücken Pentester in den vergangenen zwölf Monaten am häufigsten bei ihren Auftraggebern beobachtet haben. Die Mängel reichen von Software-Schwachstellen über Fehlkonfigurationen im Unternehmensnetzwerk bis hin zu unsicheren Passwörtern.
Insgesamt konnten die Pentester laut Bekunden von Rapid7 bei 84 Prozent ihrer Einsätze im Kundenauftrag mindestens eine produktive Schwachstelle ausnutzen. Diese Zahl liege im Fall rein intern durchgeführter Penetrationstests sogar bei stolzen 96 Prozent. Lediglich vier Prozent der untersuchten Unternehmen wiesen somit keine Software-Sicherheitslücke auf.
Die Pentester waren laut dem Report in 80 Prozent der Fälle in der Lage, mindestens eine Netzwerk-Fehlkonfiguration zu missbrauchen. Auch hier verfehlte man bei internen Tests mit 96 Prozent nur knapp die 100-Prozent-Marke.
In 53 Prozent der Fälle, so Rapid7, gelang es den Auftragshackern, mindestens einen Satz von Anmeldedaten zu stehlen. Konnten sie eine LAN- oder WLAN-Verbindung nutzen, dann gelang es sogar bei 86 Prozent der Einsätze, Log-in-Daten von Unternehmensanwendern zu ermitteln.
Mehr als jeder vierte Pentest (28 Prozent) endete für den Auftraggeber mit dem GAU: Die Pentester erlangten letztlich die vollständige administrative Kontrolle über das Netzwerk der Zielorganisation. Erneut lag die Erfolgsquote bei internen Pentests deutlich höher, da hierbei - wie Rapid7 anmerkt - Schwachstellen, Fehlkonfigurationen und Log-in-Daten vergleichsweise einfach zu finden sind: Die bezahlten Angreifer waren hier in 67 Prozent der Fälle erfolgreich.
Die Pentester konnten ihre Angriffe meist ungestört durchführen: In 61 Prozent der Fälle, so der Security-Anbieter, bemerkte man in dem Unternehmen, das den Pentest in Auftrag gegeben hatte, die Eindringlinge nicht.
Der Report "Under the Hoodie 2018" basiert laut Rapid7-Angaben auf 268 Pentesting-Einsätzen zwischen September 2017 bis Juni 2018 bei Unternehmen aller Größen und aus allen Branchen. Der vollständige Bericht steht zum Download bereit unter www.rapid7.com/info/under-the-hoodie/.
Lesen Sie mehr zum Thema
