Sicherheitsberater empfiehlt Attack Surface Management Tool – übertrieben für einen Kleinbetrieb?

Der Berater ist wahrscheinlich Vertriebspartner für das Tool und kassiert eine saftige Provision. Einem Betrieb mit vier Webadressen ein permanentes Attack-Surface-Monitoring aufschwatzen zu wollen, ist alles andere als seriös.

ASM-Tools machen im Grunde nichts anderes, als fortlaufend DNS-Einträge abzufragen, offene Ports zu scannen, Zertifikate zu prüfen und Versionsstände abzugleichen. Wenn man genau weiß, welche Server man hat, wirft man einfach kurz einen Open-Source-Portscanner an – das dauert keine halbe Stunde.

Wir sind eine Softwarefirma mit 30 Leuten. Wir lassen einmal im Monat kostenlose Open-Source-Skripte über unsere externen Adressen laufen. Bisher ist außer einer vergessenen Test-Subdomain nie was aufgetaucht. Kostet uns genau 0 Euro.

Was ihr sofort machen könnt: Geht ins Domain-Verwaltungsmenü, löscht alle ungenutzten Subdomains, macht unnötige Ports auf dem Server dicht und erzwingt 2FA für jeden einzelnen Login.

Selbst für gängige Sicherheitszertifizierungen in UK verlangt niemand solche teuren Monitoring-Tools. Ein jährlicher Basis-Schwachstellenscan und ein aktuelles Asset-Inventar reichen da völlig aus.

bevor ihr 7k pfund im jahr für 4 popelige server raushaut kauft lieber ne ordentliche kaffeemaschine fürs büro, bringt der firma definitiv mehr. halt total unnötig.

Wurden im Bericht des Beraters denn konkrete Sicherheitslücken aufgedeckt oder war das Tool einfach nur eine pauschale Verkaufsempfehlung?

Unterm Strich: Für eure Größe ist das Tool völlig überdimensioniert. Pflegt euer Inventar manuell, achtet auf grundlegende Security-Hygiene und spart euch das Budget lieber für echte Risiken wie schwache Logins auf.

Betrachtet man den Prozess, ändert sich das Bild. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels. Korrigiert mich, falls ich falsch liege.

Kannst du das etwas genauer erklären? Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

An deiner Stelle würde ich so vorgehen.

Ich spreche mal aus der Gegenperspektive, ich bin auf der Lieferantenseite. Fehler auf der attack surface management-Seite sind meist rückgängig zu machen, aber teuer.

Wenn deine Situation anders ist, ändert sich das natürlich.

Dieses Thema ist archiviert. Fehler auf der attack surface management-Seite sind meist rückgängig zu machen, aber teuer.

Wenn es jemand anders macht, würde mich das auch interessieren.

Wenn wir ins Detail gehen: Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht. Viel Erfolg.

Hier muss man eine Unterscheidung treffen. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Wenn deine Situation anders ist, ändert sich das natürlich.

Bleibe dran.

Danke fürs Schreiben, das ist genau richtig. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Viel Erfolg.

Dieses Thema ist archiviert.

Genau so, und das ist zudem kaum bekannt. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort. Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.