Continuous Attack Surface Management

Sicherheit ist eine Momentaufnahme. Ein jährlicher Pentest reicht nicht aus, wenn sich deine Cloud-Infrastruktur täglich ändert. CASM schliesst die Lücke zwischen Scans und Realität.

Deine Strategie

Verschiebe den Fokus von reaktiven Scans hin zu einer kontinuierlichen Überwachung deiner "Edge". Identifiziere neue Assets, vergessene Test-Systeme und fehlkonfigurierte Cloud-Dienste, bevor Angreifer sie finden können.

Best Practices

▸Inventory: Führe ein lückenloses, automatisiertes Inventar aller internet-exponierten Dienste.
▸Context-Awareness: Bewerte Schwachstellen nicht nur nach Score (CVSS), sondern nach ihrer Sichtbarkeit und Kritikalität für dein Geschäft.
▸Automation: Nutze automatisierte Discovery-Tools, die deine Infrastruktur aus Sicht eines Angreifers scannen.

STRIDE-LM Design-Risiken

SpoofingS-01

Identity Spoofing

Angreifer gibt sich als legitimer Benutzer oder Partner aus.

TamperingT-01

Data Tampering

Unbefugte Änderung von geteilten Daten oder Konfigurationen.

RepudiationR-01

Audit Log Manipulation

Löschen oder Verändern von Spuren einer Aktion.

Information DisclosureI-01

Sensitive Data Exposure

Unbeabsichtigte Offenlegung von internen Informationen an Externe.

Denial of ServiceD-01

Resource Exhaustion

Überlastung von Systemen durch massenhafte Anfragen oder Ressourcen-Hogging.

Elevation of PrivilegeE-01

Privilege Escalation

Erlangung von Rechten, die über das vorgesehene Mass hinausgehen.

Lateral MovementL-01

Lateral Movement

Zugriff auf weitere interne Systeme nach erstem Login.

Monitoring GapsM-CLD-01

Shadow Cloud Assets

Entstehung von unkontrollierten Ressourcen durch "Wildwuchs".

MITRE ATT&CK® Techniken

Reconnaissance

T1595

Active Scanning

ATT&CK

Aktives Scannen der Web-Infrastruktur nach Schwachstellen.

Mitigiert durch

External Attack Surface Management (EASM)Erweiterter SchutzMittel

CIS: 1.1NIST: ID.RA-1

Advanced Threat Protection (WAF)Erweiterter SchutzMittel

CIS: 16.11OWASP: API8

T1592

Gather Victim Digital Network Information

ATT&CK

Sammeln von Informationen über die Ziel-Infrastruktur.

Mitigiert durch

External Attack Surface Management (EASM)Erweiterter SchutzMittel

CIS: 1.1NIST: ID.RA-1

API Asset InventoryGrundschutzMittel

CIS: 1.1OWASP: API9

Initial Access

T1190

Exploit Public-Facing Application

ATT&CK

Ausnutzen von Schwachstellen in Internet-exponierten Diensten.

Mitigiert durch

Infrastructure as Code (IaC) ScanningErweiterter SchutzMittel

CIS: 1.1NIST: PR.IP-1

Advanced Threat Protection (WAF)Erweiterter SchutzMittel

CIS: 16.11OWASP: API8

Credential Access

T1110

Brute Force

ATT&CK

Versuche, durch systematisches Ausprobieren Zugriff auf Konten oder API-Keys zu erhalten.

Mitigiert durch

Advanced Threat Protection (WAF)Erweiterter SchutzMittel

CIS: 16.11OWASP: API8

Discovery

T1580

Shadow IT Asset Discovery

ATT&CK

Finden von unmanaged Ressourcen im Netzwerk.

Mitigiert durch

External Attack Surface Management (EASM)Erweiterter SchutzMittel

CIS: 1.1NIST: ID.RA-1

API Asset InventoryGrundschutzMittel

CIS: 1.1OWASP: API9

Hardware Asset TaggingGrundschutzNiedrig

CIS: 1.1NIST: ID.AM-1

T1526

Cloud Service Discovery

ATT&CK

Identifizierung von Cloud-Ressourcen und Berechtigungen.

Mitigiert durch

External Attack Surface Management (EASM)Erweiterter SchutzMittel

CIS: 1.1NIST: ID.RA-1

API Asset InventoryGrundschutzMittel

CIS: 1.1OWASP: API9

Infrastructure as Code (IaC) ScanningErweiterter SchutzMittel

CIS: 1.1NIST: PR.IP-1

Hardware Asset TaggingGrundschutzNiedrig

CIS: 1.1NIST: ID.AM-1

T1046

Network Service Discovery

ATT&CK

Portscan-basierte Erkundung aktiver Dienste im Netzwerk.

Mitigiert durch

External Attack Surface Management (EASM)Erweiterter SchutzMittel

CIS: 1.1NIST: ID.RA-1

T1087

Account Discovery

ATT&CK

Aufzählung interner Konten und Gruppenstrukturen nach erstem Zugriff.

Mitigiert durch

SIEM IntegrationErweiterter SchutzHoch

CIS: 8.5NIST: DE.AE-3NIST: DE.CM-1OWASP: A09:2021

Dein Szenario ist komplexer?

Die AYSOLI Experten unterstützen dich bei der Umsetzung deiner spezifischen Sicherheitsanforderungen.

Kostenloses Erstgespräch