Seminar CybelAngel – Attack Surface Management

Eine externe Angriffsfläche besteht nicht nur aus bekannten Domains und IP-Adressen. Tochtergesellschaften, Lieferanten, vergessene Systeme, APIs und kurzfristig bereitgestellte Dienste müssen aus Angreifersicht gefunden, einem Eigentümer zugeordnet und nach tatsächlichem Risiko bearbeitet werden.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Einen belastbaren externen Überwachungsumfang definieren
• Unbekannte und falsch zugeordnete Assets validieren
• Technische Expositionen in Geschäftsrisiken übersetzen
• Verantwortliche Stellen und Fristen festlegen
• Kontinuierliches Monitoring mit messbarer Datenqualität betreiben

Zielgruppe

Attack-Surface-Management-Teams, SOC, Schwachstellenmanagement, Infrastruktur- und Cloud-Administration, Netzwerkbetrieb, Security Architecture und technische Key-User.

Voraussetzungen

Grundkenntnisse zu DNS, IP-Netzen, Webdiensten, TLS, APIs, Cloud-Ressourcen und Schwachstellenmanagement. Erfahrung mit Incident- oder Ticketprozessen ist hilfreich.

Seminarinhalte

1. Schritt 1: Schutzumfang und Geschäftsbezug bestimmen

   Unternehmen, Marken, Tochtergesellschaften, Regionen, kritische Dienste und tolerierte Expositionen werden als fachlicher Rahmen festgelegt.

2. Schritt 2: Seed-Daten vorbereiten

   Domains, IP-Bereiche, Zertifikatsmerkmale, Unternehmensnamen, autonome Systeme und weitere Identifikatoren werden bereinigt und priorisiert.

3. Schritt 3: Asset Discovery durchführen

   Gefundene Domains, Hosts, Dienste, Zertifikate, APIs und technische Beziehungen werden schrittweise ausgewertet.

4. Schritt 4: Attribution verifizieren

   Eigentum und Zugehörigkeit werden anhand technischer, organisatorischer und zeitlicher Indikatoren bestätigt oder verworfen.

5. Schritt 5: Shadow IT und Altbestände erkennen

   Unbekannte Anwendungen, nicht dokumentierte Cloud-Dienste, Testsysteme, veraltete Endpunkte und fremdverwaltete Assets werden identifiziert.

6. Schritt 6: APIs und Dienste prüfen

   Offene Schnittstellen, unerwartete Methoden, fehlende Zugriffsbeschränkungen, veraltete Komponenten und Verwaltungsoberflächen werden untersucht.

7. Schritt 7: Befunde kontextualisieren

   Diensttyp, Erreichbarkeit, Schwachstellen, Fehlkonfigurationen, Datenbezug und mögliche Angriffspfade werden zusammengeführt.

8. Schritt 8: Risiko priorisieren

   Ausnutzbarkeit, Kritikalität, Exponiertheit, Geschäftsprozess und vorhandene Kontrollen fließen in eine nachvollziehbare Bewertung ein.

9. Schritt 9: Eigentümer und Bearbeitungsweg zuordnen

   Interne Teams, Dienstleister und Lieferanten werden mit Zuständigkeiten, Fristen und Eskalationswegen verknüpft.

10. Schritt 10: Remediation steuern

    Abschaltung, Härtung, Patch, Zugriffsbeschränkung, Eigentumsnachweis und akzeptiertes Restrisiko werden kontrolliert geführt.

11. Schritt 11: Wirksamkeit nachprüfen

    Nach der Bearbeitung wird aus externer Sicht geprüft, ob die Exposition tatsächlich beseitigt oder ausreichend reduziert wurde.

12. Schritt 12: Perimeter kontinuierlich pflegen

    Neue Gesellschaften, Projekte, Lieferanten, Domains und technische Veränderungen werden über geregelte Reviews aufgenommen.

Praxisübungen

• Seed-Liste für Unternehmen und Tochtergesellschaft erstellen
• Gefundene Assets nach bestätigter, fraglicher und falscher Attribution klassifizieren
• Risikomatrix auf API und Verwaltungsoberfläche anwenden
• Remediation-Ticket mit Prüfnachweis formulieren

Methodik

Die Inhalte werden mit kurzen Fachvorträgen, Demonstrationen und einer durchgängigen Fallbearbeitung vermittelt. Jeder Arbeitsschritt endet mit einem dokumentierten Prüfkriterium zu Datenqualität, Risiko, Zuständigkeit und nächster Maßnahme.