ASM: Kartieren Sie Ihre Angriffsfläche, bevor es Angreifer tun

Ihre Angriffsfläche ist größer, als Sie denken. Laut einer Studie von Mandiant entdecken 67 % der Organisationen unbekannte Assets bei ihrer ersten Attack-Surface-Management-Übung (ASM). Vergessene Subdomains, exponierte Staging-Server, undokumentierte APIs, öffentliche S3-Buckets: Angreifer finden sie vor Ihnen.

Was ist Attack Surface Management?

ASM ist der kontinuierliche Prozess der Entdeckung, Inventarisierung und Überwachung aller im Internet exponierten Assets einer Organisation. Anders als ein punktueller Schwachstellenscan läuft ASM permanent und erkennt Änderungen in Echtzeit: neue Subdomain, offener Port, abgelaufenes Zertifikat, versehentlich exponierter Service.

Schatten-IT: der Feind im Inneren

Schatten-IT ist die Hauptquelle nicht inventarisierter Assets. Jedes Team, das einen Testserver bereitstellt, jeder Entwickler, der eine Subdomain für eine Demo erstellt, jede Marketingabteilung, die ein Formular auf einer Drittanbieter-Domain konfiguriert, schafft einen potenziellen Eintrittspunkt. Studien zeigen, dass große Unternehmen im Durchschnitt 30 % unbekannte exponierte Assets haben, von denen ihr Sicherheitsteam nichts weiß.

Entdeckungswerkzeuge

Shodan und Censys

Shodan und Censys scannen das gesamte Internet und indexieren exponierte Dienste. Durch Abfrage dieser Suchmaschinen mit Ihrem IP-Bereich oder Domänennamen erhalten Sie eine externe Ansicht dessen, was ein Angreifer sieht: offene Ports, Service-Banner, Softwareversionen, TLS-Zertifikate.

Subfinder und Subdomain-Enumeration

Subfinder aggregiert Dutzende von Quellen (VirusTotal, SecurityTrails, Chaos, Webarchive), um alle mit einer Domain verbundenen Subdomains zu entdecken. In Kombination mit httpx zur HTTP-Validierung erhalten Sie eine vollständige und verifizierte Karte Ihrer Web-Assets.

CT Logs (Certificate Transparency)

Certificate-Transparency-Logs zeichnen jedes öffentlich ausgestellte TLS-Zertifikat auf. Durch Überwachung der CT-Logs über crt.sh erkennen Sie sofort jedes neue Zertifikat, das für Ihre Domains ausgestellt wird, einschließlich Zertifikate von Dritten (Phishing, Typosquatting) oder von internen Teams ohne Ihre Genehmigung.

Warum kontinuierliches Scannen punktuelle Audits übertrifft

Ein klassisches Sicherheitsaudit ist eine Momentaufnahme. Doch die Angriffsfläche eines Unternehmens verändert sich ständig:

• Tägliche Deployments: Jeder Push in die Produktion kann einen neuen Service exponieren

• Infrastruktur-Rotation: Kurzlebige Cloud-Instanzen ändern IPs und Konfigurationen

• DNS-Änderungen: Ein geänderter Eintrag kann auf ein ungeschütztes Asset umleiten

• Zertifikatsablauf: Ein abgelaufenes Zertifikat kann einen unverschlüsselten HTTP-Fallback erzwingen

Das Intervall zwischen zwei Audits (typischerweise 6–12 Monate) ist ein Expositionsfenster, das Angreifer ausnutzen. Kontinuierliches Scannen reduziert dieses Fenster auf wenige Stunden.

ThreatClaw und automatisiertes ASM

ThreatClaw integriert ASM-Tools nativ in seine 49 spezialisierten Skills:

• Shodan: automatische Abfrage Ihres IP-Perimeters, Alerts bei neu exponierten Services

• Subfinder: kontinuierliche Subdomain-Enumeration mit Erkennung neuer Einträge

• httpx: HTTP/HTTPS-Validierung jedes entdeckten Assets, Technologie-Fingerprinting (Wappalyzer-ähnlich)

• crt.sh: Certificate-Transparency-Log-Überwachung für Ihre Domains

• Nmap: gezielter Port-Scan auf entdeckten Assets

• Nuclei: Erkennung bekannter Schwachstellen auf exponierten Services

Der Agent orchestriert diese Tools automatisch, korreliert die Ergebnisse und löst kontextualisierte Alerts aus. Keine manuelle Konfiguration, keine Scripts zu pflegen.

ASM-Methodik in 5 Schritten

• 1. Entdeckung: Alle Domains, Subdomains, IPs und Services enumerieren

• 2. Inventarisierung: Jedes Asset einem Eigentümer und einer Kritikalitätsstufe zuordnen

• 3. Bewertung: Schwachstellen und Fehlkonfigurationen auf jedem Asset scannen

• 4. Priorisierung: Nach tatsächlichem Risiko ordnen (CVSS + Exposition + Geschäftskritikalität)

• 5. Behebung: Risiko-Assets beheben oder außer Betrieb nehmen

FAQ

Was ist der Unterschied zwischen ASM und einem Schwachstellenscan?

Ein Schwachstellenscan analysiert bekannte Assets auf Schwachstellen. ASM beginnt damit, unbekannte Assets zu entdecken und analysiert sie dann. Es ist der Unterschied zwischen dem Scannen eines Hauses und dem vorherigen Finden aller Türen, von deren Existenz Sie nichts wussten.

Ist ASM legal?

ASM Ihrer eigenen Assets ist vollkommen legal. Sie befragen öffentliche Quellen (Shodan, CT-Logs, DNS) und scannen Ihre eigene Infrastruktur. Das Scannen von Assets, die Ihnen nicht gehören, ohne Genehmigung ist jedoch illegal. ThreatClaw beschränkt sich strikt auf Ihren deklarierten Perimeter.

Wie viele unbekannte Assets werde ich entdecken?

Im Durchschnitt entdecken Organisationen bei ihrem ersten ASM 20 bis 40 % zusätzliche Assets. Für Unternehmen mit zahlreichen Tochtergesellschaften oder einer Geschichte von Fusionen und Übernahmen kann diese Zahl auf 60 % steigen.

Kann ThreatClaw ein dediziertes ASM-Tool ersetzen?

Für die meisten KMU und mittelständischen Unternehmen ja. Die ASM-Skills von ThreatClaw decken Entdeckung, Bewertung und kontinuierliches Monitoring ab. Für Großunternehmen mit Zehntausenden von Assets kann ein dediziertes ASM-Tool (wie Cortex Xpanse oder Censys ASM) ThreatClaw bei der massiven Entdeckung ergänzen. Sehen Sie sich unsere Angebote an, um den besten Ansatz zu bewerten.