Angreifer beginnen selten mit dem bestgeschützten System. Sie suchen das vergessene: die Testumgebung von vor drei Jahren, die alte Kampagnenseite auf einer Subdomain, das Administrationspanel, das nur kurz öffentlich sein sollte. Attack Surface Management dreht die Perspektive um und sucht diese Systeme, bevor es andere tun.
Was gefunden wird
Ausgangspunkt sind die eigenen Domains. Von dort werden Subdomains, IP-Adressen, ausgestellte Zertifikate, offene Ports und die darauf laufende Software ermittelt, ebenso Konfigurationen wie DNS-Einträge oder E-Mail-Schutz mit SPF, DKIM und DMARC. Jeder Fund wird einem Verantwortlichen zugeordnet und bewertet: Soll das System öffentlich sein, ist es aktuell, ist es richtig konfiguriert?
Abgrenzung
Ein Penetrationstest prüft einen festgelegten Umfang zu einem Zeitpunkt in die Tiefe. Ein Schwachstellenscan prüft bekannte Systeme auf bekannte Lücken. Attack Surface Management beantwortet die vorgelagerte Frage, welche Systeme es überhaupt gibt, und zwar laufend, weil sich die Angriffsfläche mit jedem neuen Dienst, jeder Agenturkampagne und jeder Cloud-Ressource ändert.
Typische Funde bei KMU
Vergessene Subdomains, die auf nicht mehr genutzte Dienste zeigen und übernommen werden können. Veraltete Content-Management-Systeme oder Plugins. Öffentlich erreichbare Administrations- und Login-Seiten ohne Zwei-Faktor-Schutz. Abgelaufene oder falsch ausgestellte Zertifikate. Fehlende oder zu lasche DMARC-Einträge, die das Fälschen der eigenen Absenderadresse erleichtern. Und Testumgebungen mit echten Daten.
Einstieg
Der Einstieg ist ein einmaliges Inventar aller Domains und der Systeme dahinter, mit einer verantwortlichen Person pro Eintrag. Danach braucht es eine regelmässige Wiederholung, damit neue Systeme nicht unbemerkt bleiben. Für Organisationen, die der Meldepflicht nach ISG unterstehen, ist eine bekannte Angriffsfläche zudem die Voraussetzung, einen Vorfall überhaupt rechtzeitig zu erkennen.