Seminar Angriffsflächenanalyse und kontinuierliches Exposure Monitoring

Eine Angriffsfläche besteht nicht nur aus bekannten Servern. Neue Subdomains, zusätzliche Ports, vergessene Dienste, alternative URLs und veränderte Technologien können die tatsächliche Exposition erheblich erweitern. Das Seminar vermittelt einen geordneten Prozess, der Scanergebnisse zu einem prüfbaren technischen Inventar verdichtet.

Die Attack-Surface-Ansicht wird als Aggregation autorisierter Scanergebnisse verstanden, nicht als selbstständig arbeitender Hintergrundscanner. Deshalb werden Erfassungsquellen, Scanrhythmus, Datenqualität und Benachrichtigungen bewusst geplant und regelmäßig geprüft.

Inhaltsübersicht

1. Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte mit schrittweisen Arbeitsabläufen
5. Praxisübungen im autorisierten Labor
6. Methodik und Arbeitsweise

Zielsetzung

Ziel ist ein belastbares Betriebsmodell zur Erfassung, Bewertung und Überwachung technischer Expositionen.

• Assets, Targets und Workspaces für Angriffsflächenanalysen konsistent strukturieren.
• Domains, Subdomains, Hosts, Ports, Dienste, URLs und Technologien schrittweise erfassen.
• Datenquellen und Grenzen der Attack-Surface-Ansicht korrekt einordnen.
• Wiederkehrende Scans und Benachrichtigungen für relevante Änderungen konfigurieren.
• Änderungen priorisieren, exportieren und in technische Maßnahmen überführen.

Zielgruppe

• Security Engineers und Verantwortliche für Attack Surface Management
• Pentester und Red-Team-nahe Reconnaissance-Spezialisten
• SOC-, Vulnerability-Management- und Infrastrukturteams
• Technische Auditoren und Betreiber komplexer externer Angriffsflächen

Voraussetzungen

• Grundkenntnisse zu DNS, IP-Adressierung, Ports und Netzwerkdiensten
• Grundverständnis typischer Webtechnologien und öffentlicher Infrastruktur
• Kenntnisse zu organisatorischem Scoping und Asset-Verantwortung sind hilfreich
• Verbindliche Autorisierung für sämtliche Testziele; aktive Prüfungen ausschließlich im bereitgestellten Labor oder in ausdrücklich freigegebenen Umgebungen.

Seminarinhalte

1. Betriebsmodell und Scope aufbauen

1. Schritt 1: Verantwortliche Organisationseinheiten, Mandanten, Projekte oder Kunden in Workspaces trennen.
2. Schritt 2: Root-Domains, bekannte Hosts, IP-Adressen und Netzbereiche als Ausgangs-Assets erfassen.
3. Schritt 3: Eigentum, Kritikalität, Testfreigabe und Ausschlüsse je Asset dokumentieren.
4. Schritt 4: Namenskonventionen und Mindestdaten für neue Funde festlegen.

2. Domains und Subdomains ermitteln

1. Schritt 1: Unternehmensbezüge mit Domain- und Registrierungsinformationen plausibilisieren.
2. Schritt 2: Subdomains mit passiven und aktiven Erfassungsmethoden sammeln.
3. Schritt 3: Funde nach Auflösung, Erreichbarkeit, Eigentum und Relevanz filtern.
4. Schritt 4: Unklare oder fremde Assets vor weiteren aktiven Tests aus dem Scope entfernen.

3. Hosts, Ports und Weboberflächen kartieren

1. Schritt 1: Erreichbarkeit und offene TCP- beziehungsweise UDP-Ports kontrolliert prüfen.
2. Schritt 2: Dienste, Versionen, Betriebssystemhinweise und alternative Webports erfassen.
3. Schritt 3: Virtuelle Hosts und Webtechnologien auf freigegebenen Zielen identifizieren.
4. Schritt 4: URLs, Screenshots und Technologieinformationen mit ihren Ursprungs-Scans verknüpfen.

4. Attack-Surface-Daten konsolidieren

1. Schritt 1: Ergebnisse nach IP, Hostname, Port, Protokoll, Dienst und Technologie gruppieren.
2. Schritt 2: Mehrfachfunde, gemeinsam genutzte IP-Adressen und wechselnde DNS-Zuordnungen unterscheiden.
3. Schritt 3: Neue Einträge von aktualisierten Einträgen und weiterhin unveränderten Expositionen trennen.
4. Schritt 4: Datenlücken, veraltete Scans und nicht mehr erreichbare Systeme kennzeichnen.

5. Kontinuierliche Überwachung einrichten

1. Schritt 1: Geeignete Reconnaissance- und Scannerläufe für den jeweiligen Asset-Typ auswählen.
2. Schritt 2: Frequenz, Zeitfenster, Parallelität und Ressourcengrenzen definieren.
3. Schritt 3: Benachrichtigungen für neue Hosts, Ports, Dienste oder Technologien konfigurieren.
4. Schritt 4: Fehlgeschlagene und unvollständige Läufe in einen festen Kontrollprozess aufnehmen.

6. Änderungen bewerten und dokumentieren

1. Schritt 1: Neue Expositionen nach Kritikalität, Erreichbarkeit und Verantwortlichkeit priorisieren.
2. Schritt 2: Unnötige Dienste, nicht freigegebene Systeme und fehlende Schutzmaßnahmen ableiten.
3. Schritt 3: Daten in strukturierte Formate exportieren und mit Asset- oder Ticketprozessen abgleichen.
4. Schritt 4: Nach Stilllegung, Einschränkung oder Härtung einen gezielten Kontrollscan durchführen.

Praxisübungen

• Aufbau eines Workspaces mit Root-Domain, IP-Assets und Verantwortlichkeitsmerkmalen
• Mehrstufige Domain-, Subdomain-, Port- und Webtechnologie-Erfassung
• Gruppierung und Bereinigung eines gemischten Attack-Surface-Datensatzes
• Konfiguration eines wiederkehrenden Scanplans mit ereignisbezogenen Benachrichtigungen
• Vergleich zweier Erfassungsstände und Ableitung konkreter Reduktionsmaßnahmen

Methodik und Arbeitsweise

Die Vermittlung kombiniert strukturierte Fachvorträge, Live-Demonstrationen, geführte Schritt-für-Schritt-Übungen und eigenständige Laboraufgaben. Jeder Arbeitsablauf wird mit Scoping, Konfiguration, sicherer Durchführung, Befundprüfung und dokumentiertem Re-Test vollständig durchlaufen.