Seminar OWASP Amass – Asset-Beziehungen, Angriffsflächenanalyse und Priorisierung

Der Aufbaukurs macht aus einer umfangreichen Asset-Sammlung eine nachvollziehbare Angriffsflächenanalyse. Domains, Namen, Adressen, Netzblöcke, autonome Systeme, Zertifikate und beobachtete Dienste werden als Beziehungsnetz interpretiert. Der Schwerpunkt liegt auf Eigentumszuordnung, Evidenzqualität, Änderungsrelevanz und einer Priorisierung, die technische Signale mit geschäftlichem Kontext verbindet.

Inhaltsübersicht

• Beziehungsmodell und Evidenzklassen
• Eigentumszuordnung und Organisationsgrenzen
• Cluster, Pfade und exponierte Gruppen
• Qualität und zeitlicher Kontext
• Risikoorientierte Priorisierung
• Review-Pakete und Maßnahmensteuerung
• Praxisprojekt
• Arbeitsweise und Qualitätssicherung

Kompetenzziele

• Asset-Beziehungen im Open Asset Model fachlich lesen und plausibilisieren
• Eigentums-, Betriebs- und Abhängigkeitsbeziehungen sauber unterscheiden
• kritische Pfade und exponierte Asset-Gruppen aus dem Beziehungsnetz ableiten
• unsichere Zuordnungen und Shared-Infrastructure-Effekte kennzeichnen
• eine begründete, wiederholbare Priorisierung für Review und Maßnahmenplanung aufbauen

Seminarinhalte

1. Beziehungsmodell und Evidenzklassen

Eine Angriffsfläche besteht nicht aus einer flachen Liste. Zunächst werden Asset-Typen, Relationen, Quellenvertrauen und zeitliche Gültigkeit in einem gemeinsamen Modell festgelegt.

1. Relevante Asset-Typen und ihre eindeutigen Identifikatoren definieren.
2. Relationen wie gehört zu, löst auf, wird betrieben durch und befindet sich in unterscheiden.
3. Evidenz in bestätigt, wahrscheinlich, unklar und verworfen klassifizieren.
4. Regeln für Verfallszeit, Wiederbestätigung und Konfliktbehandlung festlegen.

2. Eigentumszuordnung und Organisationsgrenzen

Domains oder IP-Adressen sind nicht automatisch Eigentum des untersuchten Unternehmens. Mehrere Signale werden kombiniert, damit Dienstleister, Cloud-Plattformen und geteilte Infrastrukturen korrekt eingeordnet werden.

1. Organisationsnamen, Marken, registrierte Netze und bekannte Provider als Ausgangssignale erfassen.
2. DNS-, Zertifikats-, Routing- und Namensmuster gegen den freigegebenen Unternehmenskontext prüfen.
3. Direktes Eigentum, beauftragten Betrieb und reine technische Abhängigkeit getrennt markieren.
4. Unsichere Zuordnungen in eine Review-Warteschlange statt in den bestätigten Scope überführen.

3. Cluster, Pfade und exponierte Gruppen

Durch Gruppierung nach Domainzweigen, Netzen, Providern, Umgebungskennzeichen und Diensten werden relevante Teilflächen sichtbar. Beziehungspfade zeigen, wie ein Fund mit der Organisation verbunden ist.

1. Assets nach Geschäftseinheit, Umgebung, Region und Infrastrukturprovider gruppieren.
2. Beziehungspfade vom Organisationsknoten bis zu Namen, Adressen und Diensten nachvollziehen.
3. Einzelknoten mit ungewöhnlich vielen oder besonders vielfältigen Beziehungen identifizieren.
4. Verwaiste, neu verbundene oder unerwartet exponierte Gruppen für die Detailprüfung markieren.

4. Qualität und zeitlicher Kontext

Priorisierung ohne Zeitbezug führt zu veralteten Entscheidungen. Laufzeit, erstes und letztes Auftreten sowie widersprüchliche Beobachtungen werden in die Bewertung einbezogen.

1. Zeitstempel und Beobachtungsfenster für relevante Assets und Relationen vergleichen.
2. Kurzlebige Signale von stabilen, wiederholt bestätigten Beziehungen trennen.
3. Konflikte zwischen Datenquellen sichtbar machen und nach Vertrauensregeln auflösen.
4. Assets mit überfälliger Wiederbestätigung aus der operativen Prioritätsliste herausnehmen oder kennzeichnen.

5. Risikoorientierte Priorisierung

Die Rangfolge verbindet Exposition, Asset-Kritikalität, Eigentumsvertrauen, Änderung und Prüfbedarf. Es entsteht kein pauschaler Risikoscore, sondern ein transparentes Entscheidungsmodell.

1. Bewertungskriterien und Gewichtungen mit klaren Skalen definieren.
2. Geschäftskritische Namen, produktive Umgebungen und öffentlich erreichbare Dienste höher gewichten.
3. Unsicherheit als eigenen Faktor ausweisen, statt sie mit technischer Kritikalität zu vermischen.
4. Prioritäten an repräsentativen Assets kalibrieren und fachlich begründen.

6. Review-Pakete und Maßnahmensteuerung

Priorisierte Funde werden so aufbereitet, dass zuständige Teams sie prüfen können. Jedes Paket enthält Evidenz, Beziehungspfad, Scope-Status und einen konkreten nächsten Prüfschritt.

1. Für jede hohe Priorität den nachvollziehbaren Beziehungspfad dokumentieren.
2. Asset-Verantwortung und zuständige Prüfstelle zuordnen.
3. Technische Evidenz und offene Annahmen getrennt darstellen.
4. Review-Status, Entscheidung und Wiedervorlagetermin in einer Maßnahmenliste erfassen.

Praxisprojekt

Im Labor wird ein heterogener Asset-Datensatz mit Cloud-, Provider- und Shared-Hosting-Anteilen analysiert. Aus dem Beziehungsnetz entstehen überprüfbare Eigentumscluster, ein Priorisierungsmodell und mehrere Review-Pakete für technische und organisatorische Folgemaßnahmen.

1. Asset-Typen, Relationen und Evidenzklassen für den Datensatz festlegen.
2. Eigentums- und Betriebscluster mit dokumentierten Begründungen bilden.
3. Zeit- und Qualitätskonflikte bereinigen oder als offen kennzeichnen.
4. Priorisierungsregeln anwenden und an Grenzfällen kalibrieren.
5. Drei Review-Pakete mit Beziehungspfad, Evidenz und nächstem Prüfschritt erstellen.

Arbeitsweise und Qualitätssicherung

Die Durchführung kombiniert fachliche Einordnung, demonstrierte Arbeitsabläufe, geführte Laborphasen und eigenständige Kontrollaufgaben. Jeder Arbeitsschritt wird mit Scope, Eingaben, Laufparametern, Beobachtungen und Prüfpunkt dokumentiert. Wiederholbare Testläufe, Positiv- und Negativkontrollen sowie eine klare Trennung zwischen bestätigten, wahrscheinlichen und ungeklärten Assets sichern die Nachvollziehbarkeit. Alle Analysen erfolgen ausschließlich in autorisierten Übungsumgebungen oder innerhalb schriftlich freigegebener Zielbereiche.