Erläutern Sie mir eine Penetrationstest-Methodik wie PTES.
Kurzantwort
PTES definiert sieben Phasen: Pre-Engagement (Scope, Rules of Engagement, Autorisierung), Intelligence Gathering (OSINT, Aufklärung), Threat Modeling, Schwachstellenanalyse, Exploitation, Post-Exploitation (Pivoting, wertvolle Daten, Persistenz) und Reporting. Die Struktur macht Einsätze wiederholbar, vertretbar und an das Geschäftsrisiko gebunden statt an Ad-hoc-Hacking. Pre-Engagement und Reporting sind die Phasen, die Juniors unterschätzen.
Ein Penetrationstest ist nicht „hacken, bis etwas kaputtgeht" — er ist eine strukturierte, autorisierte Bewertung, die wiederholbar und vertretbar sein muss. Der Penetration Testing Execution Standard (PTES) ist das meistzitierte Rahmenwerk für diese Struktur, und Interviewer nutzen ihn, um zu sehen, ob Sie einen Test als Einsatz mit rechtlichen und geschäftlichen Grenzen behandeln und nicht als freies Spiel.
Die sieben Phasen
- Pre-Engagement-Interaktionen. Scope, Ziele, Zeitplan, In-Scope- und Out-of-Scope-Assets, die Rules of Engagement und — entscheidend — eine schriftliche Autorisierung. Machen Sie hier einen Fehler, ist der Rest des Tests unbefugter Zugriff.
- Intelligence Gathering. OSINT, DNS, Netzwerk- und Anwendungsaufklärung, um eine Karte der Angriffsfläche zu erstellen, bevor Sie etwas Eindringliches anfassen.
- Threat Modeling. Diese Erkenntnisse in wahrscheinliche Angriffspfade umsetzen und Ziele nach Geschäftsauswirkung priorisieren, nicht nur danach, was leicht aussieht.
- Schwachstellenanalyse. Schwächen durch Scanning, manuelles Testen und Validierung identifizieren — dabei die False Positives aussortieren, die ein Scanner liefern würde.
- Exploitation. Beweisen, dass die Schwachstelle real ist, indem Sie Zugriff erlangen, dabei im Scope bleiben und Kollateralschäden vermeiden.
- Post-Exploitation. Pivotieren, Privilegien eskalieren, wertvolle Daten finden und die echte Geschäftsauswirkung demonstrieren. Hier verdient der Test sein Honorar, denn „wir haben Domain Admin erlangt und konnten die Gehaltsabrechnung lesen" wirkt stärker als „Port 445 ist offen".
- Reporting. Eine klare Darstellung für Führungskräfte plus reproduzierbare, risikobewertete und behebbare Befunde für Ingenieure.
Warum die Struktur zählt
Die Rahmenphasen — Pre-Engagement und Reporting — unterscheiden einen Profi vom Script-Kiddie. Scope und Autorisierung halten Sie legal; der Bericht ist das einzige Deliverable, für das der Kunde tatsächlich zahlt.
Worauf Interviewer achten
Sie wollen hören, dass Sie vor dem Exploiten scopen und autorisieren, dass Sie Befunde an das Geschäftsrisiko binden und erklären können, warum Post-Exploitation und ein starker Bericht mehr zählen als das Sammeln von Shells.
Wahrscheinliche Anschlussfragen
- Was gehört in ein Rules-of-Engagement-Dokument, bevor Sie ein Ziel anfassen?
- Warum ist die Post-Exploitation für den Kunden oft wertvoller als der erste Exploit?
- Wie gehen Sie damit um, mitten im Einsatz Beweise für eine echte frühere Kompromittierung zu finden?