Attack Surface Management aus Sicht des Angreifers

Häufige Fragen

Was ist External Attack Surface Management?

External Attack Surface Management (EASM) bezeichnet die kontinuierliche, automatisierte Erfassung aller Systeme eines Unternehmens, die aus dem Internet erreichbar sind: Domains, Subdomains, IP-Adressen, offene Dienste, Webanwendungen und die eingesetzten Technologien. Anders als ein einmaliger Scan läuft EASM fortlaufend und meldet Veränderungen wie neue Hosts, neue Dienste oder ablaufende Zertifikate. blacklens.io ergänzt diese Sicht um Schwachstellen, Darknet-Signale und Lookalike-Domains, damit aus dem Inventar eine priorisierte Aufgabenliste wird.

Wie wird der Prüfumfang festgelegt und erweitert?

Sie tragen Domains, IP-Adressen, CIDR-Netze oder einzelne Host-Port-Kombinationen als Scope ein. Daraus erkennt blacklens.io Subdomains, weitere IPs und Dienste automatisch. Zusätzlich schlägt die Plattform Erweiterungen vor, die sie aus Ihrer externen Angriffsfläche, angebundenen Cloud-Konten sowie RIPE- und Threat-Intelligence-Daten ableitet. Ausschlüsse sind möglich, und der Scope lässt sich importieren und exportieren. Der Scope bestimmt auch den Lizenzpreis.

Was bedeutet der Exposure Score?

Der Exposure Score fasst den Zustand Ihrer Angriffsfläche in einer Zahl von 0 bis 100 zusammen. Er berücksichtigt unter anderem exponierte Dienste, offene Findings nach Schweregrad und die Anzahl verwundbarer Assets. Kacheln zeigen, welche Assets exponiert, verwundbar oder hochriskant sind, und filtern jede Liste mit einem Klick. blacklens.io speichert jede Nacht einen Snapshot, sodass Sie den Verlauf über Woche, Monat, Quartal und Jahr sehen und gegenüber Geschäftsführung oder Auditoren belegen können.

Von wo aus scannt blacklens.io und wie erkenne ich die Scans?

Die Scan-Infrastruktur steht ausschließlich in Österreich, Deutschland und der Schweiz. Scans kommen aus festen Quell-IP-Bereichen, die Sie in Firewall und WAF gezielt freigeben oder kennzeichnen können. Die Plattform selbst läuft in ISO-27001- und SOC-2-zertifizierten Rechenzentren in der DACH-Region.

Wie geht blacklens.io mit Lookalike-Domains um?

Für jede überwachte Domain werden täglich Schreibvarianten über 357 Top-Level-Domains berechnet und gegen Registrierungsdaten (RDAP), DNS und Reputationsquellen geprüft. Aktive Domains werden per Screenshot festgehalten und von einem self-hosted KI-Modell als Impersonation, verdächtig, geparkt, unrelated oder nicht eindeutig bewertet, mit Konfidenz und Signalen wie Passwortfeld, Formular an fremde Domain oder Prompt-Injection. Erfüllt ein Treffer fünf Nachweiskriterien, erhalten Sie einen vorausgefüllten Abuse-Report für Registrar oder Hoster. Nach 60 unauffälligen Tagen wird ein Lookalike entfernt.

Deckt Attack Surface Management auch interne Systeme ab?

Die externe Sicht ist immer enthalten. Für Systeme hinter der Firewall, Active Directory und IoT- oder OT-Geräte ergänzen Sie den Sentry Agent, der als virtuelle Maschine oder Docker-Container im eigenen Netz läuft. Cloud-Konten bei AWS, Azure, Microsoft 365, Google Cloud, Cloudflare und Hetzner binden Sie über Konnektoren an. Alle Quellen landen im selben Inventar und im selben Workflow.

Welche Werkzeuge und Datenquellen nutzt die Discovery?

Die Discovery von blacklens.io ist eine feste Kette aus Host-, Dienst-, Web-, Technologie- und Lookalike-Erkennung. Dafür arbeiten 13 spezialisierte Scan-Engines zusammen, von Port- und Dienst-Scans über DNS-Auflösung bis zu Schwachstellen-Checks, ergänzt um eine Subdomain-Wortliste mit 200.002 Einträgen. Technologien werden mit 786 HTTP-Templates für 374 Hersteller und 49 Netzwerkprotokoll-Templates erkannt und als CPE zerlegt (Anwendung, Hardware, Betriebssystem, Dienst). Dieses Inventar ist die Grundlage für den CVE-Abgleich in Echtzeit.

Wie überwacht blacklens.io TLS-Zertifikate?

Die TLS-Zertifikatsüberwachung erfasst die Zertifikate Ihrer externen Assets und führt jedes mit dem Status gültig, läuft in einer bestimmten Anzahl von Tagen ab oder abgelaufen. So fallen vergessene Zertifikate auf Nebensystemen auf, bevor Kunden eine Warnung im Browser sehen. Zertifikate stehen im selben Inventar wie Domains, Dienste und Technologien und lassen sich wie jede Liste filtern und als CSV exportieren.