Musterbericht für einen Krankenhaus-Pentest | Vorschau des 68-seitigen PDFs

Projekt Meridian: eine fiktive Übung der Hospital AG mit drei kritischen Funktionen, drei Szenarien und zwölf Feststellungen. Alle Systeme, Beteiligten und Ergebnisse sind erfunden.

Das Team erlangt auf einem über das Internet erreichbaren Diagnosehost Befehlsausführung ohne Root-Rechte, greift auf CI zu und verwendet ein Service-Token, um eine Canary-Überweisung zu ändern. Die Zusammenfassung trennt diese nicht unterstützte Angriffskette von den Ergebnissen mit Unterstützung durch CRM und Wiederherstellung und benennt die wirksamen Kontrollen für klinische Freigaben, Kerndaten und unveränderliche Kopien.

Die Architektur verbindet Kundenkanäle, Identitäten und Lieferanten mit den Perimeter-, Betriebs- und Supportzonen. Überweisungen, digitale Konten und das Treasury hängen von Kerndaten, Erkennung und Wiederherstellung ab. Pfeile stellen logische Abhängigkeiten dar, keinen uneingeschränkten Netzwerkzugriff.

Das Team sendet eine wörtliche Command-Injection-Probe und erhält vom WAF den Status 403. Eine Unicode-escaped Variante erhält den Status 200 und gibt id-, hostname- und pwd-Ausgaben als svc_diag auf hc-diag-01 zurück. Beide HTTP-Austausche, Request-IDs und UTC-Zeitangaben werden als synthetische Belege dargestellt.

F-03 zeigt eine PATCH-Anfrage unter Verwendung der übernommenen Identität svc_care_orch, die akzeptierte Änderung des Routing-Ziels auf MER-REF-0042 und eine unabhängige Rücklesung. Der Dienst ändert den Canary-Entwurf, während eine separate klinische Freigabeberechtigung den Live-Versand verhindert.

F-06 beschreibt eine Wiederholung vom akzeptierten WAF-Request über CI bis zur Überweisungs-API. Ein Fall muss Host, Request, Artefakt, Principal und Überweisung verknüpfen; das Triage-Ziel beträgt 15 Minuten. Das Verfahren ist ausdrücklich als noch nicht ausgeführt gekennzeichnet; eine künftige Validierung wird nicht als bestandener Retest dargestellt.

Für drei Feststellungen sind Abschlussprüfungen dokumentiert: Command Injection, Sitzungswiderruf und Bereinigung. Neun sind noch offen; für Berechtigungsnachweise, Überweisungs- und Wiederherstellungsbefugnisse, Genehmigungsbindung, Segmentierung, Erkennung und unterstützende Kontrollen sind Termine festgelegt. Dies sind fiktive Ziele für Anbieter, keine gesetzlichen Behebungsfristen.

Die Zuordnung verknüpft geprüfte Ergebnisse mit Kontrollzielen, verantwortlichen Eigentümern, Verifikationsnachweisen und den Grenzen der Prüfung. Sie stellt keine regulatorische Zertifizierung in Aussicht.