Definition: EASM | External Attack Surface Management Was ist External Attack Surface Management (EASM)?

External Attack Surface Management ist ein Cybersicherheitsansatz, der die von außen zugänglichen digitalen Assets identifiziert, verwaltet, überwacht und absichert. Die lückenlose Transparenz der externen Angriffsfläche und deren kontinuierliche Überwachung auf Schwachstellen, Fehl­kon­fi­gu­ra­ti­o­nen oder Schatten-IT tragen zur Reduzierung der Cyberrisiken eines Unternehmens bei.

Der deutsche Begriff für External Attack Surface Management, abgekürzt EASM, lautet externe Angriffsflächenverwaltung. Es handelt sich um einen umfassenden Sicherheitsansatz, der sich mit den Risiken befasst, die durch die von außen zugänglichen digitalen Assets einer Organisation entstehen. Mithilfe von Prozessen und Tools werden die digitalen Assets der externen Angriffsfläche identifiziert, verwaltet, lückenlos überwacht und auf potenzielle Schwachstellen, Sicherheitslücken, Fehlkonfigurationen oder Schatten-IT untersucht. Erkannte Probleme werden behoben und Cyberrisiken reduziert.

Das External Attack Surface Management sorgt für eine vollständige Transparenz der exponierten Assets und nimmt dabei eine Angreiferperspektive auf die öffentlich zugänglichen Ressourcen ein. Das erlaubt einen proaktiven Schutz der potenziellen Angriffspunkte und verbessert die Sicherheitslage der digitalen Unternehmensressourcen.

Kontinuierliches Monitoring statt Momentaufnahme

So behalten Unternehmen mit EASM ihre externe Angriffsfläche im Blick

Was genau umfasst die externe Angriffsfläche?

Die externe Angriffsfläche umfasst alle digitalen Assets und Ressourcen, die über Schnittstellen mit der Außenwelt verbunden sind und die extern beziehungsweise öffentlich erreichbar sind. Mitarbeiter, Kunden, Partner, Lieferanten oder Drittanbieter können die digitalen Assets und Ressourcen beispielsweise über das Internet, über Cloud-Infrastrukturen oder über mobile Verbindungen und andere Wege erreichen. Typische Beispiele für digitale Assets und Ressourcen, die die externe Angriffsfläche eines Unternehmens ausmachen, sind Websites, Server, Webanwendungen, Cloud-Services, Hosts, Remote-Access-Systeme, IoT-Geräte und die zugehörigen, im Internet exponierten Domains, SSL-Zertifikate und IP-Adressen.

Worin unterscheiden sich External Attack Surface Management und Internal Attack Surface Management (IASM)

Die Gesamtangriffsfläche eines Unternehmens setzt sich aus der internen und der externen Angriffsfläche zusammen. Dementsprechend ist bei der Verwaltung und Absicherung der Angriffsfläche grundsätzlich eine Unterscheidung zwischen dem External Attack Surface Management und dem Internal Attack Surface Management möglich.

Während der Fokus des EASM auf der Identifizierung, Überwachung und Reduzierung von Risiken liegt, die mit den von außen zugänglichen digitalen Assets und Ressourcen verbunden sind, befasst sich das Internal Attack Surface Management mit den Risiken und Bedrohungen, die innerhalb der Organisation, quasi aus dem Unternehmen heraus, entstehen und auf die Ressourcen und Komponenten abzielen, die von internen Netzwerken erreichbar sind. Ziel des IASM ist es, die interne IT-Umgebung mit all ihren Servern, Hosts, Workstations, Datenbanken, Benutzern, Anwendungen und IT-Ressourcen abzusichern. Potenzielle Schwachstellen oder Insiderbedrohungen (beispielsweise durch Fehlkonfigurationen), ungepatchte Systeme, fehlerhafte Zugriffsberechtigungen oder lückenhafte Sicherheitsprotokolle sollen identifiziert und behoben oder verhindert werden. Typische interne Bedrohungsakteure sind Mitarbeiter, interne User, aber auch Geschäftspartner oder Auftragnehmer. Als Tools des IASM kommen zum Beispiel interne Schwachstellenscanner, Patch-Management-Systeme oder Identity Access Management (IAM) zum Einsatz.

IASM und EASM sind beides unverzichtbare Bestandteile eines umfassenden Risikomanagementansatzes und einer wirksamen Cybersicherheitsstrategie.

Aus welchen Gründen ist EASM notwendig?

Um das Risiko, Opfer von Cyberangriffen zu werden, zu minimieren, müssen die öffentlich zugänglichen Assets geschützt werden, denn für Cyberkriminelle stellt die externe digitale Angriffsfläche das primäre Angriffsziel dar. Sie suchen kontinuierlich nach Möglichkeiten, von außen in die Netzwerke und Systeme eines Unternehmens einzudringen, indem sie die externe Angriffsfläche nach Schwachstellen, Sicherheitslücken oder Fehlkonfigurationen scannen. Die digitale Transformation, die allgegenwärtige Verfügbarkeit des Internets, die Beliebtheit des Cloud-Computings und die vielfältigen Remote-Arbeitsmöglichkeiten tragen dazu bei, dass immer mehr Services, Anwendungen, Systeme und Geräte von außen zugänglich werden und sich die externen Angriffsflächen der Unternehmen stetig vergrößern. Zudem verschwimmen die harten Grenzen zwischen interner und externer Infrastruktur zunehmend und die Dezentralität der IT- und Anwendungsumgebungen wächst. Auch das Risiko der Nutzung von Schatten-IT durch die Mitarbeiter steigt kontinuierlich. Auf Seiten der Angreifer werden die auf die externe Angriffsfläche abzielenden Methoden immer raffinierter und ausgefeilter.

Geht bei der Vielfalt und der Dynamik der externen Zugangsmöglichkeiten der Überblick verloren und werden Schwachstellen, Fehlkonfigurationen, Sicherheitslücken oder ungeschützte Komponenten einer Schatten-IT übersehen, wird es für das Unternehmen schnell gefährlich. Das Risiko von Datenpannen, IT-Ausfällen, Betriebsstörungen, Reputationsschäden und Compliance- oder Datenschutzverletzungen steigt.

Umso wichtiger ist es, Transparenz über alle von außen zugänglichen digitalen Assets oder Ressourcen herzustellen und die komplette externe Angriffsfläche aus Sicht eines hypothetischen Angreifers zu betrachten. Darüber hinaus sorgen auch gesetzliche Vorschriften und Compliance-Standards für kontinuierlich steigende Anforderungen an die Cybersicherheit und damit an die Absicherung der externen Angriffsfläche.

Das External Attack Surface Management trägt dazu bei, diese Anforderungen zu erfüllen und die damit verbundenen Herausforderungen zu meistern. Es sorgt für die Identifizierung der exponierten digitalen Assets, überwacht diese kontinuierlich und schließt Sicherheitslücken oder behebt Schwachstellen und Fehlkonfigurationen. EASM ist nahezu unverzichtbar, um die Angriffsfläche moderner, perimeterloser IT-Infrastrukturen in ihrer tatsächlichen Ausdehnung zu erkennen, zu überwachen und ihre Risiken zu managen.

Welche Funktionen umfasst das External Attack Surface Management?

Die externe Angriffsflächenverwaltung besteht aus mehreren Funktionskomponenten, die in einem kontinuierlichen Prozess immer wieder durchlaufen werden. Die grundlegenden Funktionen des EASM sind:

• Identifizierung aller nach außen gerichteten digitalen Ressourcen und Assets inklusive möglicher Schatten-IT

• Untersuchung der externen Angriffsfläche auf Schwachstellen, Fehlkonfigurationen oder Sicherheitslücken

• Bewertung, Klassifizierung und Priorisierung der gefundenen Risiken

• Schließen erkannter Sicherheitslücken, Beheben der Schwachstellen oder Fehlkonfigurationen und Beseitigen oder offizielles Einbinden der Schatten-IT

• kontinuierliche Überwachung der externen Angriffsfläche in Echtzeit

Das Identifizieren der nach außen gerichteten Ressourcen und Assets schließt auch solche ein, die nicht in den Bestandsverzeichnissen vorhanden sind. Mithilfe von Tools werden automatisiert alle exponierten Ressourcen und Assets identifiziert und inventarisiert. Anschließend werden alle in diesem Prozess gefundenen Ressourcen und Assets auf Schwachstellen, Fehlkonfigurationen oder Sicherheitslücken, die von Angreifern potenziell ausgenutzt werden können, untersucht. Diese Analyse schließt die Überprüfung auf fehlerhafte Konfigurationen ein.

Die möglichen Risiken der gefundenen Schwachstellen, Fehlkonfigurationen oder Sicherheitslücken können sehr unterschiedlich sein. Deshalb werden sie bewertet, hinsichtlich verschiedener Kriterien klassifiziert und entsprechend priorisiert. Typische Kriterien sind beispielsweise die Wahrscheinlichkeit der tatsächlichen Ausnutzung durch einen Angreifer oder der Schweregrad und die potenziell schädlichen Auswirkungen. Dafür werden Metriken wie EPSS (Exploit Prediction Scoring System) oder CVSS (Common Vulnerability Scoring System) genutzt. Nach der Priorisierung der Schwachstellen, Fehlkonfigurationen oder Sicherheitslücken werden Maßnahmen zu deren Schließung beziehungsweise Behebung empfohlen und eingeleitet.

Im Rahmen dieses Prozesses werden beispielsweise Softwareupdates eingespielt, Systeme aktualisiert und gepatcht oder Fehlkonfigurationen korrigiert. Das Beseitigen von Schatten-IT, das Einbinden von Schatten-IT in die Verwaltung oder das Entfernen unnötiger Services und Zugangspunkte ist ebenfalls Bestandteil dieses Prozessschrittes. Sind diese Tätigkeiten abgeschlossen, ist das External Attack Surface Management keinesfalls beendet. Die externe Angriffsfläche wird in Echtzeit kontinuierlich überwacht und die genannten Prozessschritte werden immer wieder neu durchlaufen, beispielsweise wenn neue Dienste bereitgestellt oder neue Schwachstellen bekannt werden.

Was sind die Vorteile durch das External Attack Surface Management?

Das External Attack Surface Management bietet Unternehmen unter anderem diese Vorteile:

• sorgt für Transparenz und schafft eine Echtzeitansicht der externen Angriffsfläche

• identifiziert blinde Flecken und Schatten-IT, die die Cybersicherheit gefährden

• macht überflüssige oder nicht mehr genutzte extern erreichbare digitale Assets ausfindig und reduziert die Angriffsfläche

• ermöglicht eine proaktive Verteidigung gegen Cybergefahren durch die Einnahme der Angreiferperspektive und die kontinuierliche Überwachung der Angriffsfläche

• deckt Schwachstellen, Sicherheitslücken und Fehlkonfigurationen auf und beseitigt sie, bevor sie von Bedrohungsakteuren ausgenutzt werden können

• sorgt für die Priorisierung der erkannten Cybergefahren und ermöglicht einen effizienten Einsatz der Ressourcen der Sicherheitsteams

• ermöglicht eine schnelle und präzise Reaktion auf Cybergefahren und -vorfälle

• unterstützt die Einhaltung von gesetzlichen Vorgaben und Compliance-Anforderungen

(ID:50539624)