Welche Leistung beauftragen Sie?
Ein sinnvoller Penetrationstest für eine Bank beginnt mit einer geschäftlichen Entscheidung: Welchen Zugriff oder welche Aktion darf ein Angreifer nicht erlangen können? Legen Sie Kundenrollen, Freigabestatus von Zahlungen und privilegierte Aktionen fest und vereinbaren Sie anschließend, wie der Test das Ergebnis nachweisen soll. Das Angebot sollte Umfang, Ausschlüsse, Zuständigkeiten bei der Durchführung, Berichtsinhalte und etwaige Nachtests jeweils gesondert aufführen.
Beginnen Sie mit der Sicherheitsentscheidung
Stellen Sie fest, welche Änderungen ein kompromittierter Kanal oder eine kompromittierte Dienstidentität tatsächlich vornehmen kann, wo unabhängige Kontrollen dies verhindern und welche Korrekturen Vorrang haben sollten.
Die Integrität von Zahlungen erfordert mehr als einen erfolgreichen API-Aufruf. Wir unterscheiden zwischen einem geänderten Entwurf, einer akzeptierten Freigabe und einer abgewiesenen Ausführung und dokumentieren die weiterhin wirksamen Kontrollen.
Eine Supportanwendung kann zum Einstiegspunkt für CI-Zugangsdaten und eine überprivilegierte Zahlungsidentität werden. Ein separater Signaturdienst kann die Freigabe dennoch verhindern. Eine aussagekräftige Bewertung erläutert jeden Übergang, statt aus einem einzelnen verwundbaren Host abzuleiten, dass die gesamte Bank kompromittiert wurde.
Ein vereinbarter Umfang statt eines offenen Scans
Wir legen die Systeme, Identitäten, Arbeitsabläufe und Schnittstellen fest, die zur Beantwortung der Prüfungsziele erforderlich sind. Schriftliche Genehmigung, Zustimmung Dritter, Testkonten und ein vereinbarter Datensatz müssen vor Beginn der aktiven Arbeiten vorliegen. Ein Angebot hält neben den einbezogenen auch die ausgeschlossenen Bereiche und Abhängigkeiten fest.
Für iOS-, Android- und Online-Banking-Prozesse verbindet unser Penetrationstest von Banking-Apps die Sicherheit der Clients mit Prüfungen der Kontowiederherstellung, der Kundentrennung und der Zahlungsautorisierung.
- Penetrationstests für digitales Banking und APIs — Prüfen Sie Kunden-, Mitarbeiter- und Dienstberechtigungen innerhalb der Grenzen der Banking-Anwendung.
- Tests von Banknetzwerken & privilegierten Identitäten — Verknüpfen Sie externe Einstiegspunkte mit den internen Vertrauenspfaden, auf die es ankommt.
- Tests von Zahlungsabläufen und Autorisierungen — Prüfen Sie, wer Zahlungen erstellen, ändern, genehmigen und freigeben darf.
Fragen, die der Test beantworten kann
- Kann ein externer Supportdienst eine interne Workload-Identität offenlegen?
- Kann ein Zahlungsdienst dieselbe vorbereitete Transaktion ändern und genehmigen?
- Kann eine Lieferantenidentität nach dem Entzug der Berechtigungen weiterhin auf die Wiederherstellungsverwaltung zugreifen?
Dies sind Beispiele für die Festlegung des Umfangs und keine Aussage, dass jeder Auftrag alle Methoden oder Systeme umfasst. Im abschließenden Testplan werden die zulässigen Maßnahmen, die erwarteten Ergebnisse und die erforderlichen Beobachtungen festgehalten, die jede Schlussfolgerung stützen.
Operative Schutzmaßnahmen sind Teil der Methodik
Verwenden Sie vorbereitete Zahlungen und synthetische Kunden bei deaktivierter Abwicklung. Vereinbaren Sie eine unabhängige Befugnis zum Stoppen, den Transaktionsabgleich, namentlich benannte Systemverantwortliche und Berechtigungen für Drittanbieter-Dienste. Trennen Sie nachgewiesene Änderungen an Entwürfen von nicht ausgeführten Geldtransfers.
Tests können Risiken mit sich bringen. Vereinbaren Sie, wer Aktivitäten pausieren darf, welche Bedingungen eine Eskalation auslösen und wie echte Vorfälle von Aktivitäten im Rahmen der Übung unterschieden werden. Das Senden einer Anfrage über diese Website genehmigt keinen Test.
Von Feststellungen zu verifizierten Maßnahmen
Sie erhalten eine Managementübersicht, eine klar abgegrenzte technische Dokumentation, reproduzierbare Feststellungen und ein Maßnahmenregister. Jede Feststellung sollte das beobachtete Ergebnis, den nachgewiesenen Zugriff oder Vorgang, dessen Grenzen und einen praktikablen Abnahmetest erläutern. Umfang und Zeitpunkt des Retests werden in der Leistungsbeschreibung vereinbart.
Sehen Sie sich das Muster von Megabank AG an oder prüfen Sie die Arbeitsergebnisse, bevor Sie Ihre Anforderungen besprechen.
Bereiten Sie vor dem Scoping-Gespräch ein Briefing vor
Beschreiben Sie den Bankbetrieb, den Sie schützen müssen, und die Grenze, die der Test nachweisen soll. Ein aussagekräftiger Prüfauftrag unterscheidet zwischen Kanalzugriff, Zahlungsfreigabe und tatsächlicher Ausführungsbefugnis.
Verwenden Sie den kostenlosen Generator für Leistungsbeschreibungen von Bank-Penetrationstests, um Ziele, Prüfbereiche, Einschränkungen und NDA-Präferenzen festzuhalten. Prüfen Sie den vorgeschlagenen Umfang und senden Sie ihn anschließend direkt über das Kontaktformular an Atlant Security.
