Durchgeführte Projekte in der IT Sicherheit

Wir haben eine RPA-Software für einen aus Deutschland stammenden mittlerweile aber global agierenden Kunden getestet. Bei der Software handelt es sich um eine komplexe Plattform auf Basis von ASP.Net, die aus mehreren Sub-Plattformen besteht, die einzeln oder als Paket vertrieben werden können. Die Komplexität der Software und die Vielzahl der möglichen Konfigurationen machten den Test zu einer besonderen Herausforderung. Im Rahmen von zwei Penetrationstests wurden einige Schwachstellen - darunter 2 kritische - gefunden und geschlossen.

Während des gesamten Penetrationstests (der auf einer Demo-Umgebung durchgeführt wurde) haben wir wichtige Funde direkt mit den technischen Teams über den "kurzen" Weg via Slack kommuniziert, so dass parallel die Produktionssysteme geschützt werden konnten.

Ein deutscher Autobauer hat uns beauftragt mit Hilfe von Argos den Zustand der externen Angriffsoberfläche zu analysieren. In einem Zeitraum von wenigen Tagen konnten hunderte Schwachstellen, Fehlkonfigurationen und offensichtliche Sicherheitslücken in hunderten von Domains bzw. tausenden von Subdomains gefunden werden. Der Fokus lag hier auf schweren und kritischen Sicherheitslücken. Das Unternehmen wollte vor allem wissen, wie es um das Thema Shadow IT bestellt ist. DSecured hat - bis auf den Namen des Unternehmens - keine weiteren Informationen erhalten und musste Vorgehen, wie ein echter Angreifer.

Argos external attack surface management spielt bei dieser Art von Einsatz eine besondere Rolle, da es die relevanten Daten innerhalb weniger Stunden bereitstellen kann. Anschließend überwacht es den gesamten Perimeter - hierbei hat das Unternehmen schnell festgestellt, wie wichtig kontinuierliche Überwachung ist.

Im Rahmen einer längeren Zusammenarbeit konnten wir über mehrere Monate hinweg Penetrationstests gegen Systeme eines großen Verlags durchführen. Der Verlag hat sich für unser Pentest as a Service Angebot entschieden, da es für das Unternehmen wichtig war, dass die Tests regelmäßig und ohne großen Aufwand durchgeführt werden können. Mit Hilfe von Argos konnten wir die Änderungen an den Systemen des Verlags schnell erkennen und entsprechend reagieren.

Bei jeder signifikanten Änderung an einem System (API, Website, IP, ...) haben wir uns im Team kurz hingesetzt und versucht (oft mit Erfolg) eine Schwachstelle zu finden. Hierbei zeigte sich, wie schnell Angreifer reagieren können und wie perfide selbst kleine Schwachstellen ausgenutzt werden können. Der Verlag hat durch die Zusammenarbeit mit DSecured seine IT-Sicherheit deutlich verbessert und erkannt, dass jährliche Penetrationstests nicht mehr zeitgemäß sind und ein falsches Gefühl von Sicherheit vermitteln können. Besonders schön war die Zusammenarbeit mit der Führungsebene, die sich bewusst war, dass IT-Sicherheit ein Prozess ist und man versucht Risiken zu senken.