Nicht ohne guten Grund wird bei Security-Prüfverfahren zwischen:

• „White-Box“-Test … und …
• „Black-Box“-Test

unterschieden.

Alle Netzwerk-Prüfverfahren für IT-Security sind nur -mit mehr oder minder guter Qualität- für einen Black-Box-Test geeignet; d.h. sie prüfen Rechnersysteme nur in ihrem Außenverhältnis zum Netzwerk auf sichere Verhältnisse. Und so läßt sich nur eine sehr eingeschränkte Security herstellen - bezogen auf den Umstand, daß 70% aller Angriffe auf IT-Infrastrukturen im Innenverhältnis begangen werden.

Zudem sind Black-Box-Tests potentiell gefährlich, weil sie -irrwitziger Weise- zum Nachweis der Sicherheit nur aussagefähig sind, wenn sie mit 'brute force'-Methodik Angriffe auf die eigenen Systeme ausüben – denn ein Hacker wird sich sicher nicht scheuen, dies zu tun. Das dabei ein Rechnersystem (oder gar ein ganzes [Teil-]Netz) abstürzt, muß in Kauf genommen werden. Black-Box-Tests im Produktiv-Betrieb durchzuführen ist somit auch noch höchst unprofessionell, so daß sie -professionellen Betrieb vorrausgsetzt- selten durchgeführt werden (können) – zum zusätzlichen Schaden der Security-Verhältnisse schon allein auf das Netzwerk bezogen.

Ein Black-Box-Test ermittelt immer nur, ob es Schlupflöcher zum betreffenden Rechnersystem gibt. Ob es sie im Rechnersystem gibt, bleibt einem Black-Box-Test völlig verborgen. Das sind beste Voraussetzungen für Hacker …

Erst ein White-Box-Test, der die inneren Verhältnisse eines Rechnersystems auditiert, stellt taugliche Information über den Security-Status eines Rechnersystems bereit, aus dem sich mögliche und notwendige Maßnahmen ableiten lassen.

• Alle Netzwerke sind potentiell unsicher – sie müssen es sein, damit sie durch ihre Durchlässigkeit als Kommunikationswege taugen.
• Ein sicheres Rechnersystem ist auch in einem unsicheren Netzwerk nicht angreifbar!
• Rechnersysteme als die operative Einheiten dürfen nicht unsicher sein – deshalb muß gerade ihnen das Augenmerk gewidmet sein, wenn es um IT-Security geht.

Black-Box- und White-Box-Test sind lediglich gemeinsam die beiden wichtigsten Methoden – aber sie sind als solche auch nur zwei wichtige Komponenten einer Prozeß-Infrastruktur und eines Prozesses, der etabliert werden muß, damit adäquate Security ein Qualitätsmerkmal einer IT-Infrastruktur werden kann, das durch einen kontinuierlichen Prozess diese Qualität sichert - und nur dann schützt …

Ein wirksamer Security-Prozeß muß daher:

• planmäßig
• regelmäßig … und …
• pro-aktiv

alle Rechnersysteme (Server) einer IT-Landschaft auf bestehende oder entstandene system-immanente Sicherheitsmängel prüfen.