Was ist internes Schwachstellen-Scanning und warum reicht die externe Sicht nicht?

Externe Scans zeigen, was aus dem Internet erreichbar ist. Die meisten Ransomware-Vorfälle laufen aber nach dem ersten Zugriff über interne Systeme: ungepatchte Server, schwache Active-Directory-Konfigurationen, Drucker oder Kameras mit Standardpasswörtern. Internes Schwachstellen-Scanning prüft diese Systeme aus dem eigenen Netz heraus. Mit dem Sentry Agent von blacklens.io landen die Ergebnisse im selben Workflow wie die externen und Cloud-Findings.

Wie wird Sentry bereitgestellt?

Als virtuelle Maschine für VMware, Hyper-V oder Proxmox (QEMU) oder als Docker-Container. Für 1 bis 100 Hosts genügen 2 vCPU und 4 GB RAM; für 500 bis 2.500 Hosts empfehlen wir 8 vCPU und 16 GB. Der Agent verbindet sich mit einem einmaligen Token von innen nach außen mit Ihrem Workspace; eingehende Firewall-Regeln sind nicht erforderlich. Zielnetze, Scanprofile, Portvorlagen und Cron-Zeitpläne verwalten Sie anschließend zentral in der Plattform, auf den Zielsystemen wird nichts installiert.

Was prüft der Active Directory Scan und welche Rechte braucht er?

Der Scan analysiert die Sicherheitskonfiguration Ihres Active Directorys über SMB (Port 445): Konten, Richtlinien und Berechtigungen. Er benötigt ausschließlich ein Konto mit Leserechten. Ein mitgeliefertes Setup-Skript erstellt dieses Least-Privilege-Konto. Die Ergebnisse erscheinen als Findings mit Schweregrad und Behebungshinweis, und die Konten fließen in das Identitäts-Inventar der Plattform ein.

Wie viele interne Assets kann ich scannen?

Fünf Sentry-Assets sind in jedem Workspace enthalten. Darüber hinaus werden interne Assets nach Anzahl lizenziert. Die Zahl der Agents ist nicht begrenzt; Sie können also je Standort oder Netzsegment einen eigenen Agent betreiben. Sentry-Assets werden getrennt von den externen Assets Ihres Prüfumfangs gezählt.

Kann Sentry IoT- und OT-Geräte sicher scannen?

Sentry klassifiziert erkannte Geräte automatisch in neun Klassen: Server, Client, Mobilgerät, Kamera, Drucker, Netzwerk, Speicher, IP-Telefon und Industriesteuerung. Wie tief geprüft wird, steuern Sie über die Scanprofile Discovery, Schwachstellen (Standard), Credential und Vollständig sowie über Portvorlagen von schnell (~60 Ports) über Standard (~4.500 TCP-Ports) bis alle TCP- und UDP-Ports. Für empfindliche Systeme empfiehlt sich ein Discovery- oder schneller Portscan in einem Wartungsfenster, bevor Sie das vollständige Profil aktivieren.

Was prüft Sentry mit dem Credential-Profil?

Das Credential-Profil ist ein authentifizierter Scan: Sentry prüft Systeme mit hinterlegten Zugangsdaten von innen statt nur über offene Ports. Dadurch werden installierte Software, fehlende Patches und Konfigurationsfehler sichtbar, die ein Scan von außen nicht erkennt. Die Ergebnisse erscheinen wie alle anderen Funde als Findings mit Schweregrad, EPSS-Wert, KI-Erklärung und Behebungshinweis im selben Workflow wie externe und Cloud-Findings.

Wie merke ich, wenn ein Agent ausfällt?

Meldet sich ein Agent länger als 15 Minuten nicht, markiert die Plattform ihn als offline. Die Gesundheitskarte des Workspaces zeigt Offline-Agents, fehlgeschlagene Scans und offene Scope-Vorschläge auf einen Blick, und Sie können darüber einen Alert an Ihr Team senden lassen.

Sentry

Interne Schwachstellen-Scans mit Sentry

Ein Scanner als VM oder Docker-Container in Ihrem Netz. Er prüft Server, Clients, OT und Active Directory und meldet alles in denselben Workflow.

Kostenlos testen Demo buchen

Sentry im internen Netzonline

Server423 kritisch

Clients186

OT & IoT172 kritisch

Netzwerk91 kritisch

Active Directory12 Konten ohne Anmeldung seit 90 TagenMittel

Darstellungen mit Beispieldaten.

TCP-Ports im Standard-Portprofil: 175.000+
Geräteklassen von Server bis Industriesteuerung: 10
Schwachstellentests, täglich aktualisiert: 200,000+
Agent für die gesamte Infrastruktur: 1

Als VM oder Container, ohne Agent auf jedem Gerät

Sentry läuft auf VMware, Hyper-V, Proxmox oder Docker und verbindet sich per Einmal-Token von innen nach außen. Auf den Zielsystemen wird nichts installiert.

Sentry Agents2 von 3 online

sentry-hqVMware, 2 vCPU, 4 GB RAMOnline

sentry-dmzDocker-ContainerOnline

sentry-plantProxmox, 8 vCPU, 16 GB RAMOffline seit 18 Min.

Scan-Job Servernetzmontags 02:00

Ziel: 192.0.2.0/24
Profil: Schwachstellen
Ports: Standard, ~4.500

Darstellungen mit Beispieldaten.

1
Image starten
VM-Image oder Docker-Container auf einem vorhandenen Host starten.
2
Mit Token verbinden
Einmal-Token eingeben. Eingehende Firewall-Regeln sind nicht nötig.
3
Ziele und Zeitplan wählen
Netze oder Hosts, Scanprofil, Portvorlage und Zeitplan festlegen.
4
Findings bearbeiten
Ergebnisse landen mit EPSS und KI-Erklärung im selben Workflow.

Active Directory Scan mit minimalen Rechten

Ransomware-Gruppen bewegen sich über Active Directory durchs Netz. Sentry prüft Konten, Richtlinien und Berechtigungen per SMB, mit einem reinen Lesekonto.

Active DirectorySMB, Port 445

dc01.beispiel-gmbh.atDomain ControllerNur Leserechte

Identitäten214

Privilegiert9

Inaktiv (90 Tage)12

Privilegierte Konten ohne Anmeldung2 von 9 Konten seit über 90 Tagen inaktivHoch

Veraltete Passwörter31 Konten, Passwort älter als 90 TageMittel

Darstellungen mit Beispieldaten.

Kein Domänenadministrator
Ein Setup-Skript legt ein Least-Privilege-Konto an, jederzeit widerrufbar.
Ergebnisse als Findings
Mit Schweregrad, Status und Behebungshinweis neben allen anderen Funden.
Identitäten im Inventar
AD-Konten gemeinsam mit Cloud-Identitäten aus Entra ID und Google.

IoT, OT und alles, was sonst niemand scannt

Drucker, Kameras, IP-Telefone und Industriesteuerungen stehen selten in einer Inventarliste. Sentry erkennt und klassifiziert sie automatisch.

Erkannte Geräteautomatisch klassifiziert

192.0.2.31Kamera, StandardpasswortHoch

192.0.2.45Drucker, SNMP v1 öffentlichMittel

198.51.100.12IndustriesteuerungNur Discovery

192.0.2.60IP-TelefonKeine Funde

Darstellungen mit Beispieldaten.

Automatische Klassifikation
Von Server und Client bis Kamera, Speicher und Industriesteuerung.
Authentifizierte Prüfungen
Das Credential-Profil findet fehlende Patches, die von außen unsichtbar sind.
Schonend für OT
Erst Discovery-Profil oder schnelle Portvorlage, das volle Profil später.

Häufige Fragen

: Externe Scans zeigen, was aus dem Internet erreichbar ist. Die meisten Ransomware-Vorfälle laufen aber nach dem ersten Zugriff über interne Systeme: ungepatchte Server, schwache Active-Directory-Konfigurationen, Drucker oder Kameras mit Standardpasswörtern. Internes Schwachstellen-Scanning prüft diese Systeme aus dem eigenen Netz heraus. Mit dem Sentry Agent von blacklens.io landen die Ergebnisse im selben Workflow wie die externen und Cloud-Findings.
: Als virtuelle Maschine für VMware, Hyper-V oder Proxmox (QEMU) oder als Docker-Container. Für 1 bis 100 Hosts genügen 2 vCPU und 4 GB RAM; für 500 bis 2.500 Hosts empfehlen wir 8 vCPU und 16 GB. Der Agent verbindet sich mit einem einmaligen Token von innen nach außen mit Ihrem Workspace; eingehende Firewall-Regeln sind nicht erforderlich. Zielnetze, Scanprofile, Portvorlagen und Cron-Zeitpläne verwalten Sie anschließend zentral in der Plattform, auf den Zielsystemen wird nichts installiert.
: Der Scan analysiert die Sicherheitskonfiguration Ihres Active Directorys über SMB (Port 445): Konten, Richtlinien und Berechtigungen. Er benötigt ausschließlich ein Konto mit Leserechten. Ein mitgeliefertes Setup-Skript erstellt dieses Least-Privilege-Konto. Die Ergebnisse erscheinen als Findings mit Schweregrad und Behebungshinweis, und die Konten fließen in das Identitäts-Inventar der Plattform ein.
: Fünf Sentry-Assets sind in jedem Workspace enthalten. Darüber hinaus werden interne Assets nach Anzahl lizenziert. Die Zahl der Agents ist nicht begrenzt; Sie können also je Standort oder Netzsegment einen eigenen Agent betreiben. Sentry-Assets werden getrennt von den externen Assets Ihres Prüfumfangs gezählt.
: Sentry klassifiziert erkannte Geräte automatisch in neun Klassen: Server, Client, Mobilgerät, Kamera, Drucker, Netzwerk, Speicher, IP-Telefon und Industriesteuerung. Wie tief geprüft wird, steuern Sie über die Scanprofile Discovery, Schwachstellen (Standard), Credential und Vollständig sowie über Portvorlagen von schnell (~60 Ports) über Standard (~4.500 TCP-Ports) bis alle TCP- und UDP-Ports. Für empfindliche Systeme empfiehlt sich ein Discovery- oder schneller Portscan in einem Wartungsfenster, bevor Sie das vollständige Profil aktivieren.
: Das Credential-Profil ist ein authentifizierter Scan: Sentry prüft Systeme mit hinterlegten Zugangsdaten von innen statt nur über offene Ports. Dadurch werden installierte Software, fehlende Patches und Konfigurationsfehler sichtbar, die ein Scan von außen nicht erkennt. Die Ergebnisse erscheinen wie alle anderen Funde als Findings mit Schweregrad, EPSS-Wert, KI-Erklärung und Behebungshinweis im selben Workflow wie externe und Cloud-Findings.
: Meldet sich ein Agent länger als 15 Minuten nicht, markiert die Plattform ihn als offline. Die Gesundheitskarte des Workspaces zeigt Offline-Agents, fehlgeschlagene Scans und offene Scope-Vorschläge auf einen Blick, und Sie können darüber einen Alert an Ihr Team senden lassen.

Passende Lösungen

Die Funktionen dieser Seite sind Bausteine. So setzen Kunden sie im Alltag ein.

Unified Vulnerability Management

Interne, externe und Cloud-Findings in einem Prozess.

Ransomware Readiness

Laterale Bewegung über Active Directory und ungepatchte Server verhindern.

NIS2

Interne Systeme in das Risikomanagement einbeziehen.

Für den Mittelstand

Internes Scanning ohne eigenes SOC betreiben.

Sentry heute installieren, morgen die ersten Findings sehen.

14 Tage kostenlos mit fünf internen Assets. Wir begleiten die Einrichtung und den ersten Active-Directory-Scan.

14 Tage kostenlos testen Demo buchen

14 Tage kostenlos, voller Funktionsumfang
Keine Kreditkarte nötig
Erste Funde besprechen wir gemeinsam