Angriffsflächenmanagement: Der vollständige Leitfaden

Angriffsflächenmanagement (ASM) ist die Praxis, alles zu finden, was Ihr Unternehmen dem Internet zur Verfügung stellt, jedes dieser Dinge auf Schwachstellen zu bewerten und sie auf Veränderungen zu überwachen. Der schwierige Teil ist selten die Bewertung. Es bedeutet zu wissen, was man hat.

Die meisten Organisationen können ihre Hauptwebsite und ihr Produkt benennen. Weitaus weniger können jede Subdomain, jede Staging-Umgebung, jeden benennenServer, den ein Auftragnehmer vor drei Jahren in Betrieb genommen hat, und jedes Zertifikat, das bald abläuft. Angreifer brauchen Ihr Wissen nicht. Sie brauchen nur eines davon, um schwach zu sein.

Dieser Leitfaden erklärt, was eine Angriffsfläche ist, was ASM-Tools tatsächlich prüfen und warum die Quelle Ihrer Asset-Liste darüber entscheidet, ob etwas davon lesenswert ist.

Was ist eine Angriffsfläche?

Ihre Angriffsfläche ist alles, was ein Außenstehender erreichen und mit dem er interagieren kannalles, was Informationen über Sie preisgibt. In der Praxis bedeutet das: Domänen und Subdomänen, Webanwendungen, APIs, Mailserver, offene Ports und die dahinter stehenden Dienste, TLS-Zertifikate, DNS-Einträge und Cloud-Ressourcen mit öffentlichen Endpunkten.

Ein konkretes Beispiel

Nehmen wir ein Unternehmen mit achtzig Mitarbeitern und einem Produkt.

Sie kennen company.com und app.company.com. Ihre Angriffsfläche umfasst auch blog.company.com auf einem gehosteten ServerPlattform, bei der sich niemand angemeldet hat, seit der Content-Lead gegangen ist, staging.company.com, das vorübergehend sein sollte, vpn.company.com, das auf eine Appliance verweist, die keine Updates mehr empfängt, ein DNS-Eintrag für old-crm.company.com, der auf einen Cloud-Dienst verweist, den das Unternehmen gekündigt hat, und E-Mail-Einträge, die es jedem ermöglichen, E-Mails zu senden, die scheinbar von der Domain stammen.

Nichts davon ist ungewöhnlich. Es ist einfach das, was passiert, wenn eine Organisation für a tätig istpaar Jahre.

Extern versus intern

Angriffsflächenmanagement bedeutet die Sicht von außen – was jemand im öffentlichen Internet ohne Anmeldeinformationen sehen und erreichen kann. Es ist bewusst die Perspektive des Angreifers.

Interne Ressourcen, Mitarbeiter-Laptops und alles hinter dem Unternehmensnetzwerk stellen ein anderes Problem dar, das mit unterschiedlichen Tools gelöst werden kann. ASM deckt sie nicht ab, und ein Tool, das behauptet, beides zu können, erledigt in der Regel nur eines davon oberflächlich.

Warum eswächst weiter

Angriffsflächen wachsen still und heimlich durch gewöhnliche Arbeit:

Schatten-IT. Ein Team meldet sich für einen Dienst an und verweist darauf mit einer Subdomain.
Verlassene Infrastruktur. Projekte enden; DNS-Einträge überleben sie.
Wolkenelastizität. Umgebungen werden schnell erstellt und langsam bereinigt.
Akquisitionen und Auftragnehmer. Sie erben Domains, die Sie nicht erstellt haben.
Schnellere Bereitstellung. Mehr Releases bedeuten mehr Chancen für eine Einstellungfallen gelassen werden, ohne dass es jemand bemerkt.

Das Ergebnis ist eine Kluft zwischen dem, was eine Organisation zu haben glaubt, und dem, was sie tatsächlich offenlegt. ASM existiert, um diese Lücke zu schließen.

Was ist Angriffsflächenmanagement?

Angriffsflächenmanagement ist der kontinuierliche Prozess der Erkennung von mit dem Internet verbundenen Assets, der Bewertung ihrer Sicherheit und der Überwachung auf Veränderungen. Es beantwortet drei Fragen der Reihe nach: Was haben wir, was ist daran falsch und was hat sich geändertseit dem letzten Mal.

Die Arbeit gliedert sich in vier Schritte:

Entdecken. Erstellen Sie das Inventar der mit dem Internet verbundenen Assets.
Bestandsaufnahme. Entscheiden Sie, welche davon Ihnen gehören, welche wichtig sind und wem sie gehören.
Bewerten. Überprüfen Sie jedes Asset auf Schwachstellen, Fehlkonfigurationen und bekannte Schwachstellen.
Überwachen. Führen Sie eine erneute Überprüfung nach einem Zeitplan durch, da sich der Status zwischen den Bereitstellungen verschlechtert.

In Schritt eins liegt der größte Wert und fast die gesamte Schwierigkeitlive.

Woher die Asset-Liste kommt und warum sie alles entscheidet

Zwei Tools können identische Prüfungen durchführen und Berichte von völlig unterschiedlichem Wert erstellen, da sie ihre Asset-Listen auf unterschiedliche Weise erstellt haben.

Ansatz eins: Raten aus dem Internet

Die meisten ASM-Tools beginnen mit einer Domäne und leiten daraus ab, was Ihnen sonst noch gehört. Sie lesen Zertifikattransparenzprotokolle, passive DNS-Einträge und öffentliche Registrierungsdaten und wenden dann Heuristiken an: ähnlichNamen, gemeinsame IP-Adressen, passende Infrastruktur.

Dadurch werden Dinge gefunden, von denen Sie nichts wussten, was wirklich nützlich ist. Es entstehen außerdem zwei vorhersehbare Fehlermodi:

Vermögenswerte, die nicht Ihnen gehören. Shared Hosting, ein wiederverwendeter IP-Bereich oder ein ähnlicher Name greift auf die Infrastruktur eines Dritten zurück. Ihr Bericht enthält nun Erkenntnisse über die Server einer anderen Person.
Assets werden nie gefunden. Alles, was keine öffentliche Spur hinterlässt, die mit dem übereinstimmtHeuristiken bleiben unsichtbar.

Der erste Fehlermodus ist derjenige, der die Akzeptanz zunichte macht. Sobald ein Ingenieur in einem Bericht fremde Vermögenswerte findet, wird jedes Ergebnis verdächtig und ein Tool, dem nicht vertraut wird, wird ignoriert. Dies ist ein häufig genannter Grund, warum Teams ASM-Plattformen aufgeben.

Ansatz zwei: Import aus Ihrer Quelle der Wahrheit

Die Alternative besteht darin, mit dem Raten aufzuhören und das System zu fragen, das es bereits weiß. Der DNS-Anbieter jeder Organisation verfügt über einemaßgebliche Liste seiner Zonen und Aufzeichnungen. Dies gilt auch für den Export einer Zonendatei.

Wenn das Inventar vom eigenen DNS-Konto des Kunden stammt, kann das Asset eines Drittanbieters darin nicht auftauchen. Bei der Liste handelt es sich nicht um eine beste Vermutung; es ist eine Tatsache, die dem Aufzeichnungssystem entnommen ist. Die beiden Ansätze ergänzen sich und sind nicht gegensätzlich. Der Import stellt die Grundwahrheit fest und die Entdeckung findet heraus, was darin fehlt. Wichtig ist, dass das Tool Ihnen sagt, welches welches ist – so wissen Sie, ob es sich bei einem bestimmten Vermögenswert um etwas handelt, das Sie deklariert haben, oder um etwas, von dem das Tool annimmt, dass es Ihnen gehört.

Was das in der Praxis bedeutet

Wenn Sie ein ASM-Tool bewerten, fragen Sie:

Kann ich Assets aus meinem DNS importieren?Anbieter oder eine Zonendatei, oder werden sie nur abgeleitet?
Zeigt mir der Bericht, woher die einzelnen Vermögenswerte stammen?
Was passiert, wenn es falsch ist? Kann ich einen Vermögenswert entfernen und diese Entscheidung beibehalten?
Verifiziert das Tool, dass ich tatsächlich eine Domain kontrolliere, bevor ich sie scanne?

Die letzte Frage ist wichtiger, als es zunächst scheint. Ein Tool, das jede Domain auf Anfrage scannt, ist ein Aufklärungsdienst für jeden, der danach fragt, und kein Sicherheitsprodukt. Nachweis erforderlichdes Eigentums – ein DNS-Eintrag, eine Datei auf dem Server, ein Meta-Tag – ist die Kontrolle, die die beiden trennt. Wir dokumentieren diesen Prozess Schritt für Schritt für acht DNS-Anbieter, darunter Cloudflare, AWS Route 53 und Azure DNS.

Was ASM überprüft, sobald es Ihre Vermögenswerte kennt

Sobald dieIst ein Inventar vorhanden, erstreckt sich die Bewertung über mehrere Ebenen. Jeder beantwortet eine andere Frage und scheitert auf unterschiedliche Weise.

TLS- und Zertifikatskonfiguration

Ob verschlüsselte Verbindungen tatsächlich sicher sind: welche Protokollversionen aktiviert sind, welche Cipher-Suites angeboten werden, ob das Zertifikat gültig, korrekt verkettet und nicht bald abläuft. Häufige Ergebnisse sind, dass alte Protokollversionen aktiviert bleiben, Zertifikate ohne Vorwarnung ablaufen und unvollständige Zertifikatsketten, die auf einigen Clients unterbrochen werden, auf anderen jedoch nicht. Was ein TLS-Scan im Detail sieht.

HTTP-Sicherheit und bekannte Schwachstellen

Ob Webanwendungen defensiv konfiguriert sind und ob die Software, auf der sie ausgeführt werden, bekannte Fehler aufweist. Dies umfasst Sicherheitsheader und die darauf erkannten TechnologienHost und der Abgleich dieser Technologien und Versionen mit veröffentlichten Schwachstellen – der CVE-Liste.

Ein CVE ist eine öffentlich katalogisierte Sicherheitslücke mit einer eindeutigen Kennung. Wenn Sie Ihre Softwareversionen mit diesem Katalog abgleichen, erfahren Sie, ob Sie etwas mit einer bekannten, dokumentierten Schwachstelle ausführen. Was ein HTTP-Scan im Detail sieht.

Offene Ports und verfügbar gemachte Dienste

Welche Netzwerkports antworten von derInternet und was dahinter zuhört. Erwartet wird ein Webserver auf Port 443. Eine Datenbank, ein Remote-Desktop-Dienst oder eine Verwaltungsschnittstelle, die von überall aus erreichbar ist, gibt es nicht. Was ein Port-Scan im Detail sieht.

DNS-Konfiguration und E-Mail-Spoofing

Ob DNS sicher konfiguriert ist und ob jeder E-Mails senden kann, die scheinbar von Ihrer Domain stammen. Dies umfasst SPF-, DKIM- und DMARC-Einträge fürE-Mail-Authentifizierung, MTA-STS und TLS-RPT für die Sicherheit des E-Mail-Transports, DNSSEC für DNS-Integrität und eine Konfiguration, die möglicherweise Ihren gesamten Datensatz preisgibt.

Fehlende E-Mail-Authentifizierung gehört zu den häufigsten Befunden und ist am einfachsten auszunutzen, da sie überzeugendes Phishing gegen Ihre eigenen Mitarbeiter, Kunden und Lieferanten ermöglicht. Was ein DNS-Scan im Detail sieht.

Domain-Reputation

Ob Ihre Domains und Adressen auf Sperrlisten oder in Threat-Intelligence-Feeds erscheinen. Reputationsprobleme äußern sich als Ausfälle bei der Zustellbarkeit, lange bevor irgendjemand die Ursache untersucht.

Subdomains und vergessene Hosts

Über die Aufzählung hinaus besteht das spezifische Risiko hier in der Subdomain-Übernahme: Ein DNS-Eintrag verweist immer noch auf einen Cloud-Dienst, den die Organisation nicht mehr nutzt. Jeder, der diesen Dienstnamen beansprucht, kontrolliert nun die von Ihnen bereitgestellten InhalteSubdomain, mit Ihrem Namen und oft auch Ihrem Zertifikat.

ASM, Schwachstellenmanagement und Penetrationstests

Diese werden ständig vermischt. Sie beantworten unterschiedliche Fragen:

	Frage, die es beantwortet	Geltungsbereich	Trittfrequenz
Angriffsflächenmanagement	Was legen wir offen, und ist es schwach?	Mit dem Internet verbunden, nicht authentifiziert	Kontinuierlich oder geplant
Schwachstellenmanagement	Welche bekannten Mängel bestehen in unserem gesamten Anwesen?	Intern und extern, oft authentifiziert	Geplant
Penetrationstests	Kann ein geschickter Angreifer tatsächlich eindringen?	Umfang, vorab vereinbart	Periodisch, meist jährlich

ASM ist das breiteste und flachste. Penetrationstests sindam schmalsten und tiefsten. Das Schwachstellenmanagement liegt dazwischen und geht in der Regel davon aus, dass Sie bereits wissen, was Sie besitzen – und genau diese Annahme soll ASM verhindern.

Sie sind kein Ersatz. ASM sagt einem Pentester, wo er suchen soll.

EASM, CAASM und die anderen Akronyme

Die Kategorie hat vier Akronyme gesammelt, die so verwendet werden, als ob sie es wären austauschbar. Das sind sie nicht, und der Unterschied besteht hauptsächlich darin, wo die Daten kommenaus.

EASM – External Attack Surface Management. Der Blick von außen, ohne Anmeldeinformationen: Was jemand im öffentlichen Internet erreichen kann. Das ist es Der Leitfaden beschreibt, und genau das macht AYAsec.

CAASM – Cyber Asset Attack Surface Management. Erstellt ein Inventar durch Ziehen Sie Asset-Daten aus den Tools, die Sie bereits ausführen – Endpunkt-Agenten, Cloud Konten, Identitätsanbieter, eine CMDB – über ihre APIs. Es sieht weit mehr als einOutside-In-Scan, interne Assets eingeschlossen, aber nur dort, wo sich ein Werkzeug befindet bereits installiert und gemeldet. Es kann den Host, von dem ihm niemand erzählt hat, nicht sehen.

DRPS – digitale Risikoschutzdienste. Beobachtet, was außerhalb Ihres geschieht Infrastruktur: Durchgesickerte Anmeldeinformationen, registrierte Lookalike-Domains, um sich auszugeben Sie, Ihre Marke taucht dort auf, wo sie nicht hingehört.

CTEM – Continuous Threat Exposure Management. Keine Produktkategorie bei alle. Es handelt sich um ein Programmmodell – Umfang, Entdeckung, Priorisierung, Validierung, Mobilisierung – und die oben genannten Werkzeuge sind Dinge, die Sie darin verwenden würden. Ein Verkäufer, der Sie verkauft „Eine CTEM-Plattform“ verkauft Ihnen einen Teil davon.

Die Kurzversion: EASM findet etwas, von dem Sie nicht wussten, dass es offengelegt wurde, CAASM organisiert, was Sie bereits besitzen, und DRPS beobachtet, was andere Leute tun mit Deinem Namen. Größere Organisationen betreiben am Ende mehr als eine. Kleinere normalerweise beginnenmit der Außensicht, denn da liegt das Vermögen niemand erinnert sich.

So führen Sie Ihren ersten Angriffsflächenscan durch

Unabhängig davon, welches Werkzeug Sie verwenden, ist der Ablauf derselbe.

1. Beginnen Sie mit einer Domain. Ihre primäre Domain, kein vollständiger Nachlass. Sie wollen heute ein Ergebnis, kein Projekt.

2. Beweisen Sie, dass Sie es besitzen. Jedes glaubwürdige Tool verlangt vor dem Scannen einen Beweis – typischerweise einen DNS-TXT-Eintrag, eine Datei in einem bekannten Pfad oder ein Meta-Tag auf demHomepage. Rechnen Sie damit, dass dieser Schritt am längsten dauern wird, da Sie oft nach dem DNS-Administrator fragen müssen.

3. Lassen Sie die Erkennung laufen. Sie erhalten eine Liste der Subdomains und zugehörigen Hosts. Lesen Sie es vor allem anderen. Die erste echte Überraschung für die meisten Teams ist nicht eine Schwachstelle; Es ist ein Vorteil, den sie vergessen hatten.

4. Gruppieren Sie, worauf es ankommt. Nicht alles, was Sie finden, verdient die gleiche Aufmerksamkeit. Trennen Sie Produktion und Experimente.

5. Scannen und lesendie Ergebnisse nach Schweregrad, nicht nach Anzahl. Dreißig Header-Warnungen mit niedrigem Schweregrad sind weniger wichtig als eine exponierte Datenbank.

6. Legen Sie einen Zeitplan fest. Ein einzelner Scan ist ein Schnappschuss. Der Wert liegt im Vergleich zwischen Scans.

Wie dies von Tag zu Tag aussieht, ist je nach Team unterschiedlich: siehe Sicherheitsteams und verwaltete Dienstanbieter.

In AYAsec läuft dies als Discovery auf einer Domäne ab und führt anschließend einen Scan der von Ihnen aufbewahrten Assets durch. Assets können auch direkt aus [Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner oder Contabo] (/integrations/dns-providers/) oder aus einer hochgeladenen Zonendatei importiert werden. Der geführte Workflow ist Schritt für Schritt in den Dokumenten.
Jeder Scantyp ist in jedem Plan enthalten, einschließlich derkostenlos. Führen Sie Ihren ersten Scan durch

Gemeinsame Erkenntnisse und was sie bedeuten

Die gleichen wenigen Probleme sind für den Großteil der Ergebnisse eines ersten Scans verantwortlich.

Risiko der Subdomain-Übernahme. Ein DNS-Eintrag, der auf einen Dienst verweist, den Sie nicht mehr nutzen. Schweregrad: hoch. Behebung durch Entfernen des Datensatzes.

Veraltete TLS-Protokollversionen aktiviert. Alte Versionen bleiben aus Kompatibilitätsgründen erhalten und werden selten benötigt. Schweregrad: mittel undes zieht jedes Bewertungsschema nach unten. Fix in der Serverkonfiguration.

Fehlendes oder falsch konfiguriertes DMARC. Ohne DMARC kann jeder E-Mails senden, die scheinbar von Ihrer Domain stammen. Schweregrad: hoch, und es handelt sich eher um ein organisatorisches als um ein technisches Risiko. Behebung durch Veröffentlichung des Datensatzes, beginnend im Überwachungsmodus.

Ein Verwaltungsdienst, der dem Internet zugänglich ist. Remote-Desktop, ein Datenbank-Port, eine Verwaltungskonsole. Schweregrad: kritisch. Beschränkennach IP-Adresse oder platzieren Sie es hinter einem VPN.

Ein Zertifikat, das bald abläuft. Keine Schwachstelle, sondern ein selbstverschuldeter Ausfall an einem vorhersehbaren Datum.

Wie oft sollten Sie scannen?

Die Sicherheitslage nimmt still und leise ab. Ein Header verschwindet in einer Bereitstellung. Ein Zertifikat läuft bald ab. Ein Protokoll wird erneut aktiviert, um eine Kompatibilitätsbeschwerde zu beheben. Nichts davon wird angekündigt und nichts macht sichtbar etwas kaputt. Diese allmähliche Erosion ist der Grund dafür, dass eine einmalige Bewertung stark altert. Die praktische Antwort hängt davon ab, wie oft Sie bereitstellen: Wöchentliches erneutes Scannen ist eine vernünftige Basis für einen stabilen Bestand, tägliches erneutes Scannen ist angemessen, wenn Sie häufig versenden, und was wichtiger als das Intervall ist, ist, dass jemand benachrichtigt wird, wenn ein Grad sinkt, anstatt hingehen und nachsehen zu müssen. Sehen Sie sich an, wie Sie den Sanierungsbeweispfad erstellen.

Wo das auftauchtEU-Verordnung

Zwei EU-Gesetze besagen nun mit unterschiedlichen Worten, dass man wissen muss, was Du rennst.

NIS2 (Richtlinie (EU) 2022/2555) musste bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden. Artikel 21 listet die auf Risikomanagementmaßnahmen, die wesentliche und wichtige Unternehmen ergreifen müssen, Dazu gehören der Umgang mit Schwachstellen und die Sicherheit der Lieferkette. Weder ist es noch für einen Gastgeber niemand möglichhat aufgeschrieben.

DORA (Verordnung (EU) 2022/2554) gilt seit dem 17. Januar 2025 für Banken, Versicherungen, Wertpapierfirmen und Zahlungsinstitute, die in der EU tätig sind. Artikel 8 ist direkter: finanziell Unternehmen müssen ihre Informationen und IKT-Ressourcen identifizieren, klassifizieren und dokumentieren. die kritischen einschließlich ihrer Konfiguration und ihrer Abhängigkeiten zuordnen und Sehen Sie sich diese Dokumentation anmindestens einmal im Jahr.

Lesen Sie diese Anforderung anhand des vorherigen Abschnitts darüber, woher die Vermögensliste stammt von. Eine durch Schlussfolgerungen zusammengestellte Liste ist ein Dokument, auf das Sie keinen Zugriff haben nach Eintrag, denn man kann nicht sagen, warum jede Zeile darin steht oder wer darüber entschieden hat deins. Eine Bestandsaufnahme aus der von Ihnen kontrollierten DNS-Zone kann erklärt werden jemand, der fragt.

Was das nicht bedeutet. AYAsec ist kein Compliance-Tool und ist es auch nicht eine Bescheinigung vorlegen. Mit keinem Scanner halten Sie sich an eines der beiden Gesetze, und a Ein Verkäufer, der etwas anderes behauptet, verkauft Ihnen etwas. Was ein Scan erzeugt, ist Datierte Beweise dafür, was freigelegt wurde und in welchem Zustand es sich befand – so etwas ein Prüfer verlangt, und die Art von Dingen, deren Zusammenbau von Hand mühsam ist.

Häufig gestellte Fragen

Ist Angriffsflächenmanagement dasselbe wie EASM?

EASM – External Attack Surface Management – ist dasgenauere Bezeichnung für die reine Außenansicht. In der Praxis handelt es sich bei den meisten als ASM vermarkteten Tools um EASM. Wenn ein Anbieter etwas weiter gefasstes meint, sollte er das auch sagen.

Benötigen wir dies, wenn wir bereits Schwachstellenscans durchführen?

Das Scannen von Schwachstellen informiert Sie über Schwachstellen in den Assets, auf die Sie es verweisen. ASM teilt Ihnen mit, welche Assets vorhanden sind. Wenn Ihr Inventar unvollständig ist, ist auch Ihr Scanvorgang unvollständig.

Wie lange dauert es, bis ich ein erstes Ergebnis bekomme?

Entdeckung auf einemDie Dauer einer einzelnen Domain beträgt normalerweise Minuten. Der langsame Teil besteht darin, den Domain-Inhaber nachzuweisen, da dieser normalerweise von jemand anderem abhängt.

Wird das Scannen irgendetwas kaputt machen?

Die externe Beurteilung ist überwiegend passiv oder hat nur geringe Auswirkungen. Aktive Webanwendungstests sind die Ausnahme und sollten bewusst auf Ihren eigenen Systemen durchgeführt werden, idealerweise außerhalb der Spitzenzeiten.

Können wir eine Domain scannen, die uns nicht gehört?

Nein, und Sie sollten jedem Tool gegenüber misstrauisch sein, das dies ermöglichtDu. Die Eigentumsüberprüfung ist eine Funktion und kein Hindernis.