EASM — Management der externen Angriffsfläche // MODULE

EASM — Management der externen Angriffsfläche

Kartierung dessen, was die Organisation nach außen preisgibt — ausgehend von Saatpunkten, die sie selbst benennt. Das Modul entdeckt Assets, hält Risikofunde fest und pflegt den Graphen, der zeigt, wie eines mit dem anderen zusammenhängt — ohne das Ziel je auf aufdringliche Weise zu berühren.

Überblick

Die Arbeitseinheit ist der Perimeter: ein benannter Geltungsbereich innerhalb der Organisation, etwa „Produktion” oder „Staging-Umgebung”. Jeder Perimeter erhält Saatpunkte in vier Ausprägungen — CNPJ (die Registernummer brasilianischer Unternehmen), Domain, IP-Bereich in CIDR-Notation und E-Mail-Domain — und jede Ausprägung stößt eine andere Pipeline an.

Der CNPJ-Saatpunkt ist der, der in Brasilien den Unterschied macht. Von ihm aus fragt die Plattform den bereits indexierten öffentlichen Bestand der brasilianischen Steuerbehörde ab, findet über die CNPJ-Stammnummer die Niederlassungen, ermittelt die Gesellschafter und meldet Wirtschaftszweige mit hohem Risiko als Fund. Das ist der Weg, um jene Tochtergesellschaft zu entdecken, von der im Sicherheitsteam niemand wusste — das klassische Szenario nach Fusionen und Übernahmen.

Passive Entdeckung aus Prinzip

Die Erfassung besteht aus DNS-Abfrage plus TLS-Handshake. An das Ziel geht keinerlei Payload. Drei Sicherheitsregeln greifen, bevor irgendein Ergebnis zum Asset wird:

  • private IP-Adressen sowie Loopback-, Link-Local- und Multicast-Adressen, die das DNS zurückgibt, werden verworfen, damit das externe Inventar keine interne Topologie preisgibt;
  • die Domains .local, .internal und .localhost werden schon bei der Eingabe abgewiesen;
  • jeder Lauf hat eine Obergrenze — 500 Assets, 1.000 Funde, 500 Beziehungen und 50 Einträge je DNS-Typ. Eine feindselige oder schlecht konfigurierte Zone legt die Aufnahme nicht lahm.

Die entdeckten Assets haben neun Typen (Domain, Subdomain, IP, E-Mail, Tochtergesellschaft über CNPJ, Zertifikat, Anwendung, MX-Server und NS-Server), und jedes trägt die Herkunft seiner Entdeckung mit sich: A-/AAAA-, MX-, NS-, TXT- oder CNAME-Eintrag, SAN eines Zertifikats, CNPJ-Abfrage, Korrelation mit einem Leak oder manuelle Eingabe. Der Graph verbindet Assets über neun Beziehungsarten — löst auf zu, nutzt MX, nutzt NS, hostet, besitzt Domain, hat Zertifikat, ist Tochtergesellschaft von, gefunden in Leak und korreliert mit.

Ein Wert, der sich erklären lässt

Das Risiko eines Assets ist die Summe der Punkte seiner offenen Funde, gedeckelt bei 100. Ein abgelaufenes Zertifikat zählt 25 Punkte, eine exponierte Entwicklungs-Subdomain 20, ein selbstsigniertes Zertifikat 15, ein bald ablaufendes Zertifikat 10.

Praktisch heißt das: Die Zahl ist prüfbar. Man kann genau benennen, aus welchen Funden sie sich zusammensetzt, und sie sinkt von selbst, sobald ein Fund geschlossen, anerkannt oder als falsch Positives markiert wird. Jeder Perimeter führt darüber hinaus die Zahl der Assets, der offenen Funde, der kritischen und der hohen sowie den durchschnittlichen Risikowert der aktiven Assets.

Zeitplan

Zertifikatsprüfung um 03:00 UTC, Korrelation mit Leaks um 04:00, Neuberechnung des Risikos um 05:00, Archivierung von Funden um 02:00 — und alle 6 Stunden eine laufende Überwachung, die das DNS erneut auflöst, die Ports 80, 443, 8080 und 8443 prüft und mit der vorherigen Momentaufnahme vergleicht, um Änderungsfunde auszugeben, mit einer Obergrenze von 100 Assets je Lauf. Entdeckung über Domain und über CNPJ, Typosquatting-Erkennung und die Suche nach Subdomain-Takeover laufen auf Anforderung.

Funktionen

  • Zwölf Fundarten, darunter Subdomain-Takeover, Typosquat-Kandidat, Schatten-IT, exponierter Administrationsport und korrelierte geleakte Zugangsdaten
  • Erkennung von Subdomain-Takeover über CNAME-Einträge, die auf einen nicht beanspruchten Dienst zeigen, mit Signaturen für GitHub Pages, Heroku, Fastly, Shopify, Zendesk, AWS S3, Azure, Bitbucket und Netlify
  • Typosquatting über dnstwist, mit höchstens 500 Varianten je Lauf, 3 Sekunden Zeitlimit je DNS-Abfrage und kontrollierter Parallelität
  • Korrelation mit dem Modul Leaks: Ein E-Mail- oder Domain-Asset, das im Fingerabdruck eines Leaks auftaucht, wird zum Fund
  • Lebenszyklus eines Fundes in vier Zuständen: offen, anerkannt, falsch Positives, behoben
  • Erfassung von Bug-Bounty- und VDP-Programmen (BugHunt, HackerOne, Bugcrowd, Intigriti, YesWeHack, HackenProof)

Anwendungsfälle

  • Den Perimeter eines Unternehmensverbunds ausgehend vom CNPJ inventarisieren, Niederlassungen eingeschlossen
  • Schatten-IT aufspüren: von außen erreichbare Entwicklungs- oder Staging-Subdomains
  • Ausfälle durch ablaufende Zertifikate 30 Tage im Voraus abwenden
  • Den Umfang eines Penetrationstests anhand dessen festlegen, was tatsächlich exponiert ist

Was das Modul nicht tut

  • Es führt keinen Schwachstellen-Scan durch. Es sendet keinen Exploit, testet kein Payload und authentifiziert sich an keiner Anwendung.
  • Es verwendet weder CVSS noch EPSS. Der Wert ist eine Punktsumme je Fund, keine Schwachstellenbewertung eines Dritten.
  • Es macht keinen breiten Portscan: Die laufende Überwachung prüft vier Ports von Webdiensten.
  • Es fragt weder Shodan, Censys noch BinaryEdge ab und inventarisiert keine Cloud-Ressourcen über die APIs von AWS, Azure oder GCP.
  • Es entdeckt keine internen Assets — private IP-Adressen zu verwerfen ist eine Regel, keine vorübergehende Einschränkung.
  • typosquat_candidate ist ein Kandidat. Die Bestätigung einer bösartigen Absicht ist menschliche Analyse, und die Weiterverfolgung läuft über das Modul Legal & Takedown.

Integrationen

  • Airflow (Orchestrierung) und OpenSearch (Fundhistorie, ooda_easm_findings-*)
  • Öffentlicher CNPJ-Bestand der brasilianischen Steuerbehörde, in der Plattform indexiert
  • dnstwist, zur Erzeugung von Domain-Varianten
  • OODA Leaks und OODA Search

SLA & Garantien

Streng passive Erfassung · private IP-Adressen werden nie indexiert · jeder Risikowert bis zum auslösenden Fund nachvollziehbar

Nächste Schritte