Seminar reNgine Datenanalyse, Filter und Visualisierung

Inhaltsverzeichnis

1. Einordnung und Nutzen
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Seminarinhalte
5. Praxisübungen
6. Qualität und verantwortungsvoller Einsatz

Einordnung und Nutzen

Der Nutzen einer Reconnaissance-Plattform entsteht erst durch eine strukturierte Auswertung. Das Seminar zeigt, wie aus umfangreichen Rohdaten belastbare Arbeitslisten entstehen. Filter, Gruppierungen und Visualisierungen werden mit Qualitätskontrollen verbunden, damit auffällige Assets nicht nur sichtbar, sondern auch nachvollziehbar priorisiert werden.

Das Thema wird in einem eigenständigen Arbeitsablauf behandelt. Begriffe, Konfiguration, Prüfschritte und Dokumentation werden so verbunden, dass der Ablauf nach dem Seminar in einer freigegebenen Umgebung reproduzierbar umgesetzt werden kann.

Zielgruppe und Voraussetzungen

Zielgruppe: Security Analysts, Penetration Tester, Attack Surface Manager, SOC-Fachkräfte und technische Projektverantwortliche.

Voraussetzungen: Grundkenntnisse in Web- und Netzwerkdiensten sowie erste Erfahrung mit Scanergebnissen.

Lernziele

• Ergebnisse nach Qualität, Aktualität und Relevanz einordnen.
• Mehrstufige Filter für unterschiedliche Analysefragen aufbauen.
• Interessante Assets anhand transparenter Kriterien markieren.
• Scanläufe und Veränderungen vergleichbar darstellen.
• Priorisierte Arbeitslisten mit eindeutigem Bearbeitungsstatus erzeugen.

Seminarinhalte

Schritt 1: Analysefrage formulieren

Eine gute Auswertung beginnt mit einer konkreten Frage, beispielsweise neue exponierte Dienste, unbekannte Technologien oder veränderte Endpunkte. Ziel, Zeitraum, Asset-Gruppe und erwartetes Ergebnis werden vor der Filterung festgelegt.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 2: Datenqualität prüfen

Fehlende Zeitstempel, unvollständige Antworten, Dubletten und nicht erreichbare Ziele werden erkannt. Ergebnisse werden nach Quelle und Scanlauf getrennt, damit technische Veränderungen nicht mit Erfassungsfehlern verwechselt werden.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 3: Basisfilter aufbauen

Hosts, Statuscodes, Ports, Technologien und Schweregrade werden mit einfachen Filtern eingegrenzt. Jede Filterstufe wird dokumentiert und auf unbeabsichtigten Datenverlust geprüft.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 4: Filter kombinieren

Mehrere Kriterien werden zu wiederverwendbaren Analysesichten verbunden. Beispiele sind öffentlich erreichbare Administrationsoberflächen, neue Dienste auf kritischen Assets oder Endpunkte mit auffälligen Parametern.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 5: Assets gruppieren und vergleichen

Ergebnisse werden nach Organisation, Projekt, Domain, IP-Bereich, Technologie oder Kritikalität gruppiert. Vergleichssichten zeigen neue, entfernte und veränderte Beobachtungen zwischen zwei Scanständen.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 6: Interessante Subdomains bewerten

Namensmuster, Technologien, Status und Kontext werden kombiniert, um potenziell relevante Subdomains hervorzuheben. Die Markierung dient als Prüfhinweis und wird nicht automatisch als Schwachstelle interpretiert.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 7: Visualisierungen zweckgerecht einsetzen

Diagramme und Übersichten werden passend zur Fragestellung ausgewählt. Eine Visualisierung muss die zugrunde liegende Datenmenge, Filter und Zeitbasis erkennen lassen und darf fehlende Daten nicht verschleiern.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 8: Arbeitslisten priorisieren

Technische Relevanz, Asset-Kritikalität, Veränderungsgrad und Prüfaufwand werden in eine transparente Reihenfolge überführt. Verantwortlichkeit, Status und nächster Prüfschritt werden direkt mitgeführt.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 9: Analyse reproduzierbar dokumentieren

Filter, Ausschlüsse, Zeitbezug und Bewertungskriterien werden so dokumentiert, dass eine zweite Person dieselbe Sicht herstellen und die Priorisierung nachvollziehen kann.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Praxisübungen

1. Aus einem großen Beispieldatensatz drei unterschiedliche Analysesichten entwickeln.
2. Dubletten und unvollständige Ergebnisse erkennen und bereinigen.
3. Zwei Scanstände vergleichen und echte Änderungen von Erfassungsabweichungen trennen.
4. Eine priorisierte Arbeitsliste mit Prüfkriterien, Status und Verantwortlichkeit erstellen.

Qualität und verantwortungsvoller Einsatz

Visualisierungen und Filter dürfen keine Scheingenauigkeit erzeugen. Jede Auswertung weist Datenstand, Scope, Ausschlüsse und bekannte Lücken aus. Markierungen wie „interessant“ oder „kritisch“ werden durch nachvollziehbare Kriterien begründet und anschließend technisch geprüft.

Für jeden Arbeitsauftrag werden Autorisierung, Scope, verantwortliche Stelle, zulässige Methoden, Lastgrenzen und Abbruchmöglichkeit vor Beginn geprüft. Ergebnisse bleiben bis zur technischen Bestätigung als Beobachtung oder Hypothese gekennzeichnet.