Seminar OWASP Amass – Einführung in External Attack Surface Management

Das eintägige Orientierungsseminar ordnet OWASP Amass in External Attack Surface Management und technische Asset Discovery ein. Es vermittelt zentrale Begriffe, Komponenten, Datenflüsse, zulässige Einsatzgrenzen und die Interpretation typischer Resultate. Ein geführter Laborfall zeigt den Weg von einer freigegebenen Ausgangsdomäne bis zu einer nachvollziehbaren, noch nicht risikobewerteten Asset-Sicht.

Inhaltsübersicht

• EASM, Asset Discovery und Verantwortlichkeiten
• Grundbegriffe der externen Angriffsfläche
• Amass-Komponenten und Datenfluss
• Scope und zulässiger Einsatz
• Geführter Discovery-Lauf
• Interpretation und nächste Schritte
• Praxisprojekt
• Arbeitsweise und Qualitätssicherung

Kompetenzziele

• Zweck, Grenzen und Einsatzfelder von Amass im EASM-Kontext erklären
• passive und aktive Erfassung sowie deren Auswirkungen unterscheiden
• Collection Engine, Asset-Datenbank und Open Asset Model einordnen
• einen minimalen autorisierten Scope definieren und kontrollieren
• typische Asset-Typen, Beziehungen und Qualitätsfragen in Resultaten erkennen

Seminarinhalte

1. EASM, Asset Discovery und Verantwortlichkeiten

External Attack Surface Management verbindet technische Beobachtung mit Eigentumsprüfung, Priorisierung und organisatorischer Verantwortung. Amass liefert dafür Asset- und Beziehungsdaten, ersetzt jedoch keinen vollständigen Governanceprozess.

1. Geschäftliche Fragestellung und erwarteten Nutzen der Asset Discovery festhalten.
2. Technische Erfassung, Eigentumsprüfung, Risikobewertung und Maßnahmensteuerung voneinander abgrenzen.
3. Zuständigkeiten für Freigabe, Betrieb, Analyse und Asset-Verantwortung zuordnen.
4. Erfolgskriterien für einen kleinen Pilotumfang formulieren.

2. Grundbegriffe der externen Angriffsfläche

Domains, vollständig qualifizierte Namen, IP-Adressen, Netzblöcke, autonome Systeme, Zertifikate und Dienste bilden unterschiedliche Sichten auf dieselbe Infrastruktur.

1. Asset-Typen anhand eines vereinfachten Unternehmensbeispiels unterscheiden.
2. Direkte Eigentumsbeziehung, Providerbezug und technische Abhängigkeit erklären.
3. Zeitpunkt und Quelle als Bestandteile einer Beobachtung erfassen.
4. Unklare Zuordnung als Prüfbedarf statt als bestätigtes Eigentum kennzeichnen.

3. Amass-Komponenten und Datenfluss

Die Plattform wird als Zusammenspiel von Erfassung, Engine, Datenbank und Abfrage betrachtet. Diese Trennung erleichtert Verständnis, Betrieb und Fehleranalyse.

1. Eingaben, Erfassungsaufträge und Datenquellen im Datenfluss markieren.
2. Rolle der Collection Engine bei Koordination und Sammlung beschreiben.
3. Rolle der Asset-Datenbank für persistente Assets und Beziehungen erklären.
4. Auswertung und Export als nachgelagerte, kontrollierte Schritte einordnen.

4. Scope und zulässiger Einsatz

Jede Erfassung beginnt mit schriftlich freigegebenen Zielen und Ausschlüssen. Auch passive Methoden benötigen einen nachvollziehbaren Auftrag und eine definierte Datenverarbeitung.

1. Ausgangsdomains und bekannte Organisationsbezüge erfassen.
2. Ausschlüsse, Zeitfenster und nicht zulässige aktive Verfahren festlegen.
3. Kriterien für eine spätere Scope-Erweiterung definieren.
4. Freigabe, Ansprechpartner und Abbruchweg dokumentieren.

5. Geführter Discovery-Lauf

Ein kleiner, passiver Laborlauf demonstriert Konfiguration, Start, Beobachtung und erste Auswertung, ohne eine produktive Umgebung oder fremde Ziele zu untersuchen.

1. Vorbereiteten Labor-Scope und Profil prüfen.
2. Erfassungsauftrag starten und Status sowie Laufprotokoll beobachten.
3. Domains, Namen und Adressen aus dem Ergebnisbestand identifizieren.
4. Eine Beziehungskette bis zum Organisationskontext nachvollziehen.

6. Interpretation und nächste Schritte

Resultate werden nicht als fertige Wahrheit behandelt. Qualität, Aktualität, Eigentumsbezug und Wiederholbarkeit bestimmen den nächsten sinnvollen Seminar- oder Projektpfad.

1. Bestätigte, wahrscheinliche und unklare Funde trennen.
2. Typische Ursachen für Fehlzuordnungen und veraltete Daten benennen.
3. Offene Fragen nach Scope, Datenquelle, Validierung oder Eigentum gruppieren.
4. Passenden Vertiefungspfad für Enumeration, Datenanalyse, Betrieb oder Integration auswählen.

Praxisprojekt

Der Laborfall nutzt ausschließlich bereitgestellte Übungsdaten und einen freigegebenen Testscope. Aus einer Ausgangsdomäne wird eine kleine Asset-Sicht erzeugt, anschließend werden Beziehungen, Unsicherheiten und notwendige nächste Prüfschritte dokumentiert.

1. Auftrag, Scope, Ausschlüsse und Rollen prüfen.
2. Komponenten und Datenfluss auf einer Architekturkarte zuordnen.
3. Geführten passiven Discovery-Lauf beobachten.
4. Asset-Typen und eine Beziehungskette auswerten.
5. Qualitätsstatus und nächste Vertiefungsschritte dokumentieren.

Arbeitsweise und Qualitätssicherung

Die Durchführung kombiniert fachliche Einordnung, demonstrierte Arbeitsabläufe, geführte Laborphasen und eigenständige Kontrollaufgaben. Jeder Arbeitsschritt wird mit Scope, Eingaben, Laufparametern, Beobachtungen und Prüfpunkt dokumentiert. Wiederholbare Testläufe, Positiv- und Negativkontrollen sowie eine klare Trennung zwischen bestätigten, wahrscheinlichen und ungeklärten Assets sichern die Nachvollziehbarkeit. Alle Analysen erfolgen ausschließlich in autorisierten Übungsumgebungen oder innerhalb schriftlich freigegebener Zielbereiche.