Den Sicherheitsbericht verstehen
Worum geht es?
Der Sicherheitsbericht zeigt, was wir geprüft haben und was dabei herauskam. Wir erstellen ihn monatlich, derzeit starten wir den Lauf von Hand. Er ist eine Selbstauskunft und kein unabhängiger Test.
Schutzziel
Du sollst nachlesen können, was wir behaupten, statt es glauben zu müssen. Dafür muss der Bericht auch ohne Sicherheitswissen verständlich sein.
Funktionsprinzip
Der Bericht besteht aus festen Teilen, die jeden Monat wiederkehren:
- In Zahlen: Anzahl der automatisierten Tests, geprüfte Angriffsszenarien, Ergebnis des Mutation-Testings, Zugriffsversuche auf Daten fremder Nutzer in einer Testumgebung und das Ergebnis des Scans der Beta-Instanz.
- Angriffsszenarien: Eine Tabelle mit den 14 Szenarien und ihrem Ergebnis: bestanden, bestanden mit dokumentierten Grenzen oder bekannte verbleibende Maßnahme.
- Gefunden und behoben: Was die Prüfungen aufgedeckt haben und wie es korrigiert wurde.
- Offene Punkte: Was wir kennen und noch nicht behoben haben.
- Grenzen: Was die Tests nicht beweisen.
Maßnahmen
Wir setzen beim Bericht auf drei Regeln, damit er nicht schönfärbt:
- Der Bericht entsteht aus einem echten Testlauf, nicht aus einer von Hand gepflegten Liste.
- Ein Szenario gilt nur als bestanden, wenn seine Tests im aktuellen Lauf vorkommen und bestehen. Ein früherer Stand wird nicht stillschweigend übernommen, ein Rückschritt wird gemeldet.
- Der Abschnitt über die Grenzen gehört zu jedem Bericht und wird nicht gekürzt.
Wenn du eine Sicherheitslücke findest, steht der Meldeweg in der Sicherheitsrichtlinie auf bluegreen-solutions.de/sicherheitsrichtlinie.
Was wir nicht versprechen
- Der Bericht ist eine Momentaufnahme. Er beschreibt definierte Eigenschaften unter dokumentierten Voraussetzungen und sagt nichts über künftige Schwachstellen.
- Er ersetzt keinen unabhängigen Penetrationstest. Einen solchen hat es bisher nicht gegeben.
- Nicht erfasst sind Lasttests, Social Engineering und Angreifer mit Root-Zugriff auf den Server.
Wie wir das prüfen
Die Zuordnung der Szenarien zu Testklassen ist im Quelltext festgelegt. Ein Test stellt sicher, dass jede dort genannte Testklasse existiert, damit der Bericht nichts behauptet, was nicht geprüft wird. Die Kennzahlen dieses Monats stehen im Bericht selbst und werden hier nicht wiederholt.
Nachweis-Tests
| Test | Das belegt der Test |
|---|---|
RedTeamValidationCatalogCoverageTest |
Jede Testklasse, die der Bericht einem Angriffsszenario zuordnet, existiert wirklich. |
Änderungsverlauf
- : Erste Fassung.