Seminar Intruder – Asset Discovery und External Attack Surface Management

Unbekannte oder nicht mehr zugeordnete Internet-Assets erzeugen Risiken, die in klassischen Inventaren häufig fehlen. Das Seminar entwickelt aus technischer Asset Discovery einen kontrollierten Prozess für Eigentum, Scope, Exposition, Änderungen und Risikobehandlung.

Domain-, Host-, IP- und Cloud-Bezüge werden in einer einheitlichen Asset-Landkarte zusammengeführt. Praktische Übungen zeigen, wie neue Funde verifiziert, Verantwortlichen zugeordnet und in einen wiederholbaren Überwachungs- und Eskalationsablauf eingebunden werden.

Inhaltsübersicht

1. Bestandsquellen und Eigentumsmodell
2. Discovery und Kandidatenbewertung
3. Scope und Klassifikation
4. Änderungsüberwachung und Alarmierung
5. Bereinigung und laufende Governance
6. Praxis und Übungen
7. Arbeitsweise
8. Vorkenntnisse und Zielgruppe

Zielsetzung

Eine externe Angriffsfläche kann strukturiert erfasst, bereinigt, verantwortlichen Teams zugeordnet und kontinuierlich überwacht werden. Neue oder veränderte Assets werden nachvollziehbar bestätigt, priorisiert und in den Schwachstellenprozess überführt.

Schrittweise Seminarinhalte

1. Bestandsquellen und Eigentumsmodell

Schwerpunkt: Domains, Subdomains, IP-Bereiche, Hosts, Zertifikate, Cloud-Ressourcen, Geschäftseinheiten und Verantwortliche.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Bestandsquellen und Eigentumsmodell“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Domains, Subdomains, IP-Bereiche, Hosts, Zertifikate, Cloud-Ressourcen, Geschäftseinheiten und Verantwortliche strukturiert modellieren.
3. Eine Ausgangsliste aus vorhandenen Inventaren und extern sichtbaren Merkmalen erstellen und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Eindeutigkeit, Aktualität und Eigentumsnachweis mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis eine konsolidierte Asset-Baseline dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Discovery und Kandidatenbewertung

Schwerpunkt: neu gefundene Hosts, Namensbeziehungen, Adressräume, Dienstleister, Schatten-IT und verwaiste Systeme.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Discovery und Kandidatenbewertung“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von neu gefundene Hosts, Namensbeziehungen, Adressräume, Dienstleister, Schatten-IT und verwaiste Systeme strukturiert modellieren.
3. Discovery-Ergebnisse erfassen und jeden Kandidaten anhand definierter Kriterien prüfen und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Zugehörigkeit, Duplikate und Fehlzuordnungen mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis eine verifizierte Liste neuer Assets dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Scope und Klassifikation

Schwerpunkt: Produktivstatus, Kritikalität, Datenbezug, Internetexposition, Wartungsstatus und Scanberechtigung.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Scope und Klassifikation“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Produktivstatus, Kritikalität, Datenbezug, Internetexposition, Wartungsstatus und Scanberechtigung strukturiert modellieren.
3. Assets klassifizieren, gruppieren und einem geeigneten Scanprofil zuordnen und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Vollständige Abdeckung und korrekte Ausschlüsse mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis einen freigegebenen externen Scope dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Änderungsüberwachung und Alarmierung

Schwerpunkt: neue Assets, offene Dienste, Zertifikatswechsel, DNS-Änderungen, Eigentümerwechsel und unerwartete Exposition.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Änderungsüberwachung und Alarmierung“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von neue Assets, offene Dienste, Zertifikatswechsel, DNS-Änderungen, Eigentümerwechsel und unerwartete Exposition strukturiert modellieren.
3. Änderungssignale in einen abgestuften Prüf- und Eskalationsprozess überführen und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Alarmqualität, Reaktionszeit und Verantwortlichkeit mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis einen operativen EASM-Runbook dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Bereinigung und laufende Governance

Schwerpunkt: Asset-Lifecycle, Stilllegung, Ausnahmen, Kennzahlen, Review-Zyklen und Nachweisführung.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Bereinigung und laufende Governance“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Asset-Lifecycle, Stilllegung, Ausnahmen, Kennzahlen, Review-Zyklen und Nachweisführung strukturiert modellieren.
3. Regelmäßige Scope-Reviews und Bereinigungsentscheidungen planen und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Vollständigkeit, Alter offener Kandidaten und geschlossene Eigentumslücken mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis ein dauerhaftes Asset-Governance-Modell dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxis und Übungen

1. Aus mehreren unvollständigen Inventaren eine gemeinsame externe Asset-Baseline erstellen.
2. Discovery-Kandidaten anhand von DNS-, Zertifikats- und Eigentumsmerkmalen verifizieren.
3. Assets nach Kritikalität, Exposition und Scanprofil gruppieren.
4. Einen Eskalationsablauf für neu entdeckte oder unerwartet exponierte Assets entwerfen.

Arbeitsweise

Fachliche Einordnung, Demonstrationen und angeleitete Laborphasen wechseln sich ab. Jede Übung folgt dem Schema Vorbereitung, kontrollierte Durchführung, technische Prüfung, Dokumentation und betriebliche Standardisierung. Produktive Ziele werden nur innerhalb eines schriftlich freigegebenen Scopes und mit abgestimmten Schutzmaßnahmen geprüft.

Vorkenntnisse und Zielgruppe

Zielgruppe: Security Operations, Vulnerability Management, Cloud Security, Netzwerkbetrieb, Domain- und Zertifikatsverwaltung, IT-Asset-Management und technische Governance.

Vorkenntnisse: Grundkenntnisse zu DNS, IP-Netzen, Domains, TLS-Zertifikaten, Cloud-Ressourcen und Asset-Verantwortung.