29. Magento Stammtisch Thema: IT-Sicherheit Gregor Bonney Penetration Testing 29. Magento Stammtisch Thema: IT-Sicherheit Gregor Bonney
Penetration Testing – Was ist das? Penetrationstest, kurz Pentest, ist der fachsprachliche Ausdruck für einen umfassenden Sicherheitstest einzelner Rechner oder Netzwerke jeglicher Größe. Quelle: Wikipedia
Was ist ein Pentest? (informell) Port Scan Schwachstellen Scan Manuelles Testen
Was ist ein Pentest? Angriff Teilweise mit Software automatisiert Komplexere Szenarien werden manuell geprüft Informationen sammeln Einfallsvektoren identifizieren Eindringversuche unternehmen Bericht erstellen
Wie funktioniert ein Pentest? Als Dienstleistung: Begrenzter Zeitrahmen Stichprobenartige Prüfung Nur in Absprache mit allen Beteiligten Abschlussbericht Ziele (u. A.) Schwachstellen proaktiv aufdecken Risiko minimieren Schaden verhinden Compliance CGI
Was kann man alles Pentesten? Beispiele? Websites Computer/Hosts Netzwerke Menschen (Social Engineering)
Penetration Testing – Wie läuft das ab? Definierte Vorgaben URL Zeitrahmen Webshop ca. 5 Tage Aufteilung der Zeit Tag 1: Shop erkunden Tag 2-4: Pentesten Tag 5: Dokumentieren
Penetration Testing – Tools Generell: Kali Linux Schwerpunkt Webapplikation Das Tool: Burp Suite Pro Fuzzdb Scanner: z. B. Acunetix, IBM AppScan, Nessus Weitere Tools: Nmap SQLmap Dirbuster/dirb
Penetration Testing – Tools Burp Suite Pro Daten werden durch den Burp Proxy gelenkt. Browser Burp Proxy Server
Penetration Testing – Typische Schwachstellen
Penetration Testing – Typische Schwachstellen SQL Injection Cross-Site Scripting File Inclusion Command Injection Außerdem External Entity Injection
Penetration Testing – Demo SQL Injection Cross-Site Scripting File Inclusion Command Injection External Entity Injection
Magento 2 Sicherheit ist in Standardinstallation „gut“. .htaccess im webroot definiert viele Security-Einstellungen Optimierungspotenzial: Unverschlüsselte Shops verhindern Strict Transport Security Content-Security-Policy Header sollte implementiert werden