LOGIC
Capabilities · Was geprüft wird

Nicht der Scan. Der Angriff.

Ein Scanner gleicht bekannte Muster ab. Vordask fragt, wofür ein System da ist — und wo sich das gegen den Betreiber wenden lässt.

// Methodik: BSI
Anwendungen

Was in Anwendungen
schiefgeht.

01
Zugriffsrechte
Benutzer erreichen Daten und Funktionen, die ihnen nicht gehören.
02
Login & Sitzungen
Schritte, die schützen sollen und sich überspringen lassen.
03
Bezahl- & Prozesslogik
Erlaubte Schritte in einer Reihenfolge, die niemand vorgesehen hat.
04
Mandantentrennung
Ob die Grenze zwischen zwei Kunden tatsächlich hält.
Netzwerke

Was im Netz
offen steht.

01
Internes Netz
Was jemand erreicht, der einmal drin ist — und wie weit er kommt.
02
Von außen sichtbar
Welche Systeme das Internet sieht und was davon dort nicht hingehört.
03
Active Directory
Der Weg vom normalen Konto zu Administratorrechten.
04
WLAN & Infrastruktur
Ob die Trennung zwischen Netzen hält, die getrennt sein sollen.
Methode

Erst Hypothese,
dann Beweis.

Verstehen
Was soll das System tun, wer darf was.
Annehmen
Konkret formulieren, was nicht möglich sein dürfte.
Angreifen
Den Weg tatsächlich gehen, statt ihn zu vermuten.
Nachstellen
Wiederholen. Was nicht reproduzierbar ist, wird kein Finding.
Bericht

Ein Bericht, der der
Prüfung standhält.

Anfrage

Auf was soll ich
es ansetzen?

Ein paar Zeilen zum Ziel genügen für den Anfang.

// Pentest anfragen