Prüft Ihr nächster Test die Angriffstechniken, die für Ihre Umgebung relevant sind, oder nur die üblichen?
Im Assessment-Scoping legen wir gemeinsam fest, welche Angriffstechniken für Ihre Umgebung relevant sind und in welcher Tiefe sie geprüft werden. Moderiert klären wir Schutzziele, Techniken, Prüftiefe, Erfolgsindikatoren und Eskalationsregeln. Ergebnis ist ein abgestimmter Testplan (Security Assessment Plan) als Grundlage für ein Angebot mit klarem Zuschnitt.
Ein Test ist nur so gut wie sein Zuschnitt. Ohne gemeinsame Grundlage werden entweder zu viele oder die falschen Techniken geprüft. Das zählt besonders, wenn das Budget begrenzt ist oder Sie die Auswahl gegenüber Aufsicht oder Auditor begründen müssen. Ebenso, wenn Sie besondere Ziele verfolgen.
Im moderierten Workshop legen wir gemeinsam fest, welche Angriffstechniken wir wie testen und welche Erwartungen der Test abdecken muss. Daraus entsteht ein Security Assessment Plan als Grundlage für ein individuelles Angebot.
Wir klären mit Ihnen, welche Geschäftsprozesse, Daten und Systeme besonders zu schützen sind und welche Angriffsszenarien für Ihr Unternehmen realistisch sind.
Aus MITRE ATT&CK wählen wir die Techniken aus, die zu Ihrer Bedrohungslage, Branche und Umgebung passen, statt einen Standardkatalog abzuarbeiten.
Je Technik legen wir fest, wie tief geprüft wird: vom Nachweis der Erkennung bis zur vollständigen Angriffskette.
Wir definieren messbar, woran der Nutzen des Tests erkennbar ist und welche Erwartungen er abdecken muss.
Eskalationsregeln, Ansprechpartner, rechtliche Hinweise und Projektkommunikation halten wir verbindlich fest.
Das Assessment-Scoping ist ein moderierter Workshop nach MITRE ATT&CK. Er klärt, welche Angriffstechniken zu Ihren Schutzzielen, kritischen Prozessen und Ihrer Bedrohungslage passen, und legt Prüftiefe, Erfolgsindikatoren und Eskalationsregeln fest. Gedacht ist er für komplexe Umgebungen, mehrere Beteiligte oder eine unklare Ausgangslage. Das Assessment-Scoping ist selbst kein Test und schafft den Zuschnitt für Detect & Respond und Purple-Team-Übung. Auf den abgestimmten Security Assessment Plan folgt die Durchführung der Prüfungen.
Wir sichten Infrastruktur-Übersicht, vorhandene Sicherheitsdokumentation und Ergebnisse früherer Assessments und stimmen die Teilnehmenden ab.
Ein halber bis ganzer Tag, remote oder vor Ort, mit IT-Leitung, Security und bei Bedarf Geschäftsführung, Datenschutz und Betriebsrat. Erfahrene Pentester begleiten die Diskussion.
Prüfziele, Zielobjekte, Methodik, Prioritäten, Zuständigkeiten, rechtliche Hinweise und Projektkommunikation in einem abgestimmten Dokument.
Auf Basis des Plans erhalten Sie ein Angebot mit klarem Zuschnitt, ohne weitere Abstimmungsschleifen.
Das Assessment-Scoping ist selbst kein Test. Sie erhalten einen abgestimmten Prüfplan als Grundlage für den Check, der folgt, statt Befundbericht und Management Summary.
Prüfziele, Zielobjekte, Methodik, Prioritäten, Zuständigkeiten, rechtliche Hinweise und die geplante Projektkommunikation in einem abgestimmten Dokument.
Ein klarer Umfang, auf dessen Basis Angebot, Ressourcenplanung und interne Freigabe ohne weitere Schleifen möglich sind.
Die risikobasierte Planung Ihrer Tests, nachvollziehbar für Auditoren und Aufsicht.
„Die Firma ProSec hat uns während der Auswahl zum individuell für uns passenden Penetration Test sehr kompetent beraten.“
Götz Prüfert, Vice President Finance & System Integration, KOKINETICS GmbH
Das Assessment-Scoping legt fest, was geprüft wird, die Prüfung selbst ist nicht enthalten. Welche Prüfungen sich daraus ergeben und in welcher Reihenfolge, steht im Plan.
Wenn der Plan vor allem Erkennungsfragen enthält, setzt Detect & Respond die ausgewählten Techniken gegen EDR und SIEM um.
Zur LeistungWenn Ihr Team die Techniken gemeinsam mit uns durchgehen und die Erkennung direkt nachschärfen soll, eignet sich die Purple-Team-Übung.
Zur LeistungSchildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping. Für das Beratungsgespräch müssen
Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Ausgehend von Ihren Unternehmensabläufen und IT-Systemen ermitteln wir gemeinsam das passende Testkonzept.
Diese Fragen erreichen uns zu dieser Leistung am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Für komplexe Umgebungen, mehrere Beteiligte oder eine unklare Ausgangslage. Auch vor einer ersten Purple-Team-Übung oder vor Detect & Respond schafft der Workshop eine begründete Auswahl.
Der Plan entsteht im Workshop, das Angebot folgt danach.
Ein Security Assessment Plan beschreibt, welche Angriffstechniken in welcher Tiefe, mit welchen Erfolgsindikatoren und unter welchen Eskalationsregeln geprüft werden. Er ist die gemeinsame Grundlage für Angebot, Durchführung und Bewertung. Spätere Diskussionen über den Umfang werden dadurch seltener.
MITRE ATT&CK beschreibt beobachtete Angreifertechniken in einer einheitlichen Systematik, die Prüfer und Verteidiger gleichermaßen nutzen. Dadurch lässt sich die Auswahl mit Bedrohungsinformationen zu Ihrer Branche begründen. Die Ergebnisse späterer Prüfungen lassen sich direkt auf dieselben Techniken zurückführen.
Verantwortliche für IT-Betrieb und Security, dazu jemand, der die kritischen Geschäftsprozesse kennt. Sind ein SOC oder ein externer Dienstleister beteiligt, gehört auch dieser an den Tisch. So werden Schutzziele und technische Machbarkeit gemeinsam geklärt.
Hilfreich sind eine Übersicht Ihrer kritischen Systeme und Prozesse, die eingesetzten Sicherheitswerkzeuge und Ergebnisse früherer Tests. Vollständigkeit ist keine Voraussetzung, offene Punkte klären wir im Workshop.
Wir klären in einem halben bis ganzen Tag Schutzziele, relevante Techniken, Prüftiefe, Erfolgsindikatoren und Eskalationsregeln. Grundlage sind Ihre Umgebung, Ihre Sicherheitswerkzeuge und Bedrohungsinformationen zu Ihrer Branche. Am Ende steht ein Testplan, der Umfang und Reihenfolge der Prüfungen festlegt.
