Passwortaudit

Sinn des Scoping-Meetings ist es, die Ziele des Passwortaudits zu definieren und genügend Wissen über die verwendeten Authentifizierungen zu transferieren, damit auf deren Basis dann die Offerte erstellt werden kann. Die Fragen drehen sich dabei meistens um die Passwort Policy und etablierte Massnahmen und Mechanismen für sichere Passwörter und MFA.

Auf Basis des Scoping-Meetings wird die Offerte erstellt. Nebst den Zielen, Methoden, Preis und Rahmenbedingungen enthält diese auch einen Durchführungsvorschlag. Dabei ist selbstverständlich nichts in Stein gemeisselt und die Offerte wird gerne den Bedürfnissen angepasst. Verrechnet wird grundsätzlich immer nach tatsächlichem Aufwand.

In einem Meeting wird zusammen mit den verantwortlichen Personen der Zugriff auf die verschiedenen Daten und Systeme und die sichere Verwahrung und Übergabe der Testobjekte besprochen.

Die Komplexität von Passwörtern und ob diese allenfalls von einem Angreifer geknackt werden könnten kann mithilfe von Cracking bestimmt werden. Das ist die gleiche Methode wie sie auch von Angreifern eingesetzt wird. Dazu wird eine Liste von Hashes sicher übermittelt und diese mit viel Rechenpower versucht zu knacken.

Klartextpasswörter sind in vielen Files wie PowerShell-Skripten, Text- oder Word-Dokumente auf lokalen Ablagen oder Shares zu finden. Diese Passwörter werden gerne von Angreifern gesucht und ausgenutzt. Wir suchen mit denselben Tools nach genau diesen Passwörtern und stellen sicher, dass diese zuerst von uns gefunden und bereinigt werden, bevor dies echte Angreifer tun.

Viel zu häufig sind Default-Passwörter für Applikationen in Verwendung. Solche Passwörter sind auch für einen Angreifer einfach herauszufinden und es kann Zugriff auf die Applikationen erlangt werden. Wir untersuchen Applikationen auf die Verwendung von bekannten Default-Passwörtern.

Wo wird bereits eine Multi-Faktor-Authentifizierung eingesetzt? Wo könnte diese noch implementiert werden? Wie sicher ist diese umgesetzt? Diese Punkte werden in diesem Check angeschaut.

Die Resultate werden zusammengefasst und ausgewertet. Für die verschiedenen Audits werden Statistiken erstellt und Verbesserungsvorschläge gegeben. So können die Probleme am Ursprung angegangen und nachhaltig behoben werden.