Schnelle und sichere SOC 2 Compliance mit Cloud Penetration Testing

Einen SOC 2-Bericht zu erhalten, ist nicht gerade ein unterhaltsames Wochenendprojekt. Wenn Sie Teil eines wachsenden Unternehmens sind, wissen Sie wahrscheinlich bereits, dass es bei dem "System and Organization Controls"-Audit weniger um eine einzelne Checkliste geht, sondern vielmehr darum, zu beweisen, dass Sie tatsächlich das tun, was Sie sagen. Es ist eine strenge Prüfung Ihrer internen Kontrollen, und für viele B2B-Softwareunternehmen ist es der Unterschied zwischen dem Abschluss eines sechsstelligen Geschäfts und dem Ignoriertwerden in der Beschaffungsphase.

Der Druck, SOC 2-konform zu werden, kommt oft von Ihren Kunden. Sie wollen wissen, dass ihre Daten in Ihrer Cloud sicher sind. Der Auditprozess kann jedoch langsam, teuer und ehrlich gesagt etwas überwältigend sein, wenn Sie nicht vorbereitet sind. Einer der größten Stolpersteine ist die technische Sicherheitsanforderung – insbesondere der Nachweis, dass Sie Ihre Abwehrmaßnahmen gegen reale Angriffe getestet haben. Hier kommt Penetration Testing ins Spiel.

Früher beauftragte man einen Berater, wartete wochenlang auf einen freien Termin, zahlte eine hohe Pauschalgebühr und erhielt einen PDF-Bericht, der ein Jahr lang statisch blieb. Dieses Modell funktioniert in einer modernen DevOps-Umgebung nicht gut. Cloud Penetration Testing hat das Spiel verändert und es ermöglicht, Schwachstellen zu identifizieren und schnell genug zu beheben, um enge Auditfristen einzuhalten. Bei Penetrify sehen wir, wie ein Cloud-nativer Ansatz für Sicherheitsbewertungen ein monatelanges Kopfzerbrechen in einen rationalisierten, überschaubaren Prozess verwandelt.

In diesem Leitfaden werden wir genau aufschlüsseln, wie Cloud Penetration Testing Ihnen hilft, die SOC 2-Konformität schnell zu sichern. Wir werden uns die spezifischen Anforderungen, die häufigsten Fallstricke, die es zu vermeiden gilt, und die Verwendung moderner Tools ansehen, um auch lange nach dem Weggang der Auditoren sicher zu bleiben.

Warum SOC 2-Konformität heute unverzichtbar ist

Seien wir ehrlich: Niemand strebt eine SOC 2-Konformität an, weil er zu viel Freizeit hat. Sie tun es, weil der Markt es verlangt. Wenn Sie Kundendaten in der Cloud speichern, sind Sie ein Ziel. Ihre Kunden wissen das, und ihre Rechtsabteilungen werden sich nicht darauf verlassen, dass Ihre "Sicherheit erstklassig" ist.

SOC 2 basiert auf den Trust Services Criteria: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Während Sie wählen können, welche davon Sie einbeziehen möchten (abgesehen von der Sicherheit, die obligatorisch ist), ist das Ziel, zu demonstrieren, dass Ihre Organisation einen konsistenten Weg hat, Risiken zu managen.

Die Rolle von Penetration Testing in SOC 2

Technisch gesehen schreit der SOC 2-Rahmen nicht explizit "Sie müssen alle sechs Monate einen Pen Test durchführen". Stattdessen spricht er von "Hintergrund- und internen Kontrollaktivitäten" und "Risikobewertung". Auditoren suchen jedoch fast immer nach unabhängigen Sicherheitsbewertungen. Sie wollen sehen, dass eine objektive dritte Partei – oder eine hochentwickelte automatisierte Plattform – versucht hat, in Ihre Systeme einzudringen und die Ergebnisse gemeldet hat.

Ohne einen Penetration Test ist es sehr schwer, die Komponenten "Überwachungsaktivitäten" und "Risikobewertung" des Audits zu erfüllen. Sie müssen beweisen, dass Ihre Kontrollen tatsächlich wirksam sind, nicht nur, dass sie auf dem Papier existieren.

Geschwindigkeit als Wettbewerbsvorteil

In der Startup- und Scale-up-Welt ist Geschwindigkeit alles. Wenn ein potenzieller Unternehmenskunde sagt: "Wir müssen Ihren SOC 2 Type 2-Bericht sehen, bevor wir unterschreiben", ist jede Woche, die Sie auf einen Pen Test-Bericht warten, eine Woche verzögerter Umsatz. Traditionelle Boutique-Sicherheitsfirmen haben oft lange Vorlaufzeiten. Die Verwendung einer Plattform wie Penetrify ermöglicht es Ihnen, fast sofort mit dem Testen zu beginnen, was der erste Schritt ist, um den gesamten Compliance-Lebenszyklus zu beschleunigen.

Den Unterschied verstehen: Typ 1 vs. Typ 2

Bevor wir uns mit den Details des Testens befassen, müssen Sie wissen, welchen Bericht Sie eigentlich anstreben, da dies bestimmt, wie Sie Penetration Testing einsetzen.

SOC 2 Typ 1: Die Momentaufnahme

Ein Typ 1-Bericht betrachtet Ihre Kontrollen zu einem bestimmten Zeitpunkt. Es ist wie ein Foto. Der Auditor prüft, ob Sie eine Firewall haben, ob Sie MFA verwenden und ob Sie kürzlich einen Pen Test durchgeführt haben. Dies ist in der Regel der schnellere Weg und dient als "Brücke", während Sie auf die umfassendere Version hinarbeiten. Für einen Typ 1 reicht in der Regel ein einziger gründlicher Cloud Pen Test aus, um zu signalisieren, dass Ihre technischen Kontrollen vorhanden sind.

SOC 2 Typ 2: Das Video

Ein Typ 2-Bericht ist viel anspruchsvoller. Er deckt einen Zeitraum von in der Regel sechs bis zwölf Monaten ab. Der Auditor will nicht nur sehen, dass Sie einen Pen Test-Bericht haben, sondern auch, wie Sie mit den Ergebnissen umgegangen sind. Haben Sie die "kritischen" und "hohen" Schwachstellen innerhalb eines angemessenen Zeitrahmens (in der Regel 30-60 Tage) behoben? Haben Sie Folgetests durchgeführt, um die Korrekturen zu überprüfen?

Hier glänzt Cloud-basiertes Penetration Testing. Da Sie Tests bei Bedarf durchführen können, können Sie einem Auditor nachweisen, dass Sie ständig auf Schwachstellen überwachen und diese in Echtzeit beheben. Dieser "kontinuierliche" Nachweis ist Gold wert während eines Typ 2-Audits.

Wie Cloud Penetration Testing den Prozess beschleunigt

Traditionelles Pen Testing ist ein manueller, arbeitsintensiver Prozess. Ein Berater verbringt ein oder zwei Wochen damit, Ihre Systeme zu untersuchen, und benötigt dann eine weitere Woche, um einen Bericht zu schreiben. Wenn Sie einen Fehler finden, ihn beheben und einen "Re-Test" wünschen, müssen Sie oft extra bezahlen oder auf einen weiteren freien Termin in seinem Zeitplan warten.

Cloud Penetration Testing über eine Plattform wie Penetrify verändert diese Dynamik in mehrfacher Hinsicht:

1. Sofortige Bereitstellung: Sie müssen keine Hardware in ein Rechenzentrum transportieren. Da sich Ihre Infrastruktur wahrscheinlich in AWS, Azure oder GCP befindet, kann eine Cloud-native Testplattform sich integrieren und fast sofort mit dem Scannen Ihres Perimeters und Ihrer internen Assets beginnen.
2. Skalierbarkeit: Wenn Ihre Infrastruktur von 10 Servern auf 100 anwächst, müssen Sie keinen Vertrag neu aushandeln. Moderne Plattformen skalieren die Testressourcen, um sie an Ihre Umgebung anzupassen.
3. Automatisierte Schwachstellenscans + Manuelle Expertise: Viele Cloud-Plattformen kombinieren das Beste aus beiden Welten. Sie verwenden automatisierte Engines, um die "low hanging fruit" (wie veraltete Software oder falsch konfigurierte S3-Buckets) zu finden, während Sicherheitsexperten sich auf komplexe Logikfehler konzentrieren können.
4. Echtzeit-Berichterstattung: Anstatt auf ein 50-seitiges PDF am Ende des Monats zu warten, erhalten Sie ein Dashboard. Sobald eine Schwachstelle bestätigt ist, sehen Sie sie. Ihr Entwicklungsteam kann sofort mit der Behebung beginnen, was das Risiko verringert und die für SOC 2 erforderlichen Nachweise zur "Behebung" beschleunigt.

Die technische Realität: Worauf Cloud Penetration Testing tatsächlich abzielt

Wenn Sie sich auf SOC 2 vorbereiten, sollten Sie nicht einfach blind "alles testen". Sie benötigen eine Strategie, die die Bereiche abdeckt, die für Auditoren am wichtigsten sind. Wenn Sie eine Plattform wie Penetrify verwenden, liegt der Fokus normalerweise auf diesen kritischen Bereichen:

1. Cloud-Infrastruktur und Fehlkonfigurationen

In der Cloud werden die meisten Verstöße nicht durch ausgeklügelte Zero Day Exploits verursacht. Sie werden dadurch verursacht, dass jemand einen S3-Bucket für die Öffentlichkeit zugänglich lässt oder eine Identity and Access Management (IAM)-Richtlinie falsch konfiguriert. Ein guter Cloud Penetration Test sucht gezielt nach diesen Schwachstellen auf Infrastrukturebene.

2. Web Application Security

Wenn Sie ein SaaS-Unternehmen sind, ist Ihre App Ihre größte Angriffsfläche. Das Testen auf die OWASP Top 10 – Dinge wie SQL Injection, Cross-Site Scripting (XSS) und Broken Access Control – ist obligatorisch. Für SOC 2 müssen Sie nachweisen, dass Ihre Anwendung die sensiblen Daten, die sie verarbeitet, schützen kann.

3. API-Schwachstellen

Moderne Apps basieren auf APIs. Oft sind diese weniger geschützt als die Front-End-Schnittstelle. Ein Cloud Penetration Test untersucht Ihre Endpunkte auf Probleme wie "Insecure Direct Object References" (IDOR), bei denen ein Benutzer möglicherweise die Daten eines anderen Benutzers einsehen kann, indem er einfach eine ID in einer URL ändert.

4. Netzwerksicherheit

Auch in der Cloud ist die Vernetzung wichtig. Sind Ihre VPCs ordnungsgemäß isoliert? Gibt es unnötige offene Ports? Tests stellen sicher, dass nur der Datenverkehr, der Ihre Server erreichen sollte, tatsächlich durchgelassen wird.

Schritt für Schritt: Vorbereitung auf Ihren SOC 2 Penetration Test

Wenn Sie schnell vorankommen wollen, können Sie nicht einfach ohne Vorbereitung in einen Test einsteigen. Sie erhalten am Ende einen Bericht voller "einfacher" Ergebnisse, die Sie selbst hätten finden müssen, was dann für einen Auditor schlecht aussieht. Befolgen Sie diese Schritte, um die Effizienz zu maximieren:

Phase 1: Interne Bestandsaufnahme

Bevor Sie einen Test mit Penetrify starten, führen Sie Ihre eigene interne Bestandsaufnahme durch. Welche Assets sind im Geltungsbereich? Normalerweise bedeutet "im Geltungsbereich" alles, was Kundendaten (PII, PHI usw.) berührt.

• Identifizieren Sie alle öffentlich zugänglichen IP-Adressen und URLs.
• Erstellen Sie eine Übersicht Ihrer API-Endpunkte.
• Listen Sie alle Integrationen von Drittanbietern auf, die eine Schwachstelle darstellen könnten.

Phase 2: Schwachstellenmanagement

Führen Sie einen ersten automatisierten Scan durch. Beheben Sie die offensichtlichen Dinge – aktualisieren Sie Ihre Bibliotheken, schließen Sie ungenutzte Ports und erzwingen Sie starke Passwortrichtlinien. Sie möchten, dass Ihr formaler Penetration Test die schwierigen Probleme findet, nicht die grundlegenden. Dies zeigt dem Auditor, dass Ihre interne Sicherheitslage bereits ausgereift ist.

Phase 3: Definieren Sie die Einsatzregeln

Wenn Sie eine Cloud-Plattform verwenden, definieren Sie "Rules of Engagement" (RoE). Dies legt Folgendes fest:

• Der Geltungsbereich: Genau das, was getestet wird.
• Der Zeitplan: Wann die Tests stattfinden (obwohl dies bei Cloud-Tests ohne Unterbrechung oft "kontinuierlich" ist).
• Die Methodik: Wird es "Black Box" (keine Informationen gegeben), "Gray Box" (einige Informationen gegeben) oder "White Box" (voller Zugriff auf Code/Architektur) sein? Gray Box ist oft das beste Gleichgewicht für SOC 2, da es effizient und gründlich ist.

Phase 4: Ausführung und sofortige Behebung

Sobald der Test beginnt, halten Sie Ihr Engineering-Team in Bereitschaft. Eine der besten Möglichkeiten, einen SOC 2-Auditor zu beeindrucken, besteht darin, zu zeigen, dass ein "High"-Severity-Ergebnis am Montag entdeckt und am Dienstag gepatcht wurde. Moderne Plattformen bieten die Sanierungsanleitung, die Ihre Entwickler benötigen, um so schnell vorzugehen.

Häufige Fallstricke, die die Compliance verlangsamen

Selbst mit großartigen Tools stolpern Unternehmen oft über ihre eigenen Füße. Wenn Sie SOC 2 schnell sichern wollen, vermeiden Sie diese häufigen Fehler:

• Bis zur letzten Minute warten: Sie können einen Penetration Test nicht in der Woche vor Ihrem Audit starten. Wenn der Test einen kritischen Fehler findet, benötigen Sie Zeit, um ihn zu beheben, und Zeit für einen erneuten Test, um zu beweisen, dass er behoben ist. Beginnen Sie mindestens 2-3 Monate vor dem Ende Ihres Audit-Fensters.
• Unvollständiger Geltungsbereich: Wenn Sie Ihre Produktionsdatenbank oder Ihre Haupt-API aus dem Geltungsbereich auslassen, wird der Auditor dies bemerken. Er wird fragen, warum die sensibelsten Teile Ihrer Infrastruktur nicht getestet wurden. Ein "unvollständiger" Penetration Test ist fast schlimmer als gar kein Penetration Test.
• Die "Low"- und "Medium"-Risiken ignorieren: Während "Critical"-Risiken beängstigend sind, deutet eine lange Liste von "Medium"-Schwachstellen auf einen Mangel an allgemeiner Hygiene hin. Auditoren betrachten das Volumen der Probleme, nicht nur den Schweregrad.
• Das Versäumnis, die Behebung zu dokumentieren: Bei SOC 2 geht es nicht nur um den Test, sondern auch um den Prozess. Wenn Sie einen Fehler beheben, benötigen Sie einen Nachweis darüber. Cloud-Plattformen, die den Schwachstellenstatus von "Open" über "Fixed" bis "Verified" verfolgen, stellen diesen Audit Trail automatisch bereit.

Penetrify zur Überbrückung der Lücke verwenden

Hier kommt ein spezialisierter Service wie Penetrify ins Spiel. Anstatt verschiedene Scanner und Berater zusammenzufügen, erhalten Sie eine einheitliche Plattform.

Wie es für SOC 2 funktioniert:

• Automatisierte und manuelle Synergie: Penetrify nutzt die Automatisierung, um das mühsame, ständige Scannen Ihrer Infrastruktur zu übernehmen. Dies fängt die kleinen Änderungen ab, die möglicherweise eine Schwachstelle einführen. Dann bietet das manuelle Penetration Testing die Tiefe, die erforderlich ist, um strenge Auditoren zufrieden zu stellen.
• Audit-Bereite Berichte: Sie müssen nichts formatieren. Die Plattform generiert Berichte, die speziell für die Übergabe an einen Auditor entwickelt wurden. Sie enthalten die Methodik, die Ergebnisse und – entscheidend – den Nachweis der Behebung.
• On-Demand-Zugriff: Wenn Sie eine neue Funktion starten oder einen Dienst zu einem neuen Cloud-Anbieter migrieren, können Sie sofort einen Test starten. Sie sind nicht gezwungen, auf den Zeitplan eines Beraters zu warten.

Zuordnung von Penetration Testing zu SOC 2-Kriterien (Die "Interne Kontrolle"-Ansicht)

Wenn Sie mit Ihrem Auditor sprechen, sollten Sie dessen Sprache verwenden. Hier ist, wie Cloud Penetration Testing den Trust Services Criteria zugeordnet ist:

CC4.1: Überwachung und Bewertung

SOC 2 verlangt, dass Sie "laufende und separate Bewertungen" Ihrer Kontrollen durchführen. Ein Penetration Test ist die ultimative "separate Bewertung". Er validiert, dass Ihre Firewall (eine Kontrolle) tatsächlich ihre Aufgabe erfüllt.

CC7.1: Schwachstellenmanagement

Dieses Kriterium verlangt, dass Sie Schwachstellen identifizieren und beheben. Ein Cloud Penetration Test ist eine direkte Ausführung dieser Anforderung. Durch die Verwendung einer Plattform wie Penetrify zeigen Sie, dass Sie einen "systematischen Prozess" für das Schwachstellenmanagement haben, was ein wichtiger Punkt ist.

CC7.2: Reaktion auf Vorfälle

Warten Sie, Penetration Testing für die Reaktion auf Vorfälle? Ja. Ein Penetration Test ist ein "simulierter Vorfall". Er ermöglicht es Ihnen zu sehen, ob Ihre Protokollierungs- und Alarmsysteme tatsächlich auslösen, wenn jemand versucht, in Ihr Netzwerk einzudringen. Einem Auditor zu sagen: "Unser SOC hat die Penetration Tester innerhalb von 10 Minuten erwischt", ist ein großer Gewinn für Ihre Compliance-Haltung.

Der finanzielle Aspekt: ROI von Cloud-Native Testing

Compliance wird oft als ein Kostenfaktor angesehen, aber der richtige Ansatz spart Geld. Traditionelle Penetration Tests können zwischen 10.000 und 30.000 US-Dollar pro Engagement kosten. Wenn Sie mehrere Tests pro Jahr benötigen, um die Compliance in verschiedenen Umgebungen aufrechtzuerhalten, summiert sich das schnell.

Cloudbasierte Plattformen bieten in der Regel eine besser vorhersehbare Preisgestaltung. Noch wichtiger ist, dass sie die "Opportunitätskosten" der Zeit Ihrer Entwickler reduzieren. Durch die Bereitstellung klarer Schritte zur Behebung und automatisierter Nachtests verbringen Ihre Ingenieure weniger Zeit damit, sich zu fragen, wie ein Fehler behoben werden kann, und mehr Zeit mit dem Erstellen von Funktionen.

Darüber hinaus bedeutet die schnellere Bereitstellung eines SOC 2-Berichts, dass Sie den Verkaufszyklus schneller durchlaufen können. Wenn ein 50.000-Dollar-Deal in einer Sicherheitsüberprüfung steckt, ist es für das Unternehmen genau 50.000 Dollar an Cashflow wert, wenn Sie Ihren SOC 2 zwei Monate früher erhalten.

Häufig gestellte Fragen (FAQ)

1. Benötige ich wirklich einen Penetration Test für SOC 2?

Streng genommen verwendet das SOC 2-Framework nicht die Worte "penetration test". Es ist jedoch der Industriestandard für die Erfüllung der Anforderungen an "Überwachung und Risikobewertung". Fast jeder Auditor benötigt eine unabhängige Sicherheitsbewertung als Beweis dafür, dass Ihre technischen Kontrollen funktionieren.

2. Wie oft sollten wir einen Cloud Penetration Test durchführen?

Für SOC 2 Typ 2 führen die meisten Organisationen mindestens einmal jährlich einen tiefgreifenden Penetration Test durch. Wenn sich Ihre Codebasis oder Infrastruktur jedoch häufig ändert, sollten Sie zwischen den großen jährlichen Audits kleinere, gezielte Tests durchführen oder kontinuierliches Scannen verwenden.

3. Können wir automatisierte Scanner anstelle eines vollständigen Penetration Test verwenden?

Automatisierte Scanner eignen sich hervorragend zum Auffinden bekannter Schwachstellen, aber es fehlt ihnen die menschliche Intuition. Auditoren möchten in der Regel eine Kombination aus beidem sehen. Ein "Point-and-Click"-Scan ist kein Penetration Test. Eine Plattform wie Penetrify überzeugt Auditoren, weil sie Automatisierung mit professioneller Sicherheitsexpertise kombiniert.

4. Ist Cloud Penetration Testing sicher für meine Produktionsumgebung?

Ja, solange es richtig gemacht wird. Professionelle Cloud Penetration Testing-Plattformen sind so konzipiert, dass sie "nicht destruktiv" sind. Sie stochern in den Verteidigungen, ohne tatsächlich zu versuchen, das System herunterzufahren. Sie sollten diese Tests immer in einer Staging-Umgebung durchführen, die die Produktion widerspiegelt, oder während der verkehrsarmen Stunden, wenn Sie die Produktion direkt testen.

5. Wie lange dauert ein typischer Penetration Test?

Ein Standard-Anwendungs- oder Infrastrukturtest dauert in der Regel zwischen 1 und 2 Wochen. Die Dokumentations- und Behebungsphase kann jedoch länger dauern. Durch die Verwendung einer Cloud-Plattform können Sie die "Wartezeit" für den Bericht oft auf nahezu Null reduzieren, sobald der Test abgeschlossen ist.

Best Practices für ein reibungsloses Audit

Um dies abzuschließen, werfen wir einen Blick auf eine Checkliste mit Dingen, die Sie tun sollten, um sicherzustellen, dass Ihr Cloud Penetration Test Ihnen hilft, die SOC 2-Compliance problemlos zu erreichen:

1. Integration in Ihren Workflow: Lassen Sie Ihre Penetration Test-Ergebnisse nicht im luftleeren Raum leben. Verwenden Sie Integrationen (wie Jira oder Slack), um Ergebnisse direkt an die Personen zu senden, die sie beheben müssen.
2. Konzentrieren Sie sich auf das "Warum": Wenn Sie ein Ergebnis erhalten, beheben Sie nicht nur das Symptom. Wenn der Test einen ungepatchten Server gefunden hat, fragen Sie, warum er ungepatcht war. Die Behebung des zugrunde liegenden Prozesses ist das, was SOC 2-Auditoren wirklich sehen wollen.
3. Historie aufbewahren: Überschreiben Sie Ihre alten Berichte nicht. Auditoren möchten die Historie Ihrer Sicherheitslage sehen. Eine Plattform, die Ihre vergangenen Tests archiviert, ist unerlässlich.
4. Kommunizieren Sie mit dem Tester: Wenn Sie einen Service wie Penetrify nutzen, sprechen Sie mit dem Team. Erklären Sie Ihre Architektur. Je mehr sie Ihre Umgebung verstehen, desto besser können sie sie testen und desto wertvoller sind die "Beweise" für Ihr Audit.

Fazit: Compliance ist ein Prozess, kein Ziel

Die Sicherstellung eines SOC 2-Berichts kann sich wie eine unüberwindbare Aufgabe anfühlen, aber Cloud-native Penetration Testing bietet einen viel kürzeren Weg zum Ziel. Indem Sie sich von langsamen, manuellen Beratungen abwenden und sich einem plattformgesteuerten Ansatz zuwenden, gewinnen Sie die Geschwindigkeit und Agilität, die moderne Unternehmen benötigen.

Sie erhalten mehr als nur ein Zertifikat für Ihre Website. Sie erhalten ein tieferes Verständnis Ihrer eigenen Sicherheitslage, einen schnelleren Verkaufszyklus und die Gewissheit, dass die Daten Ihrer Kunden tatsächlich geschützt sind – und nicht nur auf dem Papier "konform".

Wenn Sie bereit sind, sich keine Sorgen mehr über Ihr bevorstehendes Audit zu machen und mit dem Aufbau eines robusten, automatisierten Sicherheitsbewertungs-Workflows zu beginnen, ist es an der Zeit, sich anzusehen, wie Cloud Penetration Testing in Ihre Strategie passt. Eine Plattform wie Penetrify kann Ihnen helfen, Schwachstellen zu identifizieren, die Behebung zu verwalten und die qualitativ hochwertigen Nachweise zu liefern, die Ihr Auditor sucht.

Lassen Sie nicht zu, dass Sicherheitstests zum Engpass in Ihrem Wachstum werden. Verfolgen Sie einen proaktiven Ansatz, beginnen Sie frühzeitig mit Ihrer Bewertung und verwandeln Sie Compliance in einen Wettbewerbsvorteil.