Seminar OWASP Amass – Datenquellen, API-Schlüssel und OPSEC

Der zweitägige Kurs behandelt die Auswahl, Konfiguration und kontrollierte Nutzung von Datenquellen. Öffentliche und zugangsgeschützte Quellen unterscheiden sich in Abdeckung, Aktualität, Kosten, Rate Limits und Sichtbarkeit. Konfiguration und API-Schlüssel werden deshalb nicht nur technisch, sondern als Sicherheits-, Compliance- und Betriebsaufgabe betrachtet.

Inhaltsübersicht

• Datenquelleninventar und Auswahlkriterien
• Konfigurationsstruktur und Umgebungsprofile
• API-Schlüssel und technische Identitäten
• Rate Limits, Quoten und Fehlerverhalten
• OPSEC und Sichtbarkeit
• Qualitätsvergleich und Quellpflege
• Praxisprojekt
• Arbeitsweise und Qualitätssicherung

Kompetenzziele

• Datenquellen nach Zweck, Abdeckung, Vertrauen und Betriebsrisiko bewerten
• Zugangsdaten getrennt von normaler Konfiguration verwalten
• Rate Limits, Fehler und Quoten reproduzierbar testen
• Quellprofile für passive, aktive und sensible Untersuchungen erstellen
• OPSEC- und Auditregeln für den kontrollierten Einsatz dokumentieren

Seminarinhalte

1. Datenquelleninventar und Auswahlkriterien

Nicht jede Quelle ist für jeden Scope geeignet. Abdeckung, Aktualität, Herkunft, Nutzungsbedingungen, Kosten und Sichtbarkeit werden in einer Entscheidungsmatrix bewertet.

1. Verfügbare Quellen nach DNS, Zertifikaten, Registrierung, Routing, Web und weiteren Signalarten gruppieren.
2. Benötigte Zugangsdaten, Quoten und technische Abhängigkeiten je Quelle erfassen.
3. Vertrauen, Aktualität und mögliche Fehlzuordnungen mit einer einheitlichen Skala bewerten.
4. Für typische Untersuchungsszenarien eine begründete Vorauswahl treffen.

2. Konfigurationsstruktur und Umgebungsprofile

Eine wartbare Konfiguration trennt allgemeine Einstellungen, Scopes, Datenquellen und Geheimnisse. Profile verhindern, dass sensible oder kostenpflichtige Quellen unbeabsichtigt verwendet werden.

1. Basis-, Labor-, Test- und Produktionsprofil voneinander abgrenzen.
2. Datenquellen je Profil explizit aktivieren oder deaktivieren.
3. Scope- und Laufparameter getrennt von Quellzugängen halten.
4. Konfigurationsänderungen versionieren, prüfen und mit einem Freigabestatus versehen.

3. API-Schlüssel und technische Identitäten

Schlüssel werden als Geheimnisse mit Lebenszyklus behandelt. Sie dürfen weder im Quellcode noch in Exporten, Protokollen oder frei lesbaren Konfigurationskopien erscheinen.

1. Schlüsselbestand mit Eigentümer, Zweck, Umgebung und Ablaufdatum inventarisieren.
2. Geheimnisse über einen geschützten Bereitstellungsweg in die Laufzeitumgebung einbringen.
3. Datei-, Prozess- und Benutzerrechte auf das erforderliche Minimum begrenzen.
4. Rotation und Sperrung mit einem Testschlüssel durchführen und dokumentieren.

4. Rate Limits, Quoten und Fehlerverhalten

Quellen reagieren unterschiedlich auf Last, Quotenüberschreitung und temporäre Störungen. Ein kleiner Referenzlauf schafft belastbare Betriebswerte.

1. Testscope und erwartete Mindesttreffer für jede Quelle definieren.
2. Antwortzeit, Treffermenge, Fehlertypen und Quotenverbrauch messen.
3. Wiederholungsregeln und Wartezeiten aus dem beobachteten Verhalten ableiten.
4. Quelle bei wiederholten Fehlern kontrolliert deaktivieren und den Einfluss auf die Abdeckung dokumentieren.

5. OPSEC und Sichtbarkeit

Auch passive Abfragen können beim Datenanbieter sichtbar sein und Untersuchungsschwerpunkte offenlegen. Quellenwahl, Identitäten, Zeitfenster und Protokollierung werden an Schutzbedarf und Auftrag angepasst.

1. Schutzbedarf des Scopes und mögliche Informationsabflüsse bewerten.
2. Untersuchungsprofile nach normal, eingeschränkt und besonders sensibel definieren.
3. Quellen, Identitäten und Zeitfenster passend zum Profil auswählen.
4. Abweichungen, Freigaben und relevante Anbieterfehler im Auditprotokoll erfassen.

6. Qualitätsvergleich und Quellpflege

Quellen werden regelmäßig gegen Referenzdaten und gegeneinander geprüft. So werden Abdeckungsverlust, veraltete Schlüssel und unerwartete Mengensprünge früh sichtbar.

1. Kleine Referenzmenge mit bestätigten positiven und negativen Fällen pflegen.
2. Treffermengen, Überschneidungen und exklusive Funde je Quelle vergleichen.
3. Ausfälle und Qualitätsänderungen über mehrere Läufe beobachten.
4. Quellprofil, Priorität oder Ersatzquelle auf Basis dokumentierter Befunde anpassen.

Praxisprojekt

Im Labor werden mehrere simulierte und lokale Datenquellen mit unterschiedlichen Quoten und Fehlerbildern konfiguriert. Es entstehen getrennte Laufprofile, ein Geheimnisinventar, ein Rate-Limit-Test und eine Quellenmatrix für normale und sensible Untersuchungen.

1. Quelleninventar mit Abdeckung, Vertrauen, Quote und Schutzbedarf erstellen.
2. Konfiguration in Basis-, Test- und sensibles Profil aufteilen.
3. Schlüsselbereitstellung und Rotation ohne Offenlegung in Logs prüfen.
4. Referenzläufe ausführen und Rate-Limit- sowie Fehlerverhalten dokumentieren.
5. Quellenentscheidung und OPSEC-Regeln in einer freigabefähigen Matrix festhalten.

Arbeitsweise und Qualitätssicherung

Die Durchführung kombiniert fachliche Einordnung, demonstrierte Arbeitsabläufe, geführte Laborphasen und eigenständige Kontrollaufgaben. Jeder Arbeitsschritt wird mit Scope, Eingaben, Laufparametern, Beobachtungen und Prüfpunkt dokumentiert. Wiederholbare Testläufe, Positiv- und Negativkontrollen sowie eine klare Trennung zwischen bestätigten, wahrscheinlichen und ungeklärten Assets sichern die Nachvollziehbarkeit. Alle Analysen erfolgen ausschließlich in autorisierten Übungsumgebungen oder innerhalb schriftlich freigegebener Zielbereiche.