Seminar Outpost24 – Intensivseminar EASM

Fünftägiges Intensivseminar für den vollständigen EASM-Arbeitszyklus. Der Inhalt bündelt Grundlagen, Onboarding, Discovery, Attribution, technische Analyse, Change Detection, risikobasierte Priorisierung, Digital-Risk-Triage, Maßnahmensteuerung, Verifikation und Governance. Die Inhalte werden in einer kontrollierten Übungsumgebung schrittweise aufgebaut, geprüft und in betriebsfähige Arbeitsabläufe übertragen.

Inhaltsübersicht

• Zielsetzung
• Seminarinhalte
• Kapitel 1: EASM-Grundmodell und Angreiferperspektive
• Kapitel 2: Seed-Daten und Scope-Definition
• Kapitel 3: Onboarding und erste Bestandsaufnahme
• Kapitel 4: Kontinuierliche Asset Discovery
• Kapitel 5: Asset Attribution und Eigentumsprüfung
• Kapitel 6: Shadow IT und vergessene Ressourcen
• Kapitel 7: Domains, DNS und Namensraum
• Kapitel 8: Zertifikate und kryptografische Exposition
• Kapitel 9: Exponierte Dienste, Ports und Protokolle
• Kapitel 10: Look-alike Domains und Namensmissbrauch
• Kapitel 11: Change Detection und Ereignisbewertung
• Kapitel 12: Attack-Surface-Scoring und Risikokontext
• Kapitel 13: Remediation Tracker und Maßnahmensteuerung
• Kapitel 14: Verifikation und nachhaltiger Abschluss
• Kapitel 15: EASM-Reporting für unterschiedliche Empfänger
• Kapitel 16: EASM-Governance und Regelbetrieb
• Zielgruppe
• Voraussetzungen
• Methodik

Zielsetzung

Ein produktionsnaher EASM-Prozess wird vom Seed bis zum verifizierten Maßnahmenabschluss und zum Managementbericht vollständig aufgebaut.

Seminarinhalte

Die Bearbeitung folgt einem durchgängigen Ablauf aus Einordnung, Konfiguration, Analyse, Validierung und Dokumentation. Jeder Arbeitsschritt wird zunächst fachlich begründet und anschließend praktisch ausgeführt.

Kapitel 1: EASM-Grundmodell und Angreiferperspektive

1. Schritt 1: Externe Angriffsfläche, Asset, Exposure, Finding, Shadow IT und Digital Risk eindeutig voneinander abgrenzen.
2. Schritt 2: Bekannte und unbekannte internetexponierte Ressourcen aus Sicht eines externen Beobachters einordnen.
3. Schritt 3: Passive, hybride und aktive Erkenntnisgewinnung nach Nutzen und Eingriffsintensität unterscheiden.
4. Schritt 4: EASM in bestehende Asset-, Vulnerability- und Risikomanagementprozesse einbetten.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 2: Seed-Daten und Scope-Definition

1. Schritt 1: Primärdomains, IP-Bereiche, Marken, Tochtergesellschaften und weitere Startpunkte vollständig erfassen.
2. Schritt 2: In-Scope-, Beobachtungs- und Ausschlusskriterien fachlich und organisatorisch festlegen.
3. Schritt 3: Eigentumsnachweis, rechtliche Grenzen und Freigaben vor der Aufnahme neuer Bereiche prüfen.
4. Schritt 4: Scope-Änderungen mit Datum, Begründung, Verantwortlichkeit und Review-Intervall dokumentieren.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 3: Onboarding und erste Bestandsaufnahme

1. Schritt 1: Zugänge, Zuständigkeiten, Seed-Daten und gewünschte Benachrichtigungen vorbereiten.
2. Schritt 2: Initiale Discovery starten und erwartbare Warte- sowie Prüfphasen im Projektplan berücksichtigen.
3. Schritt 3: Erste Kandidaten nach Relevanz, Eigentum und möglicher Exposition vorsortieren.
4. Schritt 4: Baseline mit bestätigten Assets, offenen Zuordnungen und priorisierten Klärfällen freigeben.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 4: Kontinuierliche Asset Discovery

1. Schritt 1: Discovery-Ergebnisse für Domains, Subdomains, IP-Adressen, Cloud-Ressourcen und Drittservices untersuchen.
2. Schritt 2: Neue Kandidaten anhand von Beziehungen, technischen Merkmalen und Seed-Nähe priorisieren.
3. Schritt 3: Offensichtliche Fehlzuordnungen, geparkte Ressourcen und historische Artefakte aussortieren.
4. Schritt 4: Bestätigte Assets mit Ownership, Kritikalität und Bearbeitungsstatus in den Bestand übernehmen.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 5: Asset Attribution und Eigentumsprüfung

1. Schritt 1: DNS-, Zertifikats-, Registrierungs-, Hosting- und Linkbeziehungen als Indizien zusammenführen.
2. Schritt 2: Kandidaten nach sicherer, wahrscheinlicher, unklarer oder verworfener Zuordnung klassifizieren.
3. Schritt 3: Fachliche Eigentümer über nachvollziehbare Prüfpakete in die Entscheidung einbeziehen.
4. Schritt 4: Zuordnungsentscheidung und verwendete Belege revisionsfähig dokumentieren.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 6: Shadow IT und vergessene Ressourcen

1. Schritt 1: Nicht inventarisierte Kampagnen-, Test-, Entwicklungs- und Cloud-Ressourcen erkennen.
2. Schritt 2: Geschäftszweck, Verantwortlichkeit, Datenbezug und technischen Pflegezustand klären.
3. Schritt 3: Übernahme, Absicherung, Abschaltung oder zeitlich befristete Duldung als Maßnahme festlegen.
4. Schritt 4: Wiederkehrende Entstehungsursachen durch organisatorische und technische Kontrollen reduzieren.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 7: Domains, DNS und Namensraum

1. Schritt 1: Domains, Subdomains und relevante DNS-Record-Typen vollständig erfassen und gruppieren.
2. Schritt 2: Auflösungen, Weiterleitungen, Nameserver und historische Änderungen auf Auffälligkeiten prüfen.
3. Schritt 3: Verwaiste Einträge, externe Zielsysteme und potenzielle Übernahmerisiken identifizieren.
4. Schritt 4: Bereinigung oder Absicherung mit DNS-, Hosting- und Applikationsverantwortlichen koordinieren.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 8: Zertifikate und kryptografische Exposition

1. Schritt 1: Zertifikatsbestand nach Aussteller, Gültigkeit, Namen, Schlüsselmerkmalen und Einsatzort auswerten.
2. Schritt 2: Ablaufende, unerwartete oder falsch zugeordnete Zertifikate priorisieren.
3. Schritt 3: Zertifikatsbeziehungen als Hinweis auf zusätzliche Domains und Hosts für Discovery nutzen.
4. Schritt 4: Erneuerung, Austausch und Entfernung mit Frist und technischer Verifikation nachverfolgen.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 9: Exponierte Dienste, Ports und Protokolle

1. Schritt 1: Internetexponierte Dienste nach Protokoll, Version, Zweck und Assetkritikalität inventarisieren.
2. Schritt 2: Unnötige, veraltete oder administrativ sensible Dienste von legitimen Expositionen unterscheiden.
3. Schritt 3: Sichere Konfiguration, Zugriffsbeschränkung, Abschaltung oder Ersatz als Maßnahme auswählen.
4. Schritt 4: Nach Umsetzung die externe Sicht erneut prüfen und Restexposition dokumentieren.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 10: Look-alike Domains und Namensmissbrauch

1. Schritt 1: Ähnliche, vertauschte oder erweiterte Domainnamen anhand definierter Marken- und Namensmuster sichten.
2. Schritt 2: Legitime Registrierungen, defensive Domains und verdächtige Kandidaten voneinander unterscheiden.
3. Schritt 3: Websiteinhalt, Zertifikat, Hosting und Registrierungsmerkmale in die Triage einbeziehen.
4. Schritt 4: Eskalation, Beobachtung oder Gegenmaßnahme abhängig von Risiko und Beweislage festlegen.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 11: Change Detection und Ereignisbewertung

1. Schritt 1: Neue Assets, geänderte DNS-Daten, Zertifikate, Dienste und Expositionen als unterschiedliche Ereignistypen erfassen.
2. Schritt 2: Erwartete Änderungen aus Projekten und Betrieb von unerwarteten Veränderungen unterscheiden.
3. Schritt 3: Relevanz mit Kritikalität, Eigentum, Reichweite und möglichem Angriffsweg bewerten.
4. Schritt 4: Benachrichtigung, Ticket oder Beobachtung anhand einer abgestuften Regel auslösen.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 12: Attack-Surface-Scoring und Risikokontext

1. Schritt 1: Asset-, Exposure- und Finding-Sicht getrennt analysieren und anschließend zusammenführen.
2. Schritt 2: Technische Schwere, externe Erreichbarkeit, Assetkritikalität und vorhandene Schutzmaßnahmen berücksichtigen.
3. Schritt 3: Scoreänderungen durch neue Daten oder geänderte Exposition nachvollziehen.
4. Schritt 4: Prioritätsklassen mit klaren Bearbeitungsregeln und dokumentierten Ausnahmen verbinden.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 13: Remediation Tracker und Maßnahmensteuerung

1. Schritt 1: Findings und Expositionen in eindeutige, umsetzbare Maßnahmenpakete überführen.
2. Schritt 2: Owner, Zieltermin, Status, Blocker und Verifikationskriterium je Maßnahme hinterlegen.
3. Schritt 3: Überfällige oder stagnierende Vorgänge anhand definierter Eskalationsstufen nachverfolgen.
4. Schritt 4: Fortschritt und Risikoreduktion regelmäßig mit dem aktuellen externen Zustand abgleichen.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 14: Verifikation und nachhaltiger Abschluss

1. Schritt 1: Technische Behebung aus der externen Sicht erneut prüfen.
2. Schritt 2: Teilbehebungen, kompensierende Maßnahmen und verbleibende Restrisiken getrennt dokumentieren.
3. Schritt 3: Wiederauftreten durch Change Detection und periodische Kontrollen überwachen.
4. Schritt 4: Fall erst nach erfülltem Verifikationskriterium und nachvollziehbarer Freigabe schließen.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 15: EASM-Reporting für unterschiedliche Empfänger

1. Schritt 1: Operative, taktische und strategische Berichtsempfänger mit ihren Entscheidungsfragen erfassen.
2. Schritt 2: Assetbestand, Veränderungen, Expositionen, Maßnahmen und Trends zielgruppengerecht auswählen.
3. Schritt 3: Technische Details und Managementaussagen konsistent aus derselben Datenbasis ableiten.
4. Schritt 4: Berichtszyklus, Verantwortlichkeit, Freigabe und Verteilung verbindlich festlegen.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 16: EASM-Governance und Regelbetrieb

1. Schritt 1: Scope-Owner, Asset-Owner, Risikoverantwortliche und Plattformbetrieb verbindlich benennen.
2. Schritt 2: Bearbeitungsfristen, Ausnahmen, Eskalationen und Review-Termine als Richtlinie festlegen.
3. Schritt 3: Datenqualität und Prozessleistung mit wenigen belastbaren Kennzahlen überwachen.
4. Schritt 4: Änderungen am Betriebsmodell über Entscheidung, Test, Freigabe und Dokumentation steuern.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Zielgruppe

EASM-Verantwortung, SOC, Vulnerability Management, Infrastruktur, Cloud Security, Incident Response und technische Risikoverantwortung.

Voraussetzungen

Solide Grundlagen zu DNS, Zertifikaten, Internetdiensten und Schwachstellenmanagement. Ein EASM-Testzugang und freigegebene Seed-Daten sind erforderlich.

Methodik

Fachlicher Kurzvortrag, geführte Demonstration, schrittweise Konfiguration, Analyse realitätsnaher Befunde, praktische Übungen am System sowie dokumentierte Kontroll- und Abnahmeschritte.