Durchführung von SVV3 & SVV4 Pentests

Start: März 2025

Dauer: 3 Monate +
Aulastung: Vollzeit
Lokation: Remote & Kölleda (90/10 - (Onboarding, Kickoff & Abschlussmeeting vor Ort)

Aufgaben:

* Durchführung SVV3 Pen-Test und SVV4 Eindringtests (Scantest)

* Prüfungen müssen das Folgende umfassen:

a) die Prüfung von Missbrauchsfällen oder Prüfungen mit verfälschten oder unerwarteten Eingaben, die auf die Aufdeckung von IT-Sicherheitsproblemen ausgerichtet sind. Dazu müssen manuelle oder automatisierte Prüfungen von Missbrauchsfällen und spezielle Arten der Prüfung von Missbrauchsfällen aller externen Schnittstellen und Protokolle gehören, für die Werkzeuge vorhanden sind. Beispiele dafür sind Fuzz-Prüfungen und Prüfungen des Netzwerkverkehrs und der Netzwerkkapazität

b) eine Analyse der Angriffsfläche zur Bestimmung aller Eintritts- und Austrittswege in ein und aus einem System, allgemeiner Sicherheitslücken einschließlich unter anderem schwache ACL, offener Anschlüsse und Dienste mit erweiterten Berechtigungen

c) ein Black-Box-Scan auf bekannte Sicherheitslücken, der auf die Feststellung bekannter Sicherheits-lücken in Produkthardware-, Host- oder Softwarekomponenten ausgerichtet ist; Das kann z. B. ein netz-werkbasierter Scan auf bekannte Sicherheitslücken sein

1) bekannte Sicherheitslücken in den Softwarekomponenten des Produkts
2) eine Verknüpfung mit verwundbaren Bibliotheken
3) Verletzungen von IT-Sicherheitsvorschriften
4) Compiler-Einstellungen, die zu Sicherheitslücken führen können
e) eine Prüfung der dynamischen Ressourcenverwaltung für die Laufzeit, die Mängel feststellt, die bei der statischen Codeanalyse nicht aufgedeckt werden, einschließlich unter anderem von Dienstleistungs-verhinderungen aufgrund eines Versagens der Laufzeitabwicklung, von Speicherlecks und Zugriffen auf gemeinsam genutzte Speicher ohne Authentifikation

Anforderungen:

* IEC 62443 Normen
* Teile 4-1 und 4-2
* SVV3 u. SVV4
* Linux Kenntnisse
* Erfahrung embedded devices
* Es muss ein Prozess zur Kennzeichnung und Beschreibung sicherheitsbezogener Probleme mittels Prüfungen angewendet werden, die auf das Aufspüren und Ausnutzen von IT-Sicherheitslücken im Produkt ausgerichtet ist