Seminar ImmuniWeb Discovery – Attack Surface Management und CTEM

Seminarprofil

Das Seminar behandelt den vollständigen CTEM-Zyklus mit ImmuniWeb Discovery: Scope-Bildung, Asset Discovery, Eigentumsvalidierung, Expositionsanalyse, Priorisierung, Mobilisierung der Behebung und Erfolgskontrolle. Internetressourcen, Anwendungen, APIs, Cloud-Assets, Marken- und Bedrohungssignale werden in eine gemeinsame, risikobasierte Sicht überführt.

Die angesetzte Dauer von 3 tage ist fachlich erforderlich, weil CTEM über reine Inventarisierung hinausgeht und mehrere Zyklen aus Discovery, Validierung, Priorisierung, Übergabe und Erfolgsmessung praktisch aufgebaut werden müssen.

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. CTEM-Programm und Scope
5. Asset Discovery und Eigentumsvalidierung
6. Expositions- und Angriffspfadanalyse
7. Validierung und Priorisierung
8. Mobilisierung und Remediation
9. Messung und kontinuierlicher Zyklus
10. Praxisübungen

Zielgruppe und Voraussetzungen

Zielgruppe: Attack-Surface-Management-Teams, Security Operations, Vulnerability Management, CISO-Organisationen, Cloud Security, IT-Asset-Management und technische Service Owner.

Voraussetzungen: Grundkenntnisse zu Domains, DNS, IP-Netzen, Cloud, Webanwendungen und Schwachstellenmanagement; organisatorischer Zugriff auf Asset Owner ist erforderlich.

Lernziele

• Ein belastbares CTEM-Scope und Schutzobjektmodell definieren.
• Gefundene Assets verifizieren, klassifizieren und verantwortlichen Stellen zuordnen.
• Exponierungen und Schwachstellen nach realem Geschäftsrisiko priorisieren.
• Behebungsmaßnahmen über Teams hinweg mobilisieren und kontrollieren.
• CTEM-Kennzahlen und wiederkehrende Zyklen etablieren.

Seminarinhalte

1. CTEM-Programm und Scope

Ein CTEM-Programm benötigt ein klares Mandat und messbare Sicherheitsziele.

1. Geschäftseinheiten, Marken, Domains, Netze und Cloud-Bereiche als Ausgangspunkte erfassen.
2. Schutzbedarf, Kritikalität und regulatorischen Bezug ergänzen.
3. Beobachtungsgrenzen, Drittparteien und Ausschlüsse dokumentieren.
4. Zyklusfrequenz, Rollen und Erfolgskriterien festlegen.

2. Asset Discovery und Eigentumsvalidierung

Gefundene Assets werden erst durch Validierung zu steuerbaren Objekten.

1. Domains, Subdomains, IPs, Dienste, Anwendungen und APIs erfassen.
2. Cloud- und externe Plattformbezüge sowie technische Abhängigkeiten ergänzen.
3. Eigentum anhand technischer und organisatorischer Indizien bestätigen.
4. Unbekannte oder verwaiste Assets in einen Klärungs- und Eskalationsprozess geben.

3. Expositions- und Angriffspfadanalyse

Einzelne Exponierungen werden im Kontext möglicher Angriffspfade bewertet.

1. Erreichbare Dienste, unsichere Konfigurationen und bekannte Schwachstellen analysieren.
2. Anmeldeflächen, sensible Daten und privilegierte Funktionen kennzeichnen.
3. Verbindungen zu geleakten Zugangsdaten oder Bedrohungssignalen berücksichtigen.
4. Realistische Pfade vom Internetzugang bis zum geschäftlichen Schaden modellieren.

4. Validierung und Priorisierung

Priorität entsteht aus Evidenz und Kontext, nicht aus einem einzelnen Score.

1. Trefferqualität und Aktualität überprüfen.
2. Ausnutzbarkeit, Exposition und vorhandene Kontrollen bewerten.
3. Geschäftskritikalität, Datenwirkung und Angreiferinteresse ergänzen.
4. Top-Risiken mit nachvollziehbarer Begründung und Maßnahmenvorschlag festlegen.

5. Mobilisierung und Remediation

CTEM endet nicht mit einer Liste, sondern mit organisatorischer Umsetzung.

1. Owner und ausführende Teams verbindlich zuordnen.
2. Maßnahmen nach Quick Win, struktureller Behebung und Kompensation trennen.
3. Service-Level, Eskalationen und Ausnahmen definieren.
4. Fortschritt und Hindernisse in regelmäßigen Mobilisierungsrunden steuern.

6. Messung und kontinuierlicher Zyklus

Die Wirkung wird über mehrere Zyklen gemessen.

1. Bestand, Neufunde, bereinigte Assets und Wiederholungen auswerten.
2. Risikoreduktion statt bloßer Finding-Anzahl messen.
3. Discovery-Scope und Prioritätslogik anhand neuer Erkenntnisse anpassen.
4. Den nächsten Zyklus mit klarer Hypothese und Zielsetzung starten.

Praxisübungen

• Erstellung eines CTEM-Scopes aus heterogenen Ausgangsdaten.
• Validierung und Ownership-Zuordnung eines Beispiel-Assetbestands.
• Priorisierung mehrerer Expositionen anhand eines gemeinsamen Risikomodells.
• Planung eines vollständigen CTEM-Zyklus mit Mobilisierungsrunde.

Im Rahmen der Übungen entsteht ein umsetzbares CTEM-Programm mit Scope, Assetmodell, Priorisierung, Remediation Governance und Wirksamkeitskennzahlen.