Seminar WithSecure Elements Exposure Management – Netzwerk-, System- und authentifizierte Scans

Technische Scans liefern nur dann belastbare Ergebnisse, wenn Scope, Erreichbarkeit, Zugangsdaten, Belastungsgrenzen und Nachkontrolle zusammenpassen. Besonders authentifizierte Prüfungen benötigen eine saubere Trennung von Berechtigung, Geheimnisverwaltung und Betriebsfreigabe.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Discovery-, Netzwerk- und System-Scans nach Ziel, Scope und Betriebswirkung unterscheiden
• Authentifizierte Windows- und Linux-Prüfungen mit minimalen und geschützten Zugängen planen
• Abdeckung, Laufzeit, Fehler und Befundqualität systematisch auswerten
• Befundvalidierung, Remediation und Rescan als geschlossenen technischen Prozess betreiben

Zielgruppe

Vulnerability Management, Netzwerk- und Systemadministration, Security Operations, Serverbetrieb, Plattform Engineering und technische Service Owner.

Voraussetzungen

Gute Kenntnisse in IP-Netzen, Windows- oder Linux-Administration, Firewall- und Zugriffskonzepten sowie grundlegender Schwachstellenbewertung.

Seminarinhalte

Tag 1 – Scope, Discovery und Netzwerkprüfung

1. Scan-Ziel und erwartete Aussagekraft pro Netzbereich festlegen.
2. Adressräume, Ausschlüsse, sensible Systeme und Wartungsfenster erfassen.
3. Discovery und aktive Netzwerkprüfung hinsichtlich Intensität und Zweck trennen.
4. Scan-Node-Erreichbarkeit, Routing, Namensauflösung, Firewall und Proxy prüfen.
5. Pilotprofil mit begrenztem Scope und konservativen Parametern vorbereiten.
6. Ersten Lauf ausführen und Laufzeit, Erreichbarkeit, Timeouts und offene Ports auswerten.
7. Unbekannte Assets und Abdeckungslücken in die Inventarnachbearbeitung übergeben.

Tag 2 – System Scans und authentifizierte Prüfung

1. Unterschied zwischen externer Sicht und authentifizierter Systemprüfung erklären.
2. Windows- und Linux-Zielgruppen nach Betriebssystem, Eigentümer und Wartungsfenster strukturieren.
3. Technische Konten mit minimalen Rechten und klarer Lebensdauer planen.
4. Geheimnisse sicher hinterlegen, Zugriff begrenzen und Rotation dokumentieren.
5. Netzwerk- und Hostvoraussetzungen für die Authentisierung kontrollieren.
6. Pilot-Scan ausführen und Authentisierungsstatus, Prüftiefe und Fehler auswerten.
7. Fehlgeschlagene Anmeldungen von echten Systembefunden unterscheiden.
8. Betriebsverträglichkeit und Abdeckung vor der Skalierung abnehmen.

Tag 3 – Befundqualität, Fehleranalyse und Rescan

1. Befunde nach Erfassungsart, Evidenz, Aktualität und tatsächlicher Exposition prüfen.
2. Mögliche Fehlalarme und nicht ausreichend belegte Funde kontrolliert verifizieren.
3. Scanfehler nach Netzwerk, Zugangsdaten, Zielsystem, Zeitüberschreitung und Ressourcenengpass klassifizieren.
4. Korrekturmaßnahmen mit zuständigen Teams und Wartungsfenstern koordinieren.
5. Gezielten Rescan statt ungeplanter Vollwiederholung einsetzen.
6. Nach Korrektur Befundstatus und Angriffspfadwirkung erneut bewerten.
7. Kennzahlen für Abdeckung, Authentisierungsquote, Fehlerquote und Nachprüfzeit etablieren.

Praxisübungen

Übung 1: Scanplan für heterogene Netze

Büro-, Server- und Produktionsnetze besitzen unterschiedliche Erreichbarkeit und Betriebsrisiken.

1. Scope und Ausschlüsse je Zone erfassen.
2. Geeignete Scanart und Intensität zuordnen.
3. Zeitfenster, Abbruchkriterien und Ansprechpartner festlegen.
4. Pilot und Ausbaufolge planen.
5. Abdeckungs- und Qualitätskennzahlen definieren.

Kontrollpunkt: Jede Zone wird mit einer geeigneten, genehmigten Scanart geprüft; sensible Bereiche besitzen zusätzliche Schutzmaßnahmen.

Übung 2: Authentifizierten Linux-Scan vorbereiten

Ein Serversegment soll tiefer geprüft werden, ohne breit privilegierte Dauerzugänge einzuführen.

1. Zielsysteme und erforderliche Prüftiefe bestimmen.
2. Minimales technisches Konto und erlaubte Aktionen definieren.
3. Geheimnisablage und Rotation planen.
4. Netzwerk- und Hostvoraussetzungen prüfen.
5. Pilot, Fehleranalyse und Rückbau festlegen.

Kontrollpunkt: Das Zugangskonzept ist begrenzt, nachvollziehbar und kann nach dem Pilot kontrolliert geändert oder entfernt werden.

Übung 3: Scanfehler systematisch isolieren

Ein Scan erreicht nur einen Teil der Systeme; weitere Ziele melden Zeitüberschreitungen oder fehlgeschlagene Authentisierung.

1. Fehler nach Phase und Zielgruppe sortieren.
2. Erreichbarkeit, DNS, Firewall und Scan-Node-Status prüfen.
3. Zugangsdaten und Zielsystemprotokolle kontrollieren.
4. Minimalen Testlauf zur Ursachenisolierung durchführen.
5. Korrektur und gezielten Rescan dokumentieren.

Kontrollpunkt: Die Ursache ist technisch belegt, die Korrektur bleibt auf den betroffenen Bereich begrenzt und die Abdeckung wird erneut gemessen.

Methodik

Die drei Tage kombinieren Scanplanung, technische Konfiguration, sichere Zugangskonzepte und systematische Fehleranalyse. Jeder praktische Lauf besitzt Scope, Freigabe, Abbruchkriterium, Auswertung und dokumentierte Nachkontrolle.