Bei einer Schwachstellenanalyse (gelegentlich auch unzutreffend mit Pentests gleichgesetzt) werden ein oder mehrere IT-Systeme, zum Beispiel eine Webanwendung oder ein Webservice, auf Sicherheitsschwachstellen untersucht.
Das Ziel ist es, Schwachstellen, die ein Angreifer ausnutzen könnte, möglichst frühzeitig zu erkennen. Dabei greifen wir auf unsere Toolchain und Erfahrung aus Penetrationstests und Angriffssimulationen zurück.
Im Gegensatz zu einem Penetrationstest wird das Zielsystem vorwiegend automatisiert untersucht, um möglichst effizient viele Problemstellen aufzudecken. Zudem werden Schwachstellen zwar aufgezeigt, in der Regel wird aber nicht versucht diese weiter auszunutzen (sog. “Eskalation”), da dies oft zeit- und kostenintensiv ist.
Neben dem automatisierten Schwachstellenscan findet zusätzlich eine manuelle Analyse der verschiedenen Scanergebnisse statt, z. B., um False-Positives zu bereinigen oder für eine erste Risikoeinschätzung.
