Seminar Intruder – Externe Infrastruktur- und Netzwerk-Scans

Externe Scans bilden die aus dem Internet sichtbare Infrastruktur ab und müssen deshalb mit einem eindeutigen Eigentums- und Freigabenachweis beginnen. Das Seminar zeigt, wie Ziele, Dienste, Zeitfenster und Schutzmaßnahmen so vorbereitet werden, dass verwertbare Ergebnisse bei kontrollierter Betriebswirkung entstehen.

Von der Zielvalidierung über Scanlauf und Triage bis zur Wiederholungsprüfung wird ein vollständiger technischer Prozess aufgebaut. Typische Probleme wie nicht erreichbare Ziele, Load Balancer, wechselnde IP-Adressen und geteilte Dienstleister-Infrastrukturen werden systematisch behandelt.

Inhaltsübersicht

1. Ziele, Eigentum und Freigabe
2. Dienst- und Expositionsmodell
3. Scanprofil und sichere Ausführung
4. Befundbewertung und Priorisierung
5. Korrektur und Wiederholungsprüfung
6. Praxis und Übungen
7. Arbeitsweise
8. Vorkenntnisse und Zielgruppe

Zielsetzung

Externe Infrastruktur-Scans können sicher geplant, überwacht und ausgewertet werden. Technische Befunde werden mit Exposition, Eigentum und Geschäftskritikalität verknüpft und bis zur verifizierten Behebung gesteuert.

Schrittweise Seminarinhalte

1. Ziele, Eigentum und Freigabe

Schwerpunkt: Domains, IP-Adressen, Netzbereiche, Hosting, Dienstleister, kritische Systeme, Ausschlüsse und Testfenster.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Ziele, Eigentum und Freigabe“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Domains, IP-Adressen, Netzbereiche, Hosting, Dienstleister, kritische Systeme, Ausschlüsse und Testfenster strukturiert modellieren.
3. Eine externe Zielliste gegen Eigentums- und Freigabenachweise prüfen und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Zulässiger Scope, aktuelle Adressen und klare Verantwortliche mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis eine genehmigte Perimeter-Scope-Liste dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Dienst- und Expositionsmodell

Schwerpunkt: offene Ports, Protokolle, TLS, Webdienste, Managementschnittstellen, Load Balancer und Weiterleitungen.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Dienst- und Expositionsmodell“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von offene Ports, Protokolle, TLS, Webdienste, Managementschnittstellen, Load Balancer und Weiterleitungen strukturiert modellieren.
3. Dienste und erwartete Exposition je Ziel dokumentieren und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Unerwartete Dienste, geteilte Infrastruktur und Abweichungen mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis eine externe Dienst-Baseline dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Scanprofil und sichere Ausführung

Schwerpunkt: Prüftiefe, Zeitfenster, Rate, parallele Verbindungen, Schutzsysteme, Monitoring und Abbruchkriterien.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Scanprofil und sichere Ausführung“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Prüftiefe, Zeitfenster, Rate, parallele Verbindungen, Schutzsysteme, Monitoring und Abbruchkriterien strukturiert modellieren.
3. Ein risikoangepasstes Scanprofil konfigurieren und einen Probelauf durchführen und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Erreichbarkeit, Last, Stabilität und vollständige Laufdaten mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis einen freigegebenen Scanplan dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Befundbewertung und Priorisierung

Schwerpunkt: technische Evidenz, Versionen, Fehlkonfigurationen, Exposition, Ausnutzbarkeit und Geschäftskritikalität.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Befundbewertung und Priorisierung“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von technische Evidenz, Versionen, Fehlkonfigurationen, Exposition, Ausnutzbarkeit und Geschäftskritikalität strukturiert modellieren.
3. Befunde validieren, gruppieren und einer risikobasierten Priorität zuordnen und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Reproduzierbarkeit, Duplikate und kompensierende Kontrollen mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis eine verantwortete Remediation-Liste dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Korrektur und Wiederholungsprüfung

Schwerpunkt: Patch, Konfiguration, Dienstabschaltung, Zertifikatswechsel, Firewall-Regel, Change und Retest.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Korrektur und Wiederholungsprüfung“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Patch, Konfiguration, Dienstabschaltung, Zertifikatswechsel, Firewall-Regel, Change und Retest strukturiert modellieren.
3. Eine Korrektur bis zur erneuten technischen Prüfung steuern und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Geschlossene Exposition und keine unerwünschten Seiteneffekte mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis einen verifizierten Abschlussstatus dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxis und Übungen

1. Eine gemischte Liste aus Domains, IP-Adressen und Dienstleisterzielen auf zulässigen Scope prüfen.
2. Eine erwartete Dienst-Baseline erstellen und unerwartete Internetdienste markieren.
3. Ein sicheres Scanprofil für einen empfindlichen Perimeterbereich konfigurieren.
4. Befunde priorisieren und eine Korrektur mit Change und Retest dokumentieren.

Arbeitsweise

Fachliche Einordnung, Demonstrationen und angeleitete Laborphasen wechseln sich ab. Jede Übung folgt dem Schema Vorbereitung, kontrollierte Durchführung, technische Prüfung, Dokumentation und betriebliche Standardisierung. Produktive Ziele werden nur innerhalb eines schriftlich freigegebenen Scopes und mit abgestimmten Schutzmaßnahmen geprüft.

Vorkenntnisse und Zielgruppe

Zielgruppe: Netzwerkbetrieb, Infrastruktur Security, Vulnerability Management, Security Operations, Cloud- und Hosting-Betrieb sowie technische Dienstleistersteuerung.

Vorkenntnisse: Grundkenntnisse zu TCP/IP, DNS, Ports, Diensten, Firewalls, TLS, Internetexposition und Change-Prozessen.