Seminar OWASP Amass – Governance, Scope und kontrollierter Einsatz

Der Governancekurs übersetzt technische Asset Discovery in einen freigegebenen, auditierbaren Prozess. Behandelt werden Auftrag, Eigentums- und Zuständigkeitsklärung, Scope-Lebenszyklus, Datenminimierung, aktive und passive Methoden, Freigaben, Nachweise, Aufbewahrung und Eskalation. Die Übungen verwenden ausschließlich simulierte Organisationen und autorisierte Laborziele.

Inhaltsübersicht

• Auftragsrahmen und Zieldefinition
• Scope-Modell und Ausschlüsse
• Methodenklassen und Freigabestufen
• Rollen, Berechtigungen und Vier-Augen-Prinzip
• Datenminimierung, Aufbewahrung und Nachweis
• Abweichung, Incident und Eskalation
• Praxisprojekt
• Arbeitsweise und Qualitätssicherung

Kompetenzziele

• einen vollständigen Auftrag für Asset Discovery und Enumeration formulieren
• Scope, Ausschlüsse, Methoden und Erweiterungsregeln nachvollziehbar verwalten
• Rollen, Freigaben und Vier-Augen-Punkte für sensible Tätigkeiten definieren
• Datenverarbeitung, Aufbewahrung und Zugriff risikoorientiert gestalten
• Abweichungen, Fehlzuordnungen und Eskalationen kontrolliert bearbeiten

Seminarinhalte

1. Auftragsrahmen und Zieldefinition

Technische Erfassung benötigt einen klaren geschäftlichen Zweck, eine verantwortliche Stelle und messbare Ziele. Der Auftrag begrenzt zugleich Methoden und Datenverwendung.

1. Geschäftszweck, erwartete Entscheidungen und betroffene Organisationseinheiten beschreiben.
2. Auftraggeber, technische Leitung, Freigabestelle und Asset-Verantwortung zuordnen.
3. Erfolgskriterien und zulässige Ergebnisverwendung festlegen.
4. Gültigkeitszeitraum, Reviewtermin und Beendigungsbedingungen dokumentieren.

2. Scope-Modell und Ausschlüsse

Scope besteht aus mehr als einer Domainliste. Domains, Netze, autonome Systeme, Marken, Tochtergesellschaften, Providerbezüge und Ausschlüsse werden getrennt geführt.

1. Bestätigte Ausgangsassets mit Eigentumsnachweis erfassen.
2. Technische Provider- und Shared-Infrastructure-Bezüge gesondert kennzeichnen.
3. Ausschlüsse nach Asset, Methode, Zeitfenster und Datenquelle definieren.
4. Unklare Kandidaten in einen Reviewbereich außerhalb des aktiven Scopes legen.

3. Methodenklassen und Freigabestufen

Passive Abfragen, aktive DNS-Validierung und weitere aktive Verfahren haben unterschiedliche Auswirkungen. Eine Methodenmatrix legt Freigabe, Limits und Protokollierung fest.

1. Methoden nach passiv, bestätigend aktiv und weitergehend aktiv klassifizieren.
2. Je Klasse zulässige Ziele, Rate Limits, Zeitfenster und Freigabestufe bestimmen.
3. Abbruchbedingungen und technische Schutzmaßnahmen dokumentieren.
4. Methodenprofil als unveränderliche Referenz an jeden Lauf binden.

4. Rollen, Berechtigungen und Vier-Augen-Prinzip

Freigabe, Konfiguration, Ausführung, Analyse und Ergebnisweitergabe werden nicht automatisch derselben Rolle zugeordnet. Kritische Änderungen benötigen unabhängige Kontrolle.

1. Rollenmatrix für Auftrag, Scope, Betrieb, Analyse und Datenzugriff erstellen.
2. Minimalrechte für Konfiguration, Geheimnisse und Datenbankzugriff festlegen.
3. Vier-Augen-Punkte für Scope-Erweiterung, aktive Profile und externe Übergaben definieren.
4. Vertretung, Notfallzugriff und nachträgliche Kontrolle dokumentieren.

5. Datenminimierung, Aufbewahrung und Nachweis

Asset-Daten können sensible technische und organisatorische Informationen enthalten. Es werden nur notwendige Daten gespeichert und nur so lange, wie der Auftrag es erfordert.

1. Datenkategorien und Schutzbedarf erfassen.
2. Aufbewahrungsfristen für Rohbeobachtung, bestätigte Assets, Exporte und Logs festlegen.
3. Zugriff, Export und Löschung mit Protokollpflicht versehen.
4. Regelmäßige Prüfung auf veraltete, unklare oder nicht mehr erforderliche Daten planen.

6. Abweichung, Incident und Eskalation

Scope-Überschreitung, falsche Eigentumszuordnung oder unerwartete aktive Wirkung werden als steuerungsrelevante Abweichungen behandelt.

1. Abweichung erkennen, Lauf pausieren und aktuellen Zustand sichern.
2. Betroffene Assets, Methode, Zeitraum und mögliche Auswirkungen erfassen.
3. Freigabestelle und technische Verantwortliche nach Eskalationsmatrix informieren.
4. Korrektur, Wiederanlauf oder Beendigung mit dokumentierter Entscheidung durchführen.

Praxisprojekt

Für eine simulierte Unternehmensgruppe entsteht ein vollständiges Governance-Paket aus Auftrag, Scope-Register, Methodenmatrix, Rollenmodell, Aufbewahrungsregeln und Eskalationsplan. Anschließend wird eine unerwartete Scope-Erweiterung als kontrollierte Abweichung bearbeitet.

1. Auftrag, Zweck, Rollen und Erfolgskriterien formulieren.
2. Scope-Register mit Ausschlüssen und Reviewbereich aufbauen.
3. Methoden- und Freigabematrix einschließlich Limits erstellen.
4. Datenzugriff, Aufbewahrung und Löschung dokumentieren.
5. Abweichungsszenario stoppen, bewerten, eskalieren und abschließen.

Arbeitsweise und Qualitätssicherung

Die Durchführung kombiniert fachliche Einordnung, demonstrierte Arbeitsabläufe, geführte Laborphasen und eigenständige Kontrollaufgaben. Jeder Arbeitsschritt wird mit Scope, Eingaben, Laufparametern, Beobachtungen und Prüfpunkt dokumentiert. Wiederholbare Testläufe, Positiv- und Negativkontrollen sowie eine klare Trennung zwischen bestätigten, wahrscheinlichen und ungeklärten Assets sichern die Nachvollziehbarkeit. Alle Analysen erfolgen ausschließlich in autorisierten Übungsumgebungen oder innerhalb schriftlich freigegebener Zielbereiche.