Würz, R. (2020):Test-Umgebung zur Evaluierung von SchwachstellenscannernSchwachstellenscanner ermöglichen es Zielsysteme auf das Vorhandensein bekannter Sicherheitslücken zu untersuchen. Studien zeigen, dass die Wahl des richtigen Schwachstellenscanners essenziell für die Qualität der Scan-Ergebnisse ist und ein falscher Scanner oder eine falsche Konfiguration unzureichende und fehlerhafte Ergebnisse erzeugen können. Unerkannte Schwachstellen können als Einfallstor für Hacker dienen und stellen somit ein Risiko für die Sicherheit einer Anwendung dar. Ein passender Scanner ist abhängig von szenario-spezifischen Anforderungen. So ist nicht jeder Scanner für jeden Anwendungsfall ähnlich geeignet oder verschlechtert sogar die Scan-Resultate, wenn er falsch angewendet wird. Konkret ist ein Scanner von Datenbanken nicht ebenso gut für Scans von Webseiten geeignet. Diese Masterarbeit entwickelt das Konzept einer universellen automatisierten Test-Umgebung für Schwachstellenscanner, welche Unternehmen und Forschenden dabei hilft verschiedene Schwachstellenscanner miteinander zu vergleichen. Der Vergleich geschieht anhand von Qualitätsmerkmalen eines solchen Scanners. Die Erkennungsrate der vorhandenen Schwachstellen sowie Nebenwirkungen der Scans auf die Zielsysteme sind beispielhafte Merkmale. Die zu beantwortende Kernfrage lautet: Wie sieht das Konzept einer gesamtheitlichen Test-Umgebung für Schwachstellenscanner aus und lässt sich dieses anhand einer Referenzimplementierung in der Praxis anwenden? In dieser Arbeit werden zunächst Anforderungen an eine solche Test-Umgebung aus Anwendungsfällen abgeleitet, welche im Folgenden die Grundlage eines Gesamtkonzepts bilden. Eine anschließende Referenzimplementierung zeigt, wie eine Test-Umgebung es einem Anwender ermöglicht eine informierte Entscheidung bezüglich eines passenden Schwachstellenscanners zu treffen.
|