Seminar OWASP Amass – Intensivseminar für Attack Surface Discovery und Betrieb

Das fünftägige Intensivformat verdichtet die Themen aller Fachseminare und des Kompaktformats in einer durchgängigen Lern- und Projektstrecke. Von Governance, Installation und passiver Discovery führt der Kurs über aktive Validierung, dynamische Scope-Regeln und Asset-Beziehungen bis zu Datenbank, Deployment, Monitoring, API-Integration und Betrieb. Die Breite wird bewusst priorisiert; Spezialseminare bieten anschließend zusätzliche Tiefe für einzelne Rollen.

Inhaltsübersicht

• Governance, Scope und Zielbild
• Installation, Architektur und sichere Basiskonfiguration
• Passive Discovery und Datenquellen
• Aktive DNS-Validierung und Scope-Kontrolle
• Fortgeschrittene Enumeration und dynamische Erweiterung
• Open Asset Model, Datenbank und Abfragen
• Analyse, Priorisierung und Reporting
• Containerbetrieb, Monitoring und Troubleshooting
• Automatisierung, REST API und Datenübergabe
• Backup, Update, Audit und Betriebsübergabe
• Praxisprojekt
• Arbeitsweise und Qualitätssicherung

Kompetenzziele

• einen autorisierten Amass-Prozess von Auftrag und Scope bis zur operativen Übergabe planen
• Installation, Konfiguration, passive und aktive Enumeration sicher anwenden
• Asset-Daten, Beziehungen, Qualität und Priorität fachlich auswerten
• eine containerisierte Plattform mit Datenbank, Monitoring und Backup betreiben
• Automatisierung und Datenübergabe über kontrollierte Schnittstellen entwerfen
• ein vollständiges End-to-End-Projekt mit Auditspur und Betriebsdokumentation abschließen

Seminarinhalte

1. Governance, Scope und Zielbild

Der erste Abschnitt schafft Auftrag, Rollen, Scope, Ausschlüsse, Methodenklassen und Erfolgskriterien. Damit erhält das technische Projekt eine belastbare und auditierbare Grundlage.

1. Geschäftszweck, erwartete Entscheidungen und Verantwortlichkeiten festlegen.
2. Ausgangsassets, Ausschlüsse und Reviewbereich in einem Scope-Register erfassen.
3. Passive und aktive Methoden mit Limits und Freigabestufen klassifizieren.
4. Erfolgskriterien, Abbruchweg und Aufbewahrungsregeln dokumentieren.

2. Installation, Architektur und sichere Basiskonfiguration

Amass wird als Zusammenspiel von Collection Engine, Asset-Datenbank, Konfiguration und Abfragewerkzeugen aufgebaut. Allgemeine Parameter, Datenquellen und Geheimnisse bleiben getrennt.

1. Laborhost, Netzwerk, Speicher und Zeitquelle prüfen.
2. Engine und PostgreSQL-basierte Asset-Datenbank reproduzierbar bereitstellen.
3. Basis-, Datenquellen- und Scope-Konfiguration mit minimalen Rechten anlegen.
4. Gesundheit, Verbindung, Persistenz und Logzugriff vor dem ersten Auftrag prüfen.

3. Passive Discovery und Datenquellen

Passive Erfassung schafft eine risikoarme Ausgangssicht. Quellen werden nach Abdeckung, Vertrauen, Quoten, Sichtbarkeit und Schutzbedarf ausgewählt.

1. Quelleninventar und passives Laufprofil für den Übungsscope erstellen.
2. API-Schlüssel geschützt bereitstellen und Offenlegung in Logs ausschließen.
3. Passiven Referenzlauf mit Laufkennung und Qualitätskontrollen ausführen.
4. Treffer, Überschneidungen, Quellenfehler und unklare Eigentumsbezüge klassifizieren.

4. Aktive DNS-Validierung und Scope-Kontrolle

Passive Kandidaten werden mit kontrollierten DNS-Verfahren bestätigt. Resolver-Qualität, Wildcards, Reverse DNS und Shared Infrastructure werden ausdrücklich geprüft.

1. Resolver mit positiven und negativen Referenznamen qualifizieren.
2. Aktive Abfragen in begrenzten Batches und innerhalb des freigegebenen Fensters starten.
3. Wildcard- und Providerantworten von bestätigten Organisationsassets trennen.
4. Neue Kandidaten nur nach Evidenz- und Freigaberegel in den erweiterten Scope übernehmen.

5. Fortgeschrittene Enumeration und dynamische Erweiterung

Mehrstufige Erfassung nutzt Domains, Netze, Zertifikats- und Organisationssignale, ohne unbestätigte Kandidaten unkontrolliert weiterzuverfolgen.

1. Hypothesen und erwartete Bestätigungssignale für komplexe Organisationsbezüge formulieren.
2. Kandidaten mit Quelle, Beziehungspfad und Evidenzklasse erfassen.
3. Tiefe, Kandidatenzahl, aktive Abfragen und Laufzeit budgetieren.
4. Iteration anhand von Erkenntnisgewinn, Fehlalarmen und Scope-Änderungen bewerten.

6. Open Asset Model, Datenbank und Abfragen

Assets, Eigenschaften, Beziehungen und Beobachtungen werden im Datenmodell interpretiert. Wiederholbare Abfragen beantworten operative Fragen zu Neuheit, Veränderung und Eigentumsstatus.

1. Zentrale Asset-Typen und Beziehungspfade im Open Asset Model zuordnen.
2. Abfrage für neue, geänderte und überfällige Assets definieren.
3. Duplikate, widersprüchliche Beobachtungen und verwaiste Relationen prüfen.
4. Rollen, Aufbewahrung und Wiederbestätigung für den Datenbestand festlegen.

7. Analyse, Priorisierung und Reporting

Aus der Asset-Sammlung entsteht eine nachvollziehbare Entscheidungsvorlage. Eigentum, Exposition, Kritikalität, Änderung und Unsicherheit bleiben getrennte Bewertungsdimensionen.

1. Asset-Cluster nach Umgebung, Geschäftseinheit, Provider und Eigentumsstatus bilden.
2. Beziehungspfade und zeitliche Evidenz für auffällige Gruppen nachvollziehen.
3. Transparente Priorisierung mit kalibrierten Kriterien anwenden.
4. Operative Prüfliste, reduzierte Beziehungsansicht und Managementkennzahlen erstellen.

8. Containerbetrieb, Monitoring und Troubleshooting

Die Plattform wird als Dienst mit Ressourcen-, Auftrags-, Datenbank- und Qualitätsmetriken betrieben. Fehler werden über einen festen Diagnosepfad vom Symptom zur Ursache verfolgt.

1. Services, Netze, Volumes, Gesundheitsprüfungen und Ressourcenlimits dokumentieren.
2. Metriken und Schwellen für Laufzeit, Fehlerquote, Backlog und Datenbankwachstum festlegen.
3. Datenquellenfehler, Datenbankengpass und fehlerhafte Konfiguration simulieren.
4. Runbook ausführen, Korrektur prüfen und Betriebszustand wieder freigeben.

9. Automatisierung, REST API und Datenübergabe

Ein kontrollierter Automatisierungsfluss plant Aufträge, überwacht Status, transformiert Daten und übergibt nur qualitätsgesicherte Änderungen an ein simuliertes Zielsystem.

1. Schnittstellenvertrag, technische Identität und minimalen API-Berechtigungsumfang definieren.
2. Auftrag mit Korrelations-ID, Idempotenzschlüssel und freigegebenem Scope starten.
3. Daten in ein versioniertes Übergabeschema transformieren und validieren.
4. Fehler, Wiederholungen, Quarantäne und Zielsystemantwort vollständig protokollieren.

10. Backup, Update, Audit und Betriebsübergabe

Der Abschluss verbindet technische Funktionsfähigkeit mit Wiederherstellbarkeit und Nachweis. Ein Pilot gilt erst nach Restore-Test, Referenzlauf und vollständiger Betriebsübergabe als abgeschlossen.

1. Konfiguration, Geheimnisreferenzen und Datenbank konsistent sichern.
2. Wiederherstellung in einer getrennten Umgebung mit Kontrollabfragen prüfen.
3. Update- und Rückfallpfad anhand eines Referenzscopes testen.
4. Architektur, Scope, Qualitätsregeln, Runbooks, Kennzahlen und offene Punkte übergeben.

Praxisprojekt

Das fünftägige Capstone-Projekt bildet die gesamte Prozesskette ab. Eine simulierte Organisation wird governancekonform erfasst, passiv und aktiv untersucht, in der Asset-Datenbank analysiert und priorisiert. Anschließend werden Monitoring, Störungssimulation, API-Übergabe, Backup und Restore sowie die Betriebsfreigabe durchgeführt.

1. Auftrag, Rollen, Scope, Ausschlüsse und Methodenprofil freigeben.
2. Plattform mit Engine, Datenbank, Konfiguration und geschützten Quellenzugängen bereitstellen.
3. Passive und aktive Erfassung mit Evidenz- und Scope-Gates ausführen.
4. Asset-Beziehungen analysieren, priorisieren und in Berichtspakete überführen.
5. Monitoring, Troubleshooting und API-Übergabe praktisch testen.
6. Backup, Restore, Updatepfad und vollständige Betriebsübergabe nachweisen.

Arbeitsweise und Qualitätssicherung

Die Durchführung kombiniert fachliche Einordnung, demonstrierte Arbeitsabläufe, geführte Laborphasen und eigenständige Kontrollaufgaben. Jeder Arbeitsschritt wird mit Scope, Eingaben, Laufparametern, Beobachtungen und Prüfpunkt dokumentiert. Wiederholbare Testläufe, Positiv- und Negativkontrollen sowie eine klare Trennung zwischen bestätigten, wahrscheinlichen und ungeklärten Assets sichern die Nachvollziehbarkeit. Alle Analysen erfolgen ausschließlich in autorisierten Übungsumgebungen oder innerhalb schriftlich freigegebener Zielbereiche.