Seminar Patrowl – Attack-Surface-Discovery und Shadow IT

Unbekannte oder vergessene Internetressourcen vergrößern die Angriffsfläche, ohne in klassischen Inventaren sichtbar zu sein. Das Seminar entwickelt einen kontrollierten Discovery-Prozess von Startpunkten über technische Validierung bis zur fachlichen Eigentümerklärung.

Die Inhalte verbinden Domain-, DNS-, Zertifikats-, IP-, Dienst- und Technologiebeobachtungen mit Assetvalidierung, Shadow-IT-Klassifizierung, Priorisierung und Übergabe in geregelte Prüf- und Remediationprozesse.

Inhaltsübersicht

• Zielbild und Lernziele
• Planung und Vorbereitung
• Konfiguration und Umsetzung
• Praxisstrecke
• Betrieb und Qualitätssicherung
• Organisatorische Verankerung

Zielbild und Lernziele

Die Inhalte verbinden fachliche Einordnung, technische Umsetzung und nachvollziehbare Kontrollen. Nach Abschluss lassen sich die behandelten Aufgaben strukturiert planen, im Laborsystem ausführen und für den späteren Betrieb dokumentieren.

• Startpunkte und zulässige Discovery-Grenzen fachlich und technisch definieren
• Entdeckte Domains, Subdomains, IP-Adressen, Dienste und APIs validieren
• Technologie- und Expositionsmerkmale mit Geschäftskontext verbinden
• Shadow IT von bekannten, fremden und falsch zugeordneten Ressourcen trennen
• Discovery-Ergebnisse deduplizieren und in das bestätigte Inventar überführen
• Risikobasierte Folgeprüfungen aus Exposition und Kritikalität ableiten
• Wiederkehrende Discovery-Läufe mit Qualitäts- und Änderungskennzahlen steuern

Planung und Vorbereitung

Vor jeder Änderung werden Ziel, Geltungsbereich, Abhängigkeiten und Prüfkriterien festgelegt. Dadurch bleibt die Umsetzung reproduzierbar und kann ohne unkontrollierte Auswirkungen auf produktive Systeme vorbereitet werden.

1. Geschäftsmarken, Domains, Netzbereiche und weitere zulässige Startpunkte erfassen
2. Rechtliche, organisatorische und technische Scanbegrenzungen dokumentieren
3. Kriterien für bestätigt, wahrscheinlich zugehörig, fremd und ungeklärt festlegen
4. Verantwortliche Stellen für Eigentümerklärung und Freigabe benennen
5. Zeitfenster, Lastgrenzen und Eskalationsregeln für aktive Prüfungen definieren
6. Nachweise für Entdeckung, Validierung und Entscheidung strukturell vorbereiten

Konfiguration und Umsetzung

Die Konfiguration wird schrittweise aufgebaut. Jeder Arbeitsschritt endet mit einer technischen Kontrolle, bevor der nächste Baustein ergänzt wird.

1. Eine Discovery-Definition aus freigegebenen Startpunkten aufbauen
2. Ergebnisse nach Domains, Subdomains, IP-Adressen, Diensten, APIs und Cloudmerkmalen gruppieren
3. Technische Erreichbarkeit und Zuordnung mit mehreren unabhängigen Merkmalen prüfen
4. Dubletten und Weiterleitungen normalisieren, ohne ursprüngliche Beobachtungen zu verlieren
5. Verdächtige oder unbekannte Ressourcen in einen Klärungsworkflow überführen
6. Bestätigte Ressourcen mit Kritikalität, Kategorie und Eigentümerschaft anreichern
7. Folgescans nach Risikoprofil auswählen und nicht bestätigte Ziele aus aktiven Tests ausschließen
8. Änderungen gegenüber dem vorherigen Discovery-Lauf kennzeichnen

Praxisstrecke

Die Übung bildet einen zusammenhängenden Arbeitsauftrag ab. Ausgangslage, Zielzustand, Durchführung und Prüfnachweise werden in einem Arbeitsprotokoll festgehalten.

Arbeitsauftrag

1. Aus einer vorgegebenen Hauptdomain und einem Netzbereich eine Discovery-Aufgabe planen
2. Ein Ergebnisset mit bekannten, neuen, fremden und veralteten Ressourcen importieren
3. Jeden Fund anhand definierter Merkmale validieren und einer Statusklasse zuordnen
4. Drei Shadow-IT-Kandidaten fachlich priorisieren und Eigentümerklärung vorbereiten
5. Bestätigte Assets in das Inventar übernehmen und passende Kategorien setzen
6. Für exponierte Dienste kontrollierte Folgeprüfungen konfigurieren
7. Neuzugänge, Wegfälle und geänderte Technologien in einem Änderungsbericht zusammenfassen
8. Einen Wiederholungslauf simulieren und die Stabilität der Zuordnung prüfen

Kontrollpunkte

• Nur freigegebene Startpunkte und Zielbereiche werden aktiv geprüft
• Ein einzelnes technisches Merkmal reicht nicht für eine Eigentumsbestätigung
• Fremde Ressourcen werden nicht in interne Scanpläne übernommen
• Ursprüngliche Beobachtung und spätere Bewertung bleiben getrennt nachvollziehbar
• Neue exponierte Dienste erhalten eine zeitnahe Risikoprüfung
• Wiederkehrende Läufe erzeugen nachvollziehbare Änderungsdifferenzen

Betrieb und Qualitätssicherung

Für einen belastbaren Betrieb werden technische Funktionskontrollen mit organisatorischen Prüfungen verbunden. Abweichungen werden klassifiziert, priorisiert und mit einem nachvollziehbaren Korrekturschritt versehen.

1. Stichproben aus jeder Statusklasse auf korrekte Zuordnung prüfen
2. Falsch-positive und falsch-negative Entscheidungen erfassen und Regeln anpassen
3. Discovery-Abdeckung je Startpunkt und Assetklasse messen
4. Überfällige Eigentümerklärungen und unbestätigte Hochrisikofunde eskalieren
5. Last, Laufzeit und Fehlerrate der eingesetzten Engines beobachten
6. Historische Änderungen für Audit- und Trendzwecke aufbewahren

Organisatorische Verankerung

Die erarbeiteten Konfigurationen werden in Rollen, Betriebsaufgaben und wiederkehrende Kontrollen überführt. Dadurch entsteht ein dauerhaft nutzbares Vorgehensmodell statt einer einmaligen Laborkonfiguration.

• Verantwortlicher Discovery-Prozess mit genehmigten Grenzen
• Serviceziel für die Klärung neuer internetexponierter Ressourcen
• Übergaberegeln vom Discovery-Fund zum bestätigten Asset
• Regelmäßige Überprüfung von Startpunkten, Netzbereichen und Markenbegriffen
• Kennzahlen für Neufunde, bestätigtes Shadow IT, Klärungsdauer und Abdeckung