Seminar Detectify Attack Surface Management – Discovery, Inventar und Insights

Das Seminar vermittelt den Aufbau eines belastbaren externen Angriffsflächeninventars. Root- und Apex-Domains, Subdomains, IP-Adressen, CIDR-Bereiche, Ports, Dienste, Technologien, DNS und TLS werden kontinuierlich entdeckt, bewertet und mit Eigentümerschaft verbunden.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Root- und Apex-Domains, IP-Adressen und CIDR-Bereiche als Discovery-Seeds planen.
• Subdomains, DNS-Beziehungen und zugehörige Internetressourcen systematisch erfassen.
• Offene Ports, Dienste, Technologien und Zertifikate als Angriffsflächenkontext bewerten.
• Insights, Änderungen und unbekannte Assets nach Risiko und Eigentümerschaft priorisieren.
• Ein konsistentes, fortlaufend gepflegtes Angriffsflächeninventar etablieren.

Schrittweise Seminarinhalte

1. EASM-Scope und Discovery-Zielbild

Schwerpunkt: Geschäftseinheiten, Marken, Domains, IP-Räume, Cloudkonten, Tochtergesellschaften, Fremdleistungen und Eigentümer.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „EASM-Scope und Discovery-Zielbild“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Geschäftseinheiten, Marken, Domains, IP-Räume, Cloudkonten, Tochtergesellschaften, Fremdleistungen und Eigentümer modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis ein freigegebenes Discovery- und Verantwortungsmodell dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Root- und Apex-Domain-Discovery

Schwerpunkt: bekannte Root-Domains, automatische Apex-Erkennung, Registrierungsbezug, Zertifikatshinweise, Namensmuster und Bestätigung.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Root- und Apex-Domain-Discovery“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von bekannte Root-Domains, automatische Apex-Erkennung, Registrierungsbezug, Zertifikatshinweise, Namensmuster und Bestätigung modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis einen kontrollierten Prozess für bekannte und neu entdeckte Root-Domains dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Subdomain- und DNS-Discovery

Schwerpunkt: Certificate Transparency, DNS-Auflösung, Enumeration, Brute-Force-Methoden, CNAME-Beziehungen, verwaiste Einträge und Änderungsverfolgung.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Subdomain- und DNS-Discovery“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Certificate Transparency, DNS-Auflösung, Enumeration, Brute-Force-Methoden, CNAME-Beziehungen, verwaiste Einträge und Änderungsverfolgung modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis ein nachvollziehbares Subdomain- und DNS-Inventar dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. IP- und CIDR-Erfassung

Schwerpunkt: DNS-verknüpfte IPs, einzelne IP-Assets, CIDR-Bereiche, Provider, Cloud- und Hostingbezug, aktive Hosts und Scopegrenzen.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „IP- und CIDR-Erfassung“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von DNS-verknüpfte IPs, einzelne IP-Assets, CIDR-Bereiche, Provider, Cloud- und Hostingbezug, aktive Hosts und Scopegrenzen modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis ein abgestimmtes IP- und Netzbereichsinventar dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Port- und Serviceerkennung

Schwerpunkt: Portscans, Dienstidentifikation, unerwartete Exposition, Managementschnittstellen, Datenbankdienste, Verschlüsselung und Priorisierung.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Port- und Serviceerkennung“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Portscans, Dienstidentifikation, unerwartete Exposition, Managementschnittstellen, Datenbankdienste, Verschlüsselung und Priorisierung modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis eine risikobasierte Übersicht exponierter Dienste dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. Technologien, TLS und Infrastruktur-Insights

Schwerpunkt: Frameworks, Server, Bibliotheken, Zertifikate, Protokolle, Hostingwechsel, Technologieänderungen und veraltete Komponenten.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Technologien, TLS und Infrastruktur-Insights“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Frameworks, Server, Bibliotheken, Zertifikate, Protokolle, Hostingwechsel, Technologieänderungen und veraltete Komponenten modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis eine technische Bestands- und Änderungsmatrix dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Inventarbereinigung, Ownership und Betriebsabnahme

Schwerpunkt: Dubletten, falsch zugeordnete Assets, inaktive Systeme, Teamzuweisung, Status, Kontrollintervalle, Kennzahlen und Nachweisführung.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Inventarbereinigung, Ownership und Betriebsabnahme“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Dubletten, falsch zugeordnete Assets, inaktive Systeme, Teamzuweisung, Status, Kontrollintervalle, Kennzahlen und Nachweisführung modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis ein abgenommenes und kontinuierlich pflegbares Angriffsflächeninventar dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Aufbau eines Discovery-Modells aus Domain-, Cloud- und IP-Seeds.
• Analyse eines neuen Subdomain- und IP-Funds einschließlich Eigentümerzuordnung.
• Bewertung unerwarteter Ports und Technologien anhand eines Risikorasters.
• Erstellung einer regelmäßigen Inventar- und Änderungsprüfung mit messbaren Kennzahlen.

Zielgruppe und Voraussetzungen

Zielgruppe: EASM- und AppSec-Teams, Security Operations, Cloud- und Netzwerkbetrieb, Asset Management und technische Projektleitung.

Voraussetzungen: Grundkenntnisse in DNS, IP-Netzen, Cloud-Infrastruktur, Webtechnologien und Schwachstellenmanagement.

Didaktik und Arbeitsweise

Fachimpulse, Demonstrationen und geführte Konfigurationsschritte wechseln mit Praxisübungen, kontrollierten Fehlerfällen und Reviewphasen. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die Abläufe wiederholbar bleiben.