Penetration Testing: Angriffe auf Systeme

Herausforderung: Gateway ECUs sind zentrale Elemente in einer Fahrzeugarchitektur und damit Angriffen ausgesetzt. Unser Kunde will seine Gateway ECU auf Schwachstellen testen lassen, hat gleichzeitig aber auch einen engen Zeitplan, den er einhalten muss.

Unser Lösungsweg: Da das System geliefert wurde, waren aufgrund der engen Taktung einige Security Features noch nicht ausreichend funktionsfähig und konnten dementsprechend nicht direkt getestet werden. Um die Zeit maximal effizient zu Nutzen hat das ITK Engineering Pentesting Team sich auf bereits funktionsfähige Mechanismen konzentriert und erste Schwachstellen identifiziert. Parallel dazu bei der Identifikation von noch nicht funktionalen Security Features unterstützt und den Test mit zunehmend funktionierenden Security Features strukturiert erweitert.

Kundenmehrwert: Der Kunde wusste den pragmatischen und partnerschaftlichen Umgang in Bezug auf das nicht vollständig gelieferte System zu schätzen. Die Zeit wurde effizient genutzt, sodass der Zeitplan trotz Unwegsamkeit eingehalten werden konnte.

Herausforderung: Ein hybrides System bestehend aus einem Backend Webservice/-applikation, einer Smartphone App und einer im Fahrzeug verbauten ECU bietet viel Angriffsfläche und soll auf Schwachstellen überprüft werden.

Unser Lösungsweg: Um den Test zügig durchführen zu können, hat die ITK Engineering mehrere Teams gebildet, um die Systemkomponenten zu untersuchen. Diese Teams  fokussierten sich zunächst innerhalb der individuellen Komponenten auf Schwachstellen. Anschließend konnten die Teams systemverbundebene Schwachstellen zu Killchains verbinden und darüber hinaus Schwachstellen identifizieren, die erst im Verbund auftreten.

Kundenmehrwert: Der Kunde hat Embedded, Web und Mobile App Penetration Test von ITK Engineering aus einer Hand erhalten. Das hat auf der einen Seite den Abstimmungsaufwand auf Kundenseite gesenkt und dazu geführt, dass Schwachstellen auf Systemebene aufgedeckt werden konnten.

Herausforderung: Der Kunde betreibt ein IT Netzwerk und muss im Rahmen seines ISMS regelmäßig Penetration Tests durchführen. Mehrere Penetration Tests mit verschiedenen Scopes sind bereits durchgeführt worden, auf deren Basis Handlungsbedarf identifiziert wurde und ein aussagekräftiges Reporting für das Management benötigt wird.

Unser Lösungsweg: ITK Engineering hat das System breit getestet und dabei den Fokus nicht nur auf kritische technische Komponenten sondern auch auf naheliegende und nachvollziehbare Schwachstellen gelegt. Basierend auf dem Standard Reporting Framework hat ITK die zahlreichen identifizierten Schwachstellen verständlich für das nicht-technische Management aufgezeigt.

Kundenmehrwert: Sowohl die identifizierten Schwachstellen als auch der managementtaugliche Report waren für den Kunden ideal geeignet, um die Dringlichkeit von Gegenmaßnahmen zu belegen. Darüber hinaus hat ITK Engineering über den eigentlichen Penetration Test hinaus bei der Darstellung und Diskussion der identifizierten Schwachstellen unterstützt.