Pentera

Pentera nutzt Schwachstellen tatsächlich aus. Statt eine Angriffstechnik gegen eine Sicherheitsmaßnahme zu simulieren, verkettet es echte Ausnutzung auf sichere Weise über das interne Netz, die Cloud und die externe Angriffsfläche und meldet, welche Angriffspfade gelungen sind. Ein Befund ist hier ein Beweis, keine Wahrscheinlichkeit.

Das Testen exponierter Zugangsdaten ist eine besondere Stärke, die Scanner-zentrierten Plattformen vollständig entgeht: Abgegriffene und geleakte Zugangsdaten werden in der gesamten Umgebung auf Wiederverwendung getestet, und genau so schreitet ein großer Teil realer Einbrüche voran.

Die Mobilisierung hat sich Ende 2025 mit der Übernahme von DevOcean verändert, heute als Pentera Resolve vertrieben: Das Modul sichtet und dedupliziert Befunde aus den übrigen Tools, reichert sie zusätzlich zu Penteras Nachweis der Ausnutzbarkeit mit Verantwortlichkeiten und organisatorischem Kontext an, leitet sie über mehr als 100 Integrationen weiter und verfolgt Service-Level-Agreements. Damit wird aus einem Validierungsprodukt etwas, das einem Programmwerkzeug näherkommt. Die Aussagen zum Kontext stammen vom Anbieter; es empfiehlt sich, sich zeigen zu lassen, wie die Rangfolge gewichtet wird.

Die Discovery ist ein Nebenprodukt der eigenen Aufklärung der Angriffs-Engine plus des Moduls Surface für externe Assets und damit kein Asset-Inventar. Ein Scoping-Modul gibt es nicht, und daneben wird eine Exposure-Plattform oder ein Scanner benötigt.

In der Demo prüfen: die Schutzmechanismen für Change Control und Blast Radius beim Ausführen echter Ausnutzung in der Produktion und wer in der Organisation das freigeben muss, denn an diesem Gespräch scheitert es üblicherweise.