PTES – Struktur für Pentests, aber kein vollständiger Standard
Der Penetration Testing Execution Standard (PTES) beschreibt eine strukturierte Methodik für die Durchführung von Penetrationstests. Ziel des Standards ist es, typische Projektphasen eines Pentests zu definieren und damit einen nachvollziehbaren Ablauf von der Planung bis zur Dokumentation der Ergebnisse zu schaffen. Der Standard entstand um 2010 als gemeinschaftliche Initiative von Sicherheitsexperten. PTES wird bis heute häufig als Referenz genannt, wenn es um den generellen Ablauf eines Penetrationstests geht. In der Praxis dient er jedoch meist eher als konzeptioneller Rahmen als als vollständige technische Methodik.
Die PTES-Phasen
PTES unterteilt einen Penetrationstest in sieben typische Projektphasen.
Pre-Engagement Interactions
In dieser Phase werden organisatorische und rechtliche Rahmenbedingungen festgelegt. Dazu gehören insbesondere Scope, Testziele, Kommunikationswege sowie die sogenannten Rules of Engagement.
Intelligence Gathering
Hier werden Informationen über die Zielumgebung gesammelt. Dazu zählen beispielsweise öffentlich verfügbare Daten, DNS-Informationen, Subdomains oder Hinweise auf eingesetzte Technologien.
Threat Modeling
Auf Basis der gesammelten Informationen werden mögliche Angriffsszenarien bewertet. Ziel ist es, realistische Angriffspfade und besonders kritische Systeme zu identifizieren.
Vulnerability Analysis
In dieser Phase werden potenzielle Schwachstellen identifiziert. Dies erfolgt in der Regel durch eine Kombination aus automatisierten Scans und manuellen Analysen.
Exploitation
Gefundene Schwachstellen werden anschließend praktisch überprüft. Dabei wird untersucht, ob und in welchem Umfang eine Ausnutzung möglich ist.
Post-Exploitation
Nach erfolgreichem Zugriff wird analysiert, welche weiteren Auswirkungen möglich sind. Dazu gehören beispielsweise Privilege Escalation, Zugriff auf sensible Daten oder laterale Bewegungen im Netzwerk.
Reporting
Am Ende des Projekts werden alle Ergebnisse dokumentiert. Der Bericht beschreibt identifizierte Schwachstellen, deren Auswirkungen sowie mögliche Maßnahmen zur Behebung.
Die Phasen bilden damit eine sinnvolle Struktur für den Ablauf eines Penetrationstest-Projekts.
Kritische Betrachtung
Trotz seiner Bekanntheit ist PTES heute selten die alleinige methodische Grundlage für Penetrationstests.
Ein wesentlicher Grund ist die begrenzte technische Detailtiefe des Standards. Die beschriebenen Phasen definieren zwar den Ablauf eines Pentests, enthalten jedoch nur wenige konkrete Prüfmethoden. Für die praktische Durchführung sind daher zusätzliche technische Leitfäden und eigene Methodiken notwendig.
Hinzu kommt, dass der Standard seit seiner ursprünglichen Veröffentlichung nur begrenzt weiterentwickelt wurde. Einige technische Beispiele im PTES beziehen sich auf inzwischen veraltete Plattformen und Werkzeuge. So werden in den technischen Abschnitten beispielsweise ältere Windows-Versionen wie Windows XP oder Windows 7 als Referenzsysteme genannt.
Auch moderne IT-Architekturen werden im ursprünglichen PTES kaum behandelt. Themen wie Cloud-Infrastrukturen, containerisierte Plattformen oder komplexe Identity-Systeme spielen im Standard nur eine untergeordnete Rolle.
Darüber hinaus handelt es sich beim PTES nicht um einen formal gepflegten Industriestandard mit klar definierter Governance. Eine regelmäßige Aktualisierung durch eine Standardisierungsorganisation findet nicht statt. Dadurch entwickelt sich der Standard nicht weiter und bildet keine aktuellen technische Entwicklungen ab.
