Seminar reNgine Attack Surface Analyse mit LLM Unterstützung

Inhaltsverzeichnis

1. Einordnung und Nutzen
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Seminarinhalte
5. Praxisübungen
6. Qualität und verantwortungsvoller Einsatz

Einordnung und Nutzen

Große Zielbestände erzeugen heterogene Informationen zu Hosts, Diensten, Technologien, Endpunkten und Schwachstellen. LLM-Funktionen können beim Ordnen, Verdichten und Formulieren unterstützen, ersetzen jedoch keine technische Prüfung. Das Seminar vermittelt einen kontrollierten Analyseprozess, in dem Datenqualität, nachvollziehbare Fragestellungen, manuelle Verifikation und Schutz sensibler Informationen verbindlich zusammenwirken.

Das Thema wird in einem eigenständigen Arbeitsablauf behandelt. Begriffe, Konfiguration, Prüfschritte und Dokumentation werden so verbunden, dass der Ablauf nach dem Seminar in einer freigegebenen Umgebung reproduzierbar umgesetzt werden kann.

Zielgruppe und Voraussetzungen

Zielgruppe: Security Analysts, Penetration Tester, Attack Surface Manager, SOC- und CERT-Fachkräfte sowie Verantwortliche für technische Berichte.

Voraussetzungen: Grundkenntnisse in Webtechnologien, Reconnaissance und Schwachstellenbewertung; sichere Bedienung einer reNgine-Instanz ist hilfreich.

Lernziele

• Reconnaissance-Daten für belastbare Angriffsflächenanalysen aufbereiten.
• LLM-Unterstützung auf klar abgegrenzte Analyseaufgaben beschränken.
• Aussagen auf technische Evidenz zurückführen und Unsicherheit kennzeichnen.
• Sensible Daten vor unnötiger Übermittlung schützen.
• Management- und Technikperspektive konsistent aus demselben Datenbestand ableiten.

Seminarinhalte

Schritt 1: Analyseauftrag und Entscheidungskontext definieren

Vor der Auswertung werden Zielgruppe, Fragestellung, Scope, Zeitraum und gewünschte Entscheidung festgelegt. Ein Analyseauftrag unterscheidet Bestandsübersicht, Risikopriorisierung, Trendbetrachtung und Maßnahmenplanung.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 2: Datenbestand bereinigen

Hosts, URLs, Ports, Technologien, Endpunkte und Befunde werden dedupliziert, zeitlich eingeordnet und nach Herkunft gekennzeichnet. Veraltete oder unvollständige Ergebnisse werden nicht ungeprüft mit aktuellen Beobachtungen vermischt.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 3: Angriffsfläche modellieren

Assets werden nach Organisation, Projekt, Exposition, Kritikalität und technischer Beziehung gruppiert. Abhängigkeiten zwischen Domain, Subdomain, IP, Dienst und Anwendung werden in einer nachvollziehbaren Struktur abgebildet.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 4: Geeignete LLM-Aufgaben auswählen

Unterstützte Tätigkeiten wie Zusammenfassung, Clustering, Formulierung von Prüffragen und Berichtsentwurf werden von ungeeigneten Tätigkeiten wie unbelegter Befundbestätigung getrennt. Für jede Aufgabe werden erwartete Eingaben und Prüfkriterien festgelegt.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 5: Prompts und Ausgaben kontrollieren

Prompts enthalten nur die für die Aufgabe notwendigen Daten. Ausgaben werden auf unbelegte Schlussfolgerungen, vermischte Assets, falsche Prioritäten und fehlende Unsicherheitsangaben geprüft. Kritische Aussagen benötigen einen Verweis auf technische Evidenz im internen Arbeitsstand.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 6: Datenschutz und Geheimhaltung umsetzen

Vor einer Übermittlung werden personenbezogene Daten, Tokens, interne Pfade und vertrauliche Kundeninformationen minimiert oder pseudonymisiert. Zulässige Dienste, Speicherorte und Aufbewahrungsregeln werden organisatorisch festgelegt.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 7: Technische Aussagen verifizieren

Jede priorisierte Aussage wird durch erneute Sichtung oder gezielten Subscan kontrolliert. Nicht reproduzierbare Beobachtungen werden als Hypothese geführt. Die Prüfung trennt bestätigte Exposition, wahrscheinliche Ursache und tatsächliche Auswirkung.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 8: Risiken priorisieren

Priorisierung verbindet technische Schwere, Erreichbarkeit, Asset-Kritikalität, Scope und Behebungsaufwand. LLM-Vorschläge werden nur als Arbeitsvorschlag verwendet und anhand definierter Kriterien manuell nachvollzogen.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 9: Berichte zielgruppengerecht erstellen

Ein technischer Bericht dokumentiert Evidenz, Reproduzierbarkeit und Maßnahmen. Eine Managementdarstellung verdichtet Exposition, Trends und Handlungsbedarf, ohne technische Unsicherheit zu verschleiern.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 10: Manuellen Rückfallprozess etablieren

Für nicht verfügbare oder nicht zulässige LLM-Dienste wird derselbe Analyseprozess mit Filtern, Tabellen, Prüflisten und Textbausteinen abgebildet. Dadurch bleibt die Qualität unabhängig von einer optionalen Zusatzfunktion.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Praxisübungen

1. Einen heterogenen Scanbestand bereinigen und in ein Asset-Modell überführen.
2. Drei LLM-Aufgaben mit Eingabegrenzen und konkreten Prüfkriterien formulieren.
3. Eine fehlerhafte Zusammenfassung erkennen, technisch korrigieren und Unsicherheit dokumentieren.
4. Aus demselben Datenbestand eine technische und eine managementorientierte Darstellung erstellen.

Qualität und verantwortungsvoller Einsatz

LLM-Ausgaben gelten grundsätzlich nicht als Beweis. Vertrauliche Ziel- und Befunddaten dürfen nur innerhalb festgelegter organisatorischer und technischer Grenzen verarbeitet werden. Priorisierte Aussagen werden reproduziert, Quellen im internen Arbeitsstand nachvollziehbar gehalten und Unsicherheiten offen gekennzeichnet.

Für jeden Arbeitsauftrag werden Autorisierung, Scope, verantwortliche Stelle, zulässige Methoden, Lastgrenzen und Abbruchmöglichkeit vor Beginn geprüft. Ergebnisse bleiben bis zur technischen Bestätigung als Beobachtung oder Hypothese gekennzeichnet.