DieOberfläche,dieniemandbesitzt

Punkte sind nicht die Wahrheit, Kanten sind sie

Ein Inventarverzeichnis zählt Geräte. Für einen Angriff zählt, was von wo erreichbar ist. Wir erfassen deshalb Kanten: Von welchen Punkten aus sind welche Punkte erreichbar, unter welchen Bedingungen, mit welchen Zugangsarten. Das Ergebnis ist eine Karte, die am ersten Tag hässlich ist, weil sie alles zeigt, was der Betrieb über die Jahre erlaubt hat.

Die drei Unbekannten

Nach der ersten Runde bleiben in diesem Betrieb drei Punkte unbekannt: ein Host, der nur nachts Verbindungen zu einem Ziel in einem anderen Land zeigt, ein Dienst, dessen Zertifikat von einer internen Stelle stammt, die im Register nicht existiert, und ein Zugang, der in keiner Liste steht, aber in den Gateway-Logs seit sechs Jahren regelmäßig benutzt wird. Wir lassen Unbekannte sichtbar stehen, markiert, mit Zähler. Sie abzuschalten ist nicht unsere Entscheidung; sie zu ignorieren ist eine Entscheidung, die jemandem gehört, der sie schriftlich treffen muss.

Die Zuordnung dieser drei Punkte hat elf Tage gedauert, weil sie Gespräche erforderte, keine Scans. Der Host gehörte zu einem Analysewerkzeug eines Herstellers, der Dienst war ein Rest eines Migrationsprojekts, und der Zugang war ein Wartungskanal zweier Häuser. Zwei davon sind heute in Meldeplänen, einer ist abgeschaltet.

Was die Karte im Betrieb leistet

Die Karte ist kein Bild für die Wand, sondern eine Arbeitsliste. Jede Kante hat einen Eigentümer und ein Datum. In dem betrachteten Betrieb stehen heute 214 Kanten auf „beobachtet“, 38 auf „abgeschaltet“, 6 auf „bewusst offen, begründet“. Die letzte Zahl ist die wichtigste: Sie ist die einzige, die in einer Prüfung die Frage beantwortet, warum etwas offen ist.