Ein Security Assessment soll nicht nur Schwachstellen aufzählen. Entscheidend sind ein sauberer Scope, technische Verifikation, realistische Priorisierung und konkrete Maßnahmen.
NSAS führt technische Sicherheitsprüfungen ausschließlich in ausdrücklich autorisierten und klar abgegrenzten Zielumgebungen durch. Vor Beginn werden Zielsysteme, erlaubte Methoden, Zeitfenster, Ausschlüsse, Ansprechpartner sowie Abbruch- und Eskalationswege festgelegt. Dadurch bleibt nachvollziehbar, was geprüft werden darf und wie mit unerwarteten Auswirkungen umgegangen wird.
Nessus und Rapid7 Nexpose unterstützen bei der systematischen Erkennung bekannter Schwachstellen und Fehlkonfigurationen. Automatisierte Ergebnisse werden jedoch nicht ungeprüft übernommen. Relevante Findings werden im vereinbarten Rahmen technisch bewertet und soweit sinnvoll verifiziert. Die Priorisierung berücksichtigt neben technischen Scores auch Erreichbarkeit, Exposition, Systemrolle und reale Auswirkungen.
Vor jedem Test wird festgelegt, welche Systeme und Methoden autorisiert sind. Produktionsrisiken und besonders sensible Komponenten werden berücksichtigt.
Die erreichbare Oberfläche wird strukturiert betrachtet: Hosts, Dienste, Ports und externe Übergänge liefern den Kontext für die weitere Schwachstellenanalyse.
Automatisierte Scanner unterstützen bei der Erkennung bekannter CVEs, unsicherer Versionen und Fehlkonfigurationen. Wo sinnvoll, können authentisierte Prüfungen zusätzliche Systeminformationen liefern.
Scanner-Findings werden hinsichtlich Plausibilität und tatsächlicher Relevanz bewertet. Verifikation erfolgt kontrolliert und ohne unnötige Beeinträchtigung produktiver Systeme.
Eine Schwachstelle mit hohem Score ist nicht automatisch das größte reale Risiko. Findings werden deshalb mit Exposition, Systemrolle und möglicher Auswirkung eingeordnet.
Nach der Behebung kritischer Findings wird geprüft, ob die Maßnahme tatsächlich greift und keine offensichtlichen Folgeprobleme entstanden sind.
Keine Prüfung außerhalb der ausdrücklich freigegebenen Zielumgebung. Scope und Verantwortlichkeiten sind Bestandteil der technischen Sicherheit.
Findings werden soweit nötig bestätigt, ohne aus einem Assessment unnötig einen destruktiven Test zu machen.
Das Ergebnis soll technisch nutzbar sein: Risiko, Kontext, Evidenz, Priorität und eine konkrete nächste Maßnahme.
Für eine erste Einschätzung reicht eine kurze Beschreibung der vorhandenen Umgebung, des Problems oder des geplanten Zielbilds.