OWASP IoT Security Testing Guide
Teststruktur für Geräte, Firmware, Kommunikation, Schnittstellen und Komponenten des Ökosystems.
Penetrationstests
Penetrationstests für IoT und vernetzte Systeme
Eine maßgeschneiderte Bewertung des autorisierten Geräteökosystems, die das Produkt, lokale Schnittstellen, Kommunikation und unterstützende Cloud- oder Mobilkomponenten im vereinbarten Umfang umfasst.
Prüfumfang
Was getestet wird
Der endgültige Prüfumfang wird bei der Auftragsabgrenzung vereinbart und ist auf Systeme beschränkt, für die eine schriftliche Genehmigung vorliegt.
Geräteschnittstellen und exponierte Dienste
Umgang mit Firmware und eingebetteten Geheimnissen
Authentifizierung und Autorisierung
Update- und Wiederherstellungsmechanismen
Funk-, Netzwerk- und Anwendungsprotokolle
Zugehörige Mobil-, Web- und Cloud-Dienste
Auftragsablauf
Kontrolliert von der Autorisierung bis zum Wiederholungstest.
01
Prüfumfang & Autorisierung
Definieren Sie Ziele, freigegebene Systeme, Einschränkungen, Testzeitfenster, Ansprechpartner und Durchführungsregeln.
02
Bestandsaufnahme
Legen Sie die autorisierte Angriffsfläche, Architektur, Benutzerrollen, Assets und anwendbaren Prüfkriterien fest.
03
Kontrollierte Tests
Prüfen Sie den freigegebenen Umfang mit manuellen und technischen Methoden, die für die jeweilige Umgebung geeignet sind.
04
Validierung
Bestätigen Sie Befunde auf sichere Weise, schließen Sie Fehlalarme aus und ermitteln Sie die tatsächlichen technischen und geschäftlichen Auswirkungen.
05
Berichterstattung
Sie erhalten durch Nachweise belegte Feststellungen, Risikobewertungen, eine Managementzusammenfassung und Prioritäten für die Behebung.
06
Prüfung der Behebungsmaßnahmen
Prüfen Sie die vorgeschlagenen Korrekturmaßnahmen und klären Sie die Umsetzungsprioritäten mit dem Prüfungsteam.
07
Nachtest
Überprüfen Sie die vereinbarten Korrekturen und dokumentieren Sie für jeden geprüften Befund, ob er behoben, abgemildert oder weiterhin offen ist.
Prüfungsreferenzen
Branchenstandards und Leitlinien
ETSI EN 303 645
Grundlegende Sicherheitsanforderungen für Verbraucher-IoT, die gegebenenfalls als Kontext für das Audit herangezogen werden.
NISTIR 8259-Reihe
Leitlinien zu Cybersicherheitsfunktionen von Geräten und Maßnahmen der Hersteller.
Standards dienen als Grundlage für den Prüfumfang und die Testabdeckung. Eine Prüfung stellt für sich genommen keine Zertifizierung dar und garantiert keine Konformität.
Berichterstattung
Was Sie erhalten
Prüfumfang für Komponenten und Vertrauensgrenzen
Validierte Befunde zu Geräten und Ökosystem
Nachweise und praktische Auswirkungen
Technische Handlungsempfehlungen zur Behebung
Nachtestplan
Legen Sie einen geeigneten Prüfumfang fest.
Besprechen Sie die Systeme, Ziele, Zugriffsebene und erforderlichen Nachweise mit DIGITPOL.