Seminar reNgine OSINT und digitale Angriffsflächen

Inhaltsverzeichnis

1. Einordnung und Nutzen
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Seminarinhalte
5. Praxisübungen
6. Qualität und verantwortungsvoller Einsatz

Einordnung und Nutzen

Öffentliche Quellen können Hinweise auf Domains, Anwendungen, Technologien, Dokumente und organisatorische Zusammenhänge liefern. Der fachliche Wert hängt von Quellenkritik, zeitlicher Einordnung und sauberer Asset-Zuordnung ab. Das Seminar zeigt einen defensiven OSINT-Prozess, der Daten minimiert, Unsicherheiten kennzeichnet und technische Bestätigung vorsieht.

Das Thema wird in einem eigenständigen Arbeitsablauf behandelt. Begriffe, Konfiguration, Prüfschritte und Dokumentation werden so verbunden, dass der Ablauf nach dem Seminar in einer freigegebenen Umgebung reproduzierbar umgesetzt werden kann.

Zielgruppe und Voraussetzungen

Zielgruppe: Security Analysts, Attack Surface Manager, CERT- und SOC-Teams, Penetration Tester und technische Risikoanalysten.

Voraussetzungen: Grundkenntnisse in Domains, DNS, Websuche und Security-Analyse; keine speziellen OSINT-Werkzeuge erforderlich.

Lernziele

• OSINT-Fragen aus einem autorisierten Analyseauftrag ableiten.
• Quellen und Suchmuster nach Aussagekraft und Risiko auswählen.
• Funde korrekt Organisationen und Assets zuordnen.
• Vertrauensniveau, Zeitpunkt und Datenherkunft dokumentieren.
• Personenbezogene und vertrauliche Informationen angemessen minimieren.

Seminarinhalte

Schritt 1: Auftrag und Informationsbedarf definieren

Gesucht werden nur Informationen, die für Asset Discovery, Expositionsbewertung oder Verifikation erforderlich sind. Zielorganisation, Zeitraum, erlaubte Quellen und Ausschlüsse werden festgelegt.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 2: Quellenklassen bewerten

Suchmaschinen, Zertifikatsdaten, öffentliche Repositories, Archive und technische Register werden nach Aktualität, Vollständigkeit und rechtlicher beziehungsweise organisatorischer Zulässigkeit bewertet.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 3: Suchstrategie entwickeln

Breite Organisationsbegriffe werden schrittweise mit Domains, Technologien, Dateitypen und Kontextbegriffen kombiniert. Suchmuster werden dokumentiert und auf unbeabsichtigte Erfassung fremder Organisationen geprüft.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 4: Benutzerdefinierte Dorks strukturieren

Eigene Suchmuster erhalten Zweck, erwartete Treffer, Ausschlüsse und Testbeispiele. Sie werden als wiederverwendbare Analysebausteine gepflegt, nicht als ungeprüfte Sammlung.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 5: Domains und Subdomains zuordnen

Namensähnlichkeit allein reicht nicht. DNS, Zertifikate, Inhalte, Organisationshinweise und zeitlicher Kontext werden kombiniert, bevor ein Asset einer Organisation zugeordnet wird.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 6: Technologie- und Dokumenthinweise prüfen

Öffentliche Hinweise auf Frameworks, Portale, Dokumente oder Umgebungen werden als Kandidaten erfasst. Sensible Inhalte werden nicht heruntergeladen oder weiterverarbeitet, wenn dies für die Bestätigung nicht erforderlich ist.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 7: Vertrauensniveau vergeben

Jeder Fund erhält Quelle, Zeitpunkt, Zuordnungsgrund und Konfidenz. Widersprüchliche Hinweise bleiben als offene Hypothese sichtbar.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 8: Daten minimieren

Personenbezogene Daten, Zugangsdaten und interne Inhalte werden nicht unnötig gespeichert. Für Analysezwecke reichen häufig abstrahierte Merkmale oder ein Hinweis auf die Existenz.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 9: Technisch verifizieren

Domains, Dienste und Technologien werden mit schonenden Verfahren bestätigt. Nicht erreichbare oder historische Assets werden nicht als aktuelle Exposition dargestellt.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 10: OSINT in Arbeitslisten überführen

Bestätigte Assets, offene Kandidaten und verworfene Zuordnungen werden getrennt. Nächster Prüfschritt, Verantwortlichkeit und Aufbewahrungsfrist werden festgelegt.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Praxisübungen

1. Eine OSINT-Fragestellung in zulässige Quellen und Suchmuster übersetzen.
2. Treffer einer Organisation zuordnen und ein Vertrauensniveau begründen.
3. Ein benutzerdefiniertes Dork-Set mit Ausschlüssen und Testfällen erstellen.
4. Einen Fund datensparsam dokumentieren und technisch verifizieren.

Qualität und verantwortungsvoller Einsatz

OSINT bedeutet nicht uneingeschränktes Sammeln. Erfasst werden nur erforderliche, zulässige und auf den Auftrag bezogene Daten. Zugangsdaten, personenbezogene Details und vertrauliche Dokumentinhalte werden nicht unnötig gespeichert oder weitergegeben. Jede Zuordnung bleibt bis zur Bestätigung als Hypothese gekennzeichnet.

Für jeden Arbeitsauftrag werden Autorisierung, Scope, verantwortliche Stelle, zulässige Methoden, Lastgrenzen und Abbruchmöglichkeit vor Beginn geprüft. Ergebnisse bleiben bis zur technischen Bestätigung als Beobachtung oder Hypothese gekennzeichnet.