Wir finden vergessene Subdomains und Server – ist ein EASM-Tool Pflicht oder übertrieben?

Certificate-Transparency-Logs sind der größte Schatz. Jedes Zertifikat, das jemals für eure Domain ausgestellt wurde, wird in öffentlichen Logs geführt. Mit einem einfachen Open-Source-Terminalbefehl könnt ihr all diese Einträge abrufen und einen Cron-Job einrichten, der prüft, ob sie im DNS noch live sind. Findet mit null Lizenzkosten alles, was vergessen wurde.

Wir haben letztes Jahr aus ähnlicher Angst 14.000 Dollar jährlich gezahlt. Das ganze Jahr über hat uns das System nur drei vergessene Dev-Subdomains und zwei Warnungen zu ablaufenden SSL-Zertifikaten gemeldet. Als wir sahen, dass es das Geld nicht wert war, haben wir dieses Jahr nicht verlängert und sind zurück zu einem wöchentlichen Python-Kontrollskript, das ein Kollege aus dem internen Team geschrieben hat.

Die meisten dieser Softwareprodukte auf dem Markt sind eh nur aufgehübschte Oberflächen, die öffentliche DNS-Server und Portscan-Datenbanken abfragen. Die Vermarkter erzählen das so, als würden sie unbekannte Magie vollbringen. Dass Kleinbetriebe für diese Panels ein Vermögen zahlen, ist nur eine Verkaufstaktik, die von Unternehmensängsten lebt.

Das Erste, was ihr heute noch tun solltet, ist, alle ungenutzten CNAME-Einträge in eurem DNS-Panel zu löschen. Herrenlose CNAME-Einträge, die auf alte Service-Provider zeigen, bereiten Subdomain-Takeover-Angriffen den Boden. Räumt die Müll-Einträge in eurem bestehenden Domain-Panel auf, bevor ihr überhaupt an den Kauf eines Tools denkt.

bei uns im team war's ähnlich der praktikant hat im terminal die cert transparency logs gezogen und die alten staging-adressen in 15 minuten rausgeholt aber ehrlich gesagt statt jährlich 15k dollar zu zahlen, gebt das geld lieber für ein sicherheitsaudit oder tests aus fine ich.

Aus Sicht der Unternehmensrisikobewertung ist es für Audits erforderlich, das Asset-Inventar aktuell zu halten. Allerdings verlangen Audit-Standards von euch keine teure Drittanbieter-Software, sondern einen dokumentierten und betriebenen Asset-Management-Prozess. Selbst erstellte monatliche Kontrollprotokolle reichen für Audits völlig aus.

Aber waren auf diesem vergessenen Server Kundendaten, oder nur synthetische Testdaten? Wenn es die Möglichkeit gab, dass echte Kundendaten abgeflossen sind, solltet ihr euch vielleicht eher auf Incident Response und eure gesetzlichen Meldepflichten konzentrieren, statt nach Tools zu suchen – habt ihr die Lage geprüft?

Ich schreibe das, damit ihr denselben Fehler nicht macht. Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr.

Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ich bin in derselben Situation, deshalb frage ich. Sicherheit ist nicht absolut; es bedeutet den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Aus Erfahrung weiß ich das.

Letztes Jahr haben wir fast genau dasselbe erlebt. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Da hast du recht. naja das allein zu versuchen, ist der teuerste Weg.

Nur als Notiz, könnte nützlich sein.

Ich fasse kurz zusammen was bisher gesagt wurde. Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Das ist meine Meinung, ich behaupte nicht dass es absolut richtig ist.

Dieser Ansatz hat seinen Preis der aber nicht thematisiert wird. halt zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

Schreibt mir, wenn ihr Fragen habt ich antworte so gut ich kann.

Ich stimme zu. Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

ich bin derslben Meinung und ein automatisierter Scan-Report ist kein Penetrationstest.

schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

das habe ich auch erlebt. die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

schreibt mir wenn ihr Fragen habt ich antworte so gut ich kann.

Wenn wir ins Detail gehen: Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen dass er sich nicht lohnt.

Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig. Wenn deine Situation anders ist ändert sich das natürlich.

Du hast recht, ich bin denselben Weg gegangen. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.