Seminar WithSecure Elements Exposure Management – External Attack Surface Management und Web Scans

Die externe Angriffsfläche verändert sich durch neue Dienste, Cloud-Ressourcen, DNS-Einträge und vergessene Testsysteme schneller als klassische Inventare. Ein belastbarer Prozess muss zunächst Eigentum und Scope klären, danach kontrolliert prüfen und schließlich Änderungen kontinuierlich überwachen.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Internetnahe Assets aus Domains, IP-Bereichen und Webdiensten strukturiert erfassen
• Eigentum, Kritikalität und zulässigen Prüfumfang vor technischen Scans verifizieren
• Web Scans risikoarm planen, Befunde validieren und Fehlalarme kontrollieren
• Externe Exposition, Domain-Takeover-Risiken und Remediation dauerhaft überwachen

Zielgruppe

External Attack Surface Management, Web Security, Vulnerability Management, SOC, Netzwerk- und Cloud-Administration, Application Security und technische Service Owner.

Voraussetzungen

Grundkenntnisse zu DNS, HTTP, TLS, öffentlichen IP-Adressen, Webanwendungen, Netzwerkfreigaben und Schwachstellenbewertung.

Seminarinhalte

Tag 1 – Externe Angriffsfläche und Eigentum

1. Geschäftsdomains, Marken, öffentliche IP-Bereiche, Cloud-Endpunkte und bekannte Webdienste erfassen.
2. Datenquellen und Verantwortlichkeiten für das externe Inventar festlegen.
3. Gefundene Assets nach Eigentum, Zweck, Umgebung und Kritikalität klassifizieren.
4. Unbekannte oder möglicherweise fremde Assets vor einer aktiven Prüfung verifizieren.
5. Verwaiste DNS-Einträge, nicht mehr genutzte Dienste und mögliche Übernahmerisiken priorisieren.
6. Scope, Ausschlüsse und Kontaktwege für technische Prüfungen dokumentieren.
7. Baseline der externen Angriffsfläche mit Datum und verantwortlichem Eigentümer freigeben.

Tag 2 – Web Scans planen und sicher durchführen

1. Webanwendungen nach Technologie, Authentifizierung, Kritikalität und Betriebsfenster gruppieren.
2. Scanprofile, Crawl-Grenzen, Eingabeumfang und Ausschlüsse risikoangemessen festlegen.
3. Testkonten und zulässige Funktionen für authentifizierte Prüfungen vorbereiten.
4. Pilot-Scan auf einer freigegebenen Anwendung ausführen und technische Wirkung beobachten.
5. Crawl-Abdeckung, Fehler, Timeouts und ausgelöste Schutzmechanismen auswerten.
6. Funde anhand Request-Kontext, Reproduzierbarkeit und tatsächlicher Exposition validieren.
7. Scanprofil nach Erkenntnissen anpassen und für den Regelbetrieb dokumentieren.

Tag 3 – Priorisierung, Remediation und kontinuierliches Monitoring

1. Externe Erreichbarkeit, Web-Befund, Asset-Kritikalität und Angriffspfadbezug zusammenführen.
2. Sofortmaßnahmen für übernommene, verwaiste oder hochkritische externe Assets definieren.
3. Web-Funde an Entwicklung, Betrieb oder Plattformteam mit reproduzierbarer Evidenz übergeben.
4. Ausnahmen und akzeptierte Restrisiken befristen.
5. Nach Korrektur gezielte Wiederholungsprüfung durchführen.
6. Änderungen der externen Angriffsfläche regelmäßig auf neue, entfernte und veränderte Assets prüfen.
7. Kennzahlen für unbekannte Assets, verwaiste Einträge, kritische Funde und Bearbeitungszeit etablieren.

Praxisübungen

Übung 1: Externes Asset-Inventar konsolidieren

Mehrere Domains und Cloud-Projekte liefern widersprüchliche Listen öffentlicher Systeme.

1. Domains, Subdomains, IPs und Dienste in einer gemeinsamen Struktur erfassen.
2. Eigentumsnachweise und technische Ansprechpartner zuordnen.
3. Unbekannte Assets nach Risiko und Klärungsbedarf sortieren.
4. Verwaiste Einträge und mögliche Übernahmerisiken markieren.
5. Freigegebenen Prüf-Scope mit Ausschlüssen dokumentieren.

Kontrollpunkt: Jedes aktiv zu prüfende Asset besitzt einen bestätigten Eigentümer, einen Zweck, eine Kritikalität und eine Freigabe.

Übung 2: Sicheres Web-Scan-Profil entwerfen

Eine geschäftskritische Webanwendung darf geprüft werden, produktive Datenänderungen müssen jedoch ausgeschlossen bleiben.

1. Erlaubte Hosts, Pfade und Testkonten festlegen.
2. Schreibende oder besonders belastende Funktionen ausschließen.
3. Scanfenster und Überwachung durch den Anwendungsbetrieb planen.
4. Abbruchkriterien und Kontaktweg für Störungen definieren.
5. Pilotlauf und Auswertung der Crawl-Abdeckung vorbereiten.

Kontrollpunkt: Das Profil prüft den freigegebenen Umfang, begrenzt betriebliche Risiken und besitzt klare Abbruch- und Eskalationsregeln.

Übung 3: Externen Befund bis zur Nachkontrolle bearbeiten

Ein internetnaher Dienst weist eine kritische Konfigurationsschwäche auf und ist mit einem veralteten DNS-Eintrag verbunden.

1. Befund und Eigentum verifizieren.
2. Auswirkung von Dienstkonfiguration und DNS-Beziehung getrennt bewerten.
3. Sofortmaßnahme und dauerhafte Korrektur festlegen.
4. Verantwortliche Teams und Fristen zuordnen.
5. Wiederholungsprüfung und Entfernung verwaister Einträge kontrollieren.

Kontrollpunkt: Technischer Befund und Inventarursache sind beide behoben und die externe Baseline wurde aktualisiert.

Methodik

Das Seminar arbeitet mit Scope-Listen, DNS- und Webanwendungsfällen, sicheren Scanprofilen und vollständigen Remediation-Abläufen. Aktive Prüfungen werden stets an bestätigtes Eigentum, Freigaben und betriebliche Schutzmaßnahmen gebunden.