Seminar OWASP Amass – Kontinuierliches Attack Surface Monitoring

Der Monitoringkurs überführt punktuelle Discovery in einen kontrollierten, wiederholbaren Beobachtungsprozess. Zeitpläne, Baselines, stabile Identitäten, Änderungsregeln, Qualitätskontrollen, Alarmierung und Review werden so kombiniert, dass relevante Veränderungen sichtbar werden, ohne jede flüchtige Beobachtung als Incident zu behandeln. Der Schwerpunkt liegt auf belastbaren Deltas und operationalisierbaren Workflows.

Inhaltsübersicht

• Monitoringziel und Segmentierung
• Baselines und stabile Identitäten
• Zeitplanung und reproduzierbare Läufe
• Delta-Bildung und Ereignisklassen
• Regeln, Schwellen und Alarmierung
• Review, Ticketing und Rückmeldung
• Betriebsqualität und kontinuierliche Verbesserung
• Praxisprojekt
• Arbeitsweise und Qualitätssicherung

Kompetenzziele

• Monitoringziele, Frequenzen und Baselines für unterschiedliche Asset-Gruppen festlegen
• Läufe reproduzierbar planen und ihre Datenstände vergleichbar halten
• neue, geänderte, verschwundene und unsichere Assets differenzieren
• Änderungsregeln, Schwellen und Review-Workflows kalibrieren
• Betriebsmetriken, Alarmierung, Aufbewahrung und kontinuierliche Verbesserung verbinden

Seminarinhalte

1. Monitoringziel und Segmentierung

Nicht alle Assets benötigen dieselbe Frequenz. Kritikalität, Änderungsdynamik, Eigentumsvertrauen und Datenquellenverfügbarkeit bestimmen das Beobachtungsprofil.

1. Asset-Bestand nach Kritikalität, Umgebung und Änderungsdynamik segmentieren.
2. Je Segment Beobachtungsfrage und erwartete Reaktionszeit festlegen.
3. Passive und aktive Methoden sowie zulässige Zeitfenster zuordnen.
4. Verantwortliche Reviewstelle und Eskalationsweg benennen.

2. Baselines und stabile Identitäten

Ein Delta ist nur aussagekräftig, wenn Ausgangsbestand, Schlüssel, Scope und Profil dokumentiert sind. Baselines enthalten deshalb auch Qualitäts- und Zeitinformationen.

1. Stabile Schlüssel für Domains, Namen, Adressen, Netze und Beziehungen festlegen.
2. Baseline mit Scope-Version, Profil, Quellenstand und Zeitstempel erzeugen.
3. Unsichere und veraltete Einträge gesondert markieren.
4. Baseline fachlich freigeben und unveränderlich archivieren.

3. Zeitplanung und reproduzierbare Läufe

Scheduler, Profile und Ressourcenlimits sorgen für vergleichbare Ausführungen. Änderungen an Quellen oder Konfiguration werden wie Messmethodenänderungen behandelt.

1. Frequenz und Laufzeitfenster je Segment planen.
2. Profil, Konfigurationsversion und Scope-Version an den Auftrag binden.
3. Parallelität und Laufbudget auf Betriebsgrenzen abstimmen.
4. Fehlgeschlagene oder unvollständige Läufe kennzeichnen und nicht als normale Delta-Basis verwenden.

4. Delta-Bildung und Ereignisklassen

Neue, geänderte und verschwundene Assets haben unterschiedliche Bedeutung. Beobachtungsverlust wird nicht automatisch als tatsächliche Stilllegung interpretiert.

1. Aktuellen Bestand und Baseline über stabile Schlüssel vergleichen.
2. Neuanlage, Attributänderung, neue Beziehung, fehlende Bestätigung und Entfernung unterscheiden.
3. Mindestanzahl aufeinanderfolgender Beobachtungen für flüchtige Signale definieren.
4. Delta mit Herkunft, Evidenz, Scope-Status und vorherigem Zustand anreichern.

5. Regeln, Schwellen und Alarmierung

Alarmierung wird auf relevante Änderungen begrenzt. Regeln kombinieren Asset-Kritikalität, Änderungstyp, Eigentumsvertrauen und Evidenz.

1. Regelkatalog für kritische Namensmuster, neue externe Dienste und Eigentumsänderungen erstellen.
2. Warn-, Review- und Sofortstufe mit klaren Kriterien unterscheiden.
3. Mengenschwellen und Deduplizierung für Serienereignisse definieren.
4. Testereignisse erzeugen und Meldung, Kontext sowie Zuständigkeit prüfen.

6. Review, Ticketing und Rückmeldung

Ein Alarm wird durch Review und Rückmeldung wertvoll. Entscheidungen fließen in Regeln, Eigentumsdaten und Scope zurück.

1. Review-Paket mit Vorher-Nachher-Daten und Beziehungspfad erzeugen.
2. Asset Owner und technische Prüfstelle zuordnen.
3. Entscheidung als bestätigt, erwartet, Fehlalarm oder unklar dokumentieren.
4. Rückmeldung zur Anpassung von Regel, Evidenz oder Scope verwenden.

7. Betriebsqualität und kontinuierliche Verbesserung

Monitoring wird über Datenfrische, Abdeckung, Fehlalarmquote, Reviewzeit und technische Zuverlässigkeit gesteuert. Regeln und Profile werden regelmäßig kalibriert.

1. Kennzahlen für Laufvollständigkeit, Datenfrische, Alarmvolumen und Reviewzeit definieren.
2. Fehlalarme und übersehene Änderungen anhand von Stichproben analysieren.
3. Quellen-, Profil- und Schwellenänderungen kontrolliert testen.
4. Monatlichen Qualitätsreview mit Maßnahmen, Verantwortlichen und Termin etablieren.

Praxisprojekt

Im Labor werden drei zeitlich versetzte Datenstände einer simulierten Organisation verarbeitet. Es entsteht eine Baseline, anschließend werden Neuanlagen, Beziehungsänderungen, Beobachtungsverluste und Providerwechsel klassifiziert, alarmiert und über einen Review-Workflow zurückgemeldet.

1. Asset-Segmente, Frequenzen und Monitoringziele festlegen.
2. Baseline mit stabilen Schlüsseln und Qualitätsstatus erzeugen.
3. Zwei Folgeläufe reproduzierbar ausführen und Deltas bilden.
4. Regeln und Schwellen anhand von Testereignissen kalibrieren.
5. Review-Rückmeldungen auswerten und Qualitätskennzahlen aktualisieren.

Arbeitsweise und Qualitätssicherung

Die Durchführung kombiniert fachliche Einordnung, demonstrierte Arbeitsabläufe, geführte Laborphasen und eigenständige Kontrollaufgaben. Jeder Arbeitsschritt wird mit Scope, Eingaben, Laufparametern, Beobachtungen und Prüfpunkt dokumentiert. Wiederholbare Testläufe, Positiv- und Negativkontrollen sowie eine klare Trennung zwischen bestätigten, wahrscheinlichen und ungeklärten Assets sichern die Nachvollziehbarkeit. Alle Analysen erfolgen ausschließlich in autorisierten Übungsumgebungen oder innerhalb schriftlich freigegebener Zielbereiche.