Seminar reNgine Scans, Subscans und Scope Steuerung

Inhaltsverzeichnis

1. Einordnung und Nutzen
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Seminarinhalte
5. Praxisübungen
6. Qualität und verantwortungsvoller Einsatz

Einordnung und Nutzen

Die gleiche Scan Engine kann je nach Zielmenge, Parametern und Zeitpunkt sehr unterschiedliche Auswirkungen haben. Das Seminar entwickelt einen kontrollierten Ablauf für breite Erfassung, gezielte Nachprüfung und wiederkehrende Scans. Der effektive Scope wird vor Start geprüft und bleibt auch bei automatisch erzeugten Folgeaufgaben erhalten.

Das Thema wird in einem eigenständigen Arbeitsablauf behandelt. Begriffe, Konfiguration, Prüfschritte und Dokumentation werden so verbunden, dass der Ablauf nach dem Seminar in einer freigegebenen Umgebung reproduzierbar umgesetzt werden kann.

Zielgruppe und Voraussetzungen

Zielgruppe: Penetration Tester, Security Analysts, Attack Surface Manager, Plattformbetrieb und technische Projektverantwortliche.

Voraussetzungen: Grundkenntnisse in reNgine, DNS, HTTP und Netzwerkdiensten; Verständnis autorisierter Testgrenzen.

Lernziele

• Den effektiven technischen Scope vor jedem Scan verifizieren.
• Profile und Parameter risikogerecht auswählen.
• Vollscans und Subscans nach Zweck und Zielmenge trennen.
• Zeitpläne, Rescans und Abbruchfunktionen kontrolliert einsetzen.
• Scanverlauf, Fehler und Wiederanlauf nachvollziehbar dokumentieren.

Seminarinhalte

Schritt 1: Autorisierung und Zielbestand abgleichen

Projektziele, Wildcards, IP-Bereiche, URLs, Ausschlüsse und Zeitfenster werden gegen den aktuellen Auftrag geprüft. Veraltete Freigaben werden nicht weiterverwendet.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 2: Effektiven Scope berechnen

Automatisch abgeleitete Subdomains, Redirectziele, IP-Auflösungen und Folge-URLs werden darauf geprüft, ob sie innerhalb der Autorisierung bleiben.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 3: Scan Engine bewerten

Enthaltene Aufgaben, Intensität, externe Tools, Templateprofile und erwartete Laufzeit werden vor Auswahl verstanden. Ein Profilname allein reicht nicht als Freigabegrundlage.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 4: Parameter kalibrieren

Parallelität, Timeout, Rate Limit, Wortlisten, Ports, Tags und Ausschlüsse werden anhand eines kleinen Testlaufs eingestellt.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 5: Vollscan kontrolliert starten

Zielmenge, Profil, Parameter, Wartungsfenster und Abbruchberechtigung werden in einer Startprüfung bestätigt. Status und Ressourcen werden überwacht.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 6: Subscans gezielt einsetzen

Interessante Hosts, Ports, URLs oder Befunde werden in eine begrenzte Nachprüfung überführt. Der Subscan erhält eine konkrete Hypothese und erwartete Ausgabe.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 7: Geplante Scans einrichten

Wiederkehrende Prüfungen werden nach Risiko, Veränderungsrate und Last getrennt. Verantwortlichkeit und Reaktion auf Fehler oder kritische Änderungen werden festgelegt.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 8: Smart Rescans verwenden

Veränderungsorientierte Wiederholung fokussiert neue oder geänderte Assets. Eine periodische Vollaufnahme bleibt als Qualitätskontrolle erhalten.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 9: Stop- und Abbruchfunktionen testen

Einzelabbruch und zentrale Stopfunktion werden in der Laborumgebung ausgelöst. Es wird geprüft, welche Jobs beendet, welche Ergebnisse erhalten und welche Aufräumschritte notwendig sind.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 10: Fehler und Teilresultate behandeln

Timeouts, Toolfehler, leere Ergebnisse und abgebrochene Aufgaben werden unterschieden. Unvollständige Daten erhalten einen sichtbaren Status.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 11: Wiederanlauf planen

Nach einem Fehler wird nicht pauschal alles wiederholt. Betroffene Aufgaben und Zielmengen werden begrenzt neu gestartet.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 12: Scanprotokoll abschließen

Scope, Profil, Parameter, Zeit, Fehler, Abbrüche, Teilresultate und Folgeaufträge werden in einem prüfbaren Arbeitsstand dokumentiert.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Praxisübungen

1. Den effektiven Scope eines gemischten Zielbestands kontrollieren.
2. Ein Profil anhand eines kleinen Testlaufs kalibrieren.
3. Aus Ergebnissen zwei unterschiedliche Subscans mit klarer Hypothese ableiten.
4. Einen Scan stoppen, Teilresultate bewerten und einen begrenzten Wiederanlauf planen.

Qualität und verantwortungsvoller Einsatz

Scanfreigabe umfasst Ziel, Methode, Intensität und Zeitraum. Automatisch gefundene Assets werden nicht ohne Scope-Prüfung weitergescannt. Abbruchfunktionen müssen vor einem produktionsnahen Einsatz bekannt und getestet sein.

Für jeden Arbeitsauftrag werden Autorisierung, Scope, verantwortliche Stelle, zulässige Methoden, Lastgrenzen und Abbruchmöglichkeit vor Beginn geprüft. Ergebnisse bleiben bis zur technischen Bestätigung als Beobachtung oder Hypothese gekennzeichnet.