Was External Attack Surface Monitoring ist (und was nicht)

External Attack Surface Monitoring (Überwachung der externen Angriffsfläche) ist die laufende Praxis, alles zu finden und zu prüfen, was Ihr Unternehmen im Internet zeigt: Domains, Subdomains, DNS-Einträge, TLS-Zertifikate, E-Mail-Einstellungen, Websites, offene Ports und die Dienste dahinter. Es betrachtet Ihr Unternehmen von außen, genau wie ein Angreifer, bevor er ein Ziel auswählt, und wiederholt diesen Blick jeden Tag, damit Änderungen nicht unbemerkt bleiben.

Die kurze Antwort auf die Frage „Was ist das?“ lautet: ein aktuelles Inventar Ihrer aus dem Internet erreichbaren Systeme, plus laufende Prüfungen dieser Systeme auf bekannte Schwachstellen und unerwartete Änderungen. Es installiert nichts auf Ihren Laptops oder Servern und braucht weder Passwörter noch Netzwerkzugang.

Die Idee ist nicht neu. Im MITRE ATT&CK Framework ist Reconnaissance (Aufklärung) die erste Taktik, beschrieben als Versuch des Angreifers, „to gather information they can use to plan future operations“, also Informationen zu sammeln, mit denen er künftige Operationen planen kann. Die eigene externe Angriffsfläche zu überwachen heißt, diese Aufklärung zuerst und zu Ihren eigenen Bedingungen durchzuführen.

Was zu Ihrer externen Angriffsfläche gehört

Die meisten Unternehmen unterschätzen, wie viel sie online haben. Eine typische Liste umfasst:

• Domains, die Ihnen gehören, auch alte Kampagnendomains und Ländervarianten, dazu ihren Registrar und ihre Ablaufdaten.
• DNS-Einträge: A, AAAA, CNAME, MX, TXT und Nameserver (NS). Ein einziger falscher CNAME kann eine Subdomain in fremde Hände geben (siehe Subdomain-Übernahme).
• TLS-Zertifikate für jeden Hostnamen, mit Ausstellern und Ablaufdaten.
• E-Mail-Authentifizierung: SPF-, DKIM- und DMARC-Einträge, die entscheiden, ob jemand E-Mails versenden kann, die wie Ihre aussehen.
• Websites und Webanwendungen, auch Staging-, Test- und Admin-Hosts, die eigentlich nur vorübergehend gedacht waren.
• Offene Ports und Dienste: Remote Desktop, SSH, Datenbanken, Mailserver, VPN-Gateways.
• Dinge außerhalb Ihrer Kontrolle, die Ihren Namen nutzen: Lookalike-Domains, gefälschte Login-Seiten, geleakte Zugangsdaten.

Wie die Angriffsfläche wächst, ohne dass es jemand bemerkt

Kaum etwas davon wird absichtlich als „Angriffsfläche“ geschaffen. Sie sammelt sich durch normale Arbeit an. Ein Entwickler richtet staging.example.com für ein Release ein. Das Marketing registriert example-offer.com für eine Kampagne. Eine Agentur lässt shop.example.com auf eine gehostete Plattform zeigen, und der Vertrag endet 2 Jahre später. Jeder Schritt ist vernünftig. Das Problem ist, dass niemand für die Liste zuständig ist.

Certificate Transparency macht das sichtbar. Da allgemein vertrauenswürdige Zertifikate protokolliert werden (das Protokoll ist in RFC 9162 beschrieben), kann jeder die Logs nach Namen unter Ihrer Domain durchsuchen. Mehr dazu in Certificate-Transparency-Logs erklärt.

So prüfen Sie Ihre eigene Angriffsfläche noch heute

Mit Standardwerkzeugen erhalten Sie in weniger als 1 Stunde ein erstes Bild.

1. Listen Sie die Hostnamen auf, die jemals ein Zertifikat hatten. Suchen Sie auf crt.sh nach %.yourcompany.com und exportieren Sie die Namen.
2. Lösen Sie jeden Namen auf und notieren Sie, wohin er zeigt:

dig +short staging.yourcompany.com
dig +short CNAME shop.yourcompany.com
dig NS yourcompany.com +short

1. Prüfen Sie die E-Mail-Authentifizierung:

dig +short TXT yourcompany.com
dig +short TXT _dmarc.yourcompany.com

1. Öffnen Sie jeden Hostnamen im Browser. Notieren Sie alles, was Sie nicht kennen, jede Standard-Serverseite, jedes Login-Formular, mit dem Sie nicht gerechnet haben, und jedes abgelaufene Zertifikat.
2. Prüfen Sie Registrar und Ablaufdatum jeder Domain mit whois yourcompany.com.

Alles, was Sie finden und wofür niemand eindeutig zuständig ist, sollten Sie als Erstes beheben oder abschalten.

Was External Attack Surface Monitoring nicht ist

Es lohnt sich, genau zu sein, denn der Begriff wird gern gedehnt.

• Es ist kein Penetrationstest. Ein Penetrationstest versucht aktiv einzudringen, braucht eine schriftliche Beauftragung und läuft über einen festen Zeitraum. Monitoring beobachtet und berichtet, es versucht nicht, etwas auszunutzen.
• Es ist kein Endpoint-Schutz. EDR- und XDR-Werkzeuge laufen innerhalb Ihres Netzes und überwachen Prozesse und Anmeldungen. Externes Monitoring sieht, was sichtbar ist, bevor etwas Ihr Netz erreicht. Beide Sichtweisen ergänzen sich, wie in Attack Surface Monitoring im Vergleich zu EDR und XDR erklärt.
• Es ist kein einmaliger Scan. Ein Bericht vom letzten Frühjahr beschreibt das letzte Frühjahr. Der Wert entsteht dadurch, Änderungen zu bemerken: eine neue Subdomain, einen geänderten Nameserver, ein Zertifikat, das niemand beantragt hat.
• Es ist keine Liste beängstigender Zahlen. Ein nützlicher Fund sagt, was gefunden wurde, warum es wichtig ist und wie genau es behoben wird.

Kurze Checkliste

• Führen Sie 1 Liste aller Domains mit Zuständigen, die Verlängerung per automatischer Zahlung.
• Prüfen Sie das DNS auf Einträge, die auf nicht mehr genutzte Dienste zeigen.
• Stellen Sie sicher, dass jeder erreichbare Hostname ein gültiges Zertifikat und einen Zuständigen hat.
• Veröffentlichen Sie SPF, DKIM und DMARC, und führen Sie DMARC schrittweise zur Durchsetzung.
• Schließen Sie Remote-Desktop- und Datenbankports zum Internet.
• Entfernen oder schützen Sie Staging- und Test-Hosts (siehe vergessene Staging- und Testserver).
• Wiederholen Sie die Prüfung regelmäßig, nicht nur nach einem Sicherheitsvorfall.

Wo Datahorses ins Spiel kommt

Datahorses führt diese Prüfung jeden Tag durch. Wir überwachen Ihr Unternehmen von außen, sehen, was ein Angreifer sehen kann, und senden jeden Fund mit genauen Schritten zur Behebung für Ihren Entwickler, geprüft von einem Menschen. Wir greifen nicht auf Ihre Systeme zu und benötigen keinen Zugang. Die vollständige Liste dessen, was wir überwachen, finden Sie auf der Startseite, und ein vollständiges Beispiel-Dashboard können Sie sich ebenfalls ansehen.