Seminar OWASP secureCodeBox – Netzwerk-Scanning und Cascading Scans

Netzwerkscans entfalten ihren Nutzen, wenn Discovery und vertiefende Prüfungen getrennt, aber kontrolliert miteinander verbunden werden. Das Seminar entwickelt aus einem freigegebenen Scope eine mehrstufige Kaskade für DNS, Hosts, Ports, Dienste, TLS, SSH und Weboberflächen.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Netzwerk-Scopes, Freigaben und sichere Intensitätsprofile definieren
• Subfinder, Nmap, SSLyze, SSH-audit, WhatWeb, Screenshooter und weitere Scanner kombinieren
• CascadingRules mit korrekter Zielkonvertierung und Schleifenschutz erstellen
• Zeitpläne, Parallelität, Ressourcen und Netzlast beherrschbar gestalten
• Findings, Inventardaten und Fehler scannerübergreifend auswerten

Zielgruppe

Security Engineers, Netzwerkadministration, SOC, DevSecOps, Schwachstellenmanagement, Plattformteams und technische Consultants.

Voraussetzungen

Netzwerkgrundlagen, TCP/IP, DNS, Ports, TLS, SSH, Kubernetes- und YAML-Grundkenntnisse sowie erste secureCodeBox-Erfahrung.

Seminarinhalte

1. Schritt 1: Scope und Berechtigung festlegen

   Netze, Domains, Ausschlüsse, Eigentümer, Zeitfenster, maximale Intensität, Authentifizierung und Abbruchweg werden vor dem Scan dokumentiert.

2. Schritt 2: Scannerprofile nach Eingriffsgrad ordnen

   Discovery, passive Erkennung, aktive Prüfung und Authentifizierungsversuche werden getrennt und mit sicheren Standardwerten versehen.

3. Schritt 3: Subdomains kontrolliert ermitteln

   Subfinder wird mit Domain-Scope, Quellen, Rate Limits, Ausgabefeldern und Filterung für nachgelagerte Ziele eingesetzt.

4. Schritt 4: Hosts und Ports mit Nmap entdecken

   Host Discovery, Portauswahl, Zeitsteuerung, Serviceerkennung, Ausgabeformat und Netzlast werden für unterschiedliche Zielgrößen konfiguriert.

5. Schritt 5: Nmap-Ergebnisse als Ziele aufbereiten

   IP, Hostname, Port, Protokoll, Dienst und URL-Schema werden aus Findings in stabile Zielidentitäten und Folgeparameter übersetzt.

6. Schritt 6: TLS mit SSLyze prüfen

   TLS-Endpunkte, Zertifikate, Protokolle, Cipher Suites, SNI und Fehlerfälle werden aus geeigneten Ports abgeleitet und untersucht.

7. Schritt 7: SSH mit SSH-audit prüfen

   SSH-Dienste werden mit Host, Port, Algorithmen, Protokolloptionen und sicherer Ergebnisinterpretation geprüft.

8. Schritt 8: Webdienste erkennen

   WhatWeb und Screenshooter erfassen Technologien, Weiterleitungen und visuelle Hinweise. Ziel-URLs werden konsistent normalisiert.

9. Schritt 9: Ergänzende Dienstscanner auswählen

   Nikto, Nuclei oder andere passende Scanner werden nur bei passenden Dienstmerkmalen und zulässiger Intensität nachgelagert.

10. Schritt 10: CascadingRules erstellen

    Finding-Selektoren, Bedingungen, ScanType, Zielkonvertierung, Parameter und Labels werden für jede Kaskadenstufe definiert.

11. Schritt 11: Kaskaden begrenzen

    Maximale Tiefe, Zielanzahl, Deduplizierung, Schleifenschutz, Ausschlüsse und manuelle Freigaben verhindern unkontrollierte Scanexplosionen.

12. Schritt 12: Zeitplanung und Last steuern

    ScheduledScans, Parallelität, Quoten, Ressourcen, Rate Limits, Wartungsfenster und segmentierte Zielgruppen werden auf Netz und Cluster abgestimmt.

13. Schritt 13: Authentifizierte Prüfungen verantworten

    Ncrack oder vergleichbare Verfahren werden ausschließlich in ausdrücklich freigegebenen Testfällen mit Testkonten, Limits und sofortigem Abbruchweg betrachtet.

14. Schritt 14: Findings und Inventar trennen

    Assetinformationen, technische Beobachtungen, Schwachstellen und Scannerfehler werden unterschiedlich behandelt und in ein konsistentes Datenmodell eingeordnet.

15. Schritt 15: Fehler und Lücken diagnostizieren

    DNS-Probleme, Firewalls, Timeouts, falsche Schemas, doppelte Ziele, Scannerfehler und fehlende Kaskadenauslösung werden systematisch untersucht.

16. Schritt 16: Mehrstufigen Scan abnehmen

    Domain oder Netzbereich wird von Discovery bis zur vertieften Dienstprüfung mit kontrollierter Last, vollständigem Nachweis und Bereinigung durchlaufen.

Praxisübungen

• Ein freigegebenes Netz- und Domain-Scope mit Ausschlüssen definieren
• Subfinder- und Nmap-Profile mit begrenzter Last erstellen
• TLS-, SSH- und Web-Folgescans aus Discovery-Findings ableiten
• Mehrere CascadingRules mit Deduplizierung und Schleifenschutz bauen
• Parallelität und Ressourcen für einen größeren Zielbestand dimensionieren
• Fehlende oder falsche Kaskadenauslösungen diagnostizieren

Methodik

Drei Tage bauen eine kontrollierte Scanpyramide auf. Jede neue Stufe nutzt Ergebnisse der vorherigen, erhält aber eigene Scope-, Last- und Sicherheitsgrenzen sowie einen überprüfbaren Fehlerpfad.