External Attack Surface Management (EASM)

External Attack Surface Management (EASM) inventarisiert und überwacht von außen alle aus dem Internet erreichbaren Assets eines Unternehmens: Domains, Subdomains, IP-Adressen, offene Ports, Dienste, Web-Anwendungen, Zertifikate und die dahinterliegenden Technologien. EASM arbeitet ohne Zugangsdaten und ohne Agenten, ausschließlich mit dem, was ein Angreifer ebenfalls sehen kann.

Warum EASM wichtig ist

Die externe Angriffsfläche wächst schneller, als IT-Abteilungen sie dokumentieren. Marketing registriert eine Kampagnen-Domain, ein Entwickler startet eine Cloud-Instanz für einen Test, ein Dienstleister hängt ein Verwaltungsportal ans Netz. Jedes dieser Systeme ist erreichbar, aber in keinem Inventar. Incident-Reports zeigen seit Jahren dasselbe Muster: Der erste Zugriff erfolgt häufig über ein Asset, das dem Unternehmen nicht bewusst war. EASM liefert die Liste dieser Assets und hält sie aktuell.

Dazu kommt die regulatorische Seite: NIS2, DORA und ISO 27001 verlangen ein Asset-Inventar und ein nachvollziehbares Schwachstellenmanagement. Ohne externe Discovery ist beides lückenhaft.

So funktioniert External Attack Surface Management

EASM beginnt mit wenigen Startpunkten, in der Regel den Hauptdomains und bekannten IP-Bereichen, und erweitert sie automatisch:

• Subdomain-Enumeration über passive Quellen (Certificate Transparency, DNS-Datensätze) und aktive Verfahren (Wortlisten, Permutationen, DNS-Auflösung in großem Maßstab).
• Host- und Port-Discovery: Welche IPs antworten, welche Ports sind offen, welche Dienste laufen dort?
• Web- und Technologie-Fingerprinting: Welche Anwendungen, Frameworks, Server-Versionen und Produkte sind im Einsatz? Daraus entsteht ein Technologie-Inventar (CPE), das später mit neuen CVEs abgeglichen wird.
• Zertifikats- und DNS-Prüfung: abgelaufene oder bald ablaufende Zertifikate, fehlerhafte Konfigurationen, DNS-Einträge, die auf gelöschte Cloud-Ressourcen zeigen.
• Bewertung: Jeder Fund wird nach Erreichbarkeit, Schwachstellen, Exploit-Verfügbarkeit und Kritikalität bewertet.

Da sich das Bild täglich ändert, läuft der Prozess kontinuierlich. Assets, die verschwinden, müssen ebenso erkannt werden wie neue.

So setzt blacklens.io EASM um

blacklens.io führt die Discovery in einer Pipeline von Host über Service, Web und Technologie bis zu Lookalike-Domains durch. Dabei arbeiten 13 spezialisierte Scan-Engines zusammen, von Port- und Dienst-Scans über DNS-Auflösung bis zu Schwachstellen-Checks, ergänzt um 786 HTTP-Fingerprints für 374 Hersteller und eine Subdomain-Wortliste mit über 200.000 Einträgen. Der Prüfumfang erweitert sich automatisch; Vorschläge kommen aus der Cloud-Inventarisierung, RIPE-Registrierungen und Threat Intelligence. Alle Scans starten ausschließlich aus Österreich, Deutschland und der Schweiz aus festen IP-Bereichen, die Sie whitelisten können.

Braucht EASM Zugriff auf meine Systeme?

Nein. EASM arbeitet ausschließlich von außen mit öffentlich erreichbaren Informationen. Es sind weder Agenten noch Zugangsdaten notwendig. Für interne Netze und authentifizierte Prüfungen ergänzen Sie einen internen Scanner wie den Sentry-Agenten.

Worin unterscheidet sich EASM von einem Schwachstellenscanner?

Ein Schwachstellenscanner prüft eine vorgegebene Liste von Zielen. EASM erstellt diese Liste zuerst, hält sie aktuell und prüft dann. Der Mehrwert liegt in der Discovery: Ein Scanner findet keine Lücke in einem System, das ihm niemand genannt hat.

Wie schnell liefert EASM erste Ergebnisse?

Bei blacklens.io liegen Discovery, Schwachstellen, Technologien, Lookalikes und Darknet-Treffer für eine Hauptdomain in der Regel innerhalb von 24 Stunden nach Einrichtung vor. Der laufende Betrieb aktualisiert das Bild danach kontinuierlich.