Seminar reNgine Subdomain, Port und HTTP Erkennung

Inhaltsverzeichnis

1. Einordnung und Nutzen
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Seminarinhalte
5. Praxisübungen
6. Qualität und verantwortungsvoller Einsatz

Einordnung und Nutzen

Eine belastbare Asset-Erkennung arbeitet stufenweise: Kandidaten sammeln, DNS validieren, erreichbare Adressen prüfen, Dienste erkennen und Weboberflächen einordnen. Das Seminar zeigt, wie unterschiedliche Verfahren kombiniert werden, ohne Dubletten, Wildcards und temporäre Fehler als echte Angriffsfläche zu missverstehen.

Das Thema wird in einem eigenständigen Arbeitsablauf behandelt. Begriffe, Konfiguration, Prüfschritte und Dokumentation werden so verbunden, dass der Ablauf nach dem Seminar in einer freigegebenen Umgebung reproduzierbar umgesetzt werden kann.

Zielgruppe und Voraussetzungen

Zielgruppe: Security Analysts, Penetration Tester, Attack Surface Manager, SOC- und CERT-Fachkräfte.

Voraussetzungen: Grundkenntnisse in DNS, TCP/IP, Ports, HTTP und TLS; grundlegende reNgine-Bedienung.

Lernziele

• Passive und aktive Subdomain-Quellen sinnvoll kombinieren.
• DNS-Wildcards, CNAME-Ketten und wechselnde Auflösungen erkennen.
• Portprofile und Scanintensität an Ziel und Auftrag anpassen.
• HTTP-Dienste, Redirects, Zertifikate und Technologien konsistent erfassen.
• Assetdaten normalisieren, deduplizieren und mit Konfidenz versehen.

Seminarinhalte

Schritt 1: Zielmodell und Namensräume festlegen

Root-Domains, erlaubte Wildcards, Marken und ausdrücklich ausgeschlossene Bereiche werden dokumentiert. Ähnliche fremde Domains werden nicht aufgrund des Namens einbezogen.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 2: Passive Subdomain-Kandidaten sammeln

Mehrere öffentliche und vorhandene interne Quellen werden abgefragt. Herkunft und Zeitpunkt bleiben erhalten, damit historische Kandidaten von aktuellen Beobachtungen getrennt werden.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 3: Aktive Erkennung begrenzen

Wortlisten und Mutationen werden an Namenskonventionen und Scope angepasst. Umfang, Parallelität und DNS-Last werden vorab begrenzt.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 4: DNS validieren

A-, AAAA-, CNAME- und weitere relevante Antworten werden geprüft. Nicht auflösbare, temporär fehlerhafte und geparkte Namen werden unterschieden.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 5: Wildcard-Effekte erkennen

Kontrollnamen und Antwortmuster zeigen, ob beliebige Subdomains aufgelöst werden. Wildcard-Ergebnisse werden markiert und nicht als individuelle Assets gezählt.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 6: IPs und Eigentümerschaft einordnen

Aufgelöste Adressen werden nach Hosting, gemeinsam genutzter Infrastruktur und zeitlicher Stabilität betrachtet. Eine IP-Zuordnung erweitert den Scope nicht automatisch.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 7: Portprofil auswählen

Standard-, technologiebezogene und erweiterte Portlisten werden nach Auftrag gewählt. Zeitüberschreitung, Wiederholung und Parallelität werden kalibriert.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 8: Dienste erkennen

Offene Ports werden mit Protokoll- und Diensthinweisen angereichert. Unsichere Bannerinterpretationen werden als Hypothese statt als bestätigte Technologie geführt.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 9: HTTP-Dienste prüfen

HTTP und HTTPS werden auch auf nicht standardisierten Ports erfasst. Status, Titel, Header, Redirectziel und Antwortcharakteristik werden gespeichert.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 10: TLS und Zertifikate auswerten

Zertifikatsnamen, Gültigkeit und Ketten liefern Kontext für weitere Asset-Kandidaten. Neue Namen werden vor einer weiteren Prüfung gegen den Scope kontrolliert.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 11: Technologien und Screenshots vorbereiten

Technologiehinweise werden aus mehreren Merkmalen gewonnen und mit Konfidenz versehen. Erreichbare Weboberflächen werden für die visuelle Nachprüfung vorbereitet.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 12: Daten konsolidieren

Subdomain, IP, Port, Dienst und URL werden in Beziehungen zusammengeführt. Dubletten, Zeitbezug und widersprüchliche Beobachtungen bleiben nachvollziehbar.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Praxisübungen

1. Passive und aktive Subdomain-Ergebnisse zusammenführen.
2. DNS-Wildcards und CNAME-Ketten in einem Testbestand erkennen.
3. Ein Portprofil kalibrieren und Dienste auf mehreren Ports einordnen.
4. HTTP-, TLS- und Technologieinformationen zu einem konsistenten Assetdatensatz verbinden.

Qualität und verantwortungsvoller Einsatz

Aktive Erkennung bleibt an freigegebene Namensräume, Adressen, Lastgrenzen und Zeitfenster gebunden. DNS- und Portdaten können gemeinsam genutzte Infrastruktur betreffen und werden daher nicht ungeprüft als Eigentumsnachweis oder Scope-Erweiterung behandelt.

Für jeden Arbeitsauftrag werden Autorisierung, Scope, verantwortliche Stelle, zulässige Methoden, Lastgrenzen und Abbruchmöglichkeit vor Beginn geprüft. Ergebnisse bleiben bis zur technischen Bestätigung als Beobachtung oder Hypothese gekennzeichnet.