External AttackSurface Management.
EASM zeigt die Angriffsfläche aus der Perspektive des Internets. Die Werkzeuge entdecken Domains, Zertifikate, Dienste, Cloud-Ressourcen und weitere öffentlich sichtbare Spuren. Sie liefern Hypothesen über externe Exposition; die Zugehörigkeit und das tatsächliche Risiko müssen anschliessend intern geprüft werden.
Was das Internet über Sie sieht.
EASM beginnt ausserhalb der eigenen Netze. Deshalb findet es vergessene Domains, Schatten-IT oder falsch veröffentlichte Dienste, aber auch Treffer, die nicht zum Unternehmen gehören. Ownership und Verifikation sind keine Nebenschritte, sondern die Voraussetzung, um aus einer externen Beobachtung eine verantwortbare Massnahme zu machen.
Vom Fund
zum Owner.
- Seed-Daten pflegen: Firmen- und Markennamen, Registrar-Konten, IP-Bereiche und Cloud-Konten, auch von Tochtergesellschaften und Akquisitionen. Die Qualität der Discovery hängt direkt davon ab.
- Bestätigte Assets mit Owner ins Inventar übernehmen und erst dann an das Schwachstellenmanagement weitergeben.
- Befundklassen mit Fristen festlegen: offene Administrationsoberflächen, Fernzugänge ohne MFA, abgelaufene Zertifikate, übernahmegefährdete Subdomains durch verwaiste DNS-Einträge.
- Domain- und Cloud-Registrierungen an einen zentralen Prozess binden, damit EASM Abweichungen meldet statt den Normalfall.
- Anteil extern sichtbarer Assets mit bestätigtem Owner
- Zeit von Erstentdeckung eines unbekannten Assets bis zu Zuordnung oder Abschaltung
- Anzahl offener kritischer Expositionen wie Admin-Oberflächen oder Datenbankports im Internet
Security betreibt das Werkzeug und triagiert Funde; die Owner der Assets entscheiden über Abschaltung oder Absicherung. Einkauf oder Recht klärt Zuständigkeiten bei Dienstleistern und Tochterfirmen.
ISO/IEC 27001:2022 Annex A 5.9 (Inventar der Informationen und anderen zugehörigen Werte) und 8.8 (Handhabung technischer Schwachstellen).
NIS2 Art. 21 Abs. 2 lit. e nennt die Behandlung von Schwachstellen, lit. i das Management von Anlagen; DORA Art. 8 Abs. 4 verlangt von Finanzunternehmen, alle Informations- und IKT-Assets einschliesslich jener an externen Standorten zu ermitteln.
EASM ersetzt keinen Penetrationstest. Es zeigt, was von aussen erreichbar ist, nicht, ob sich eine Schwachstelle tatsächlich ausnutzen lässt und welcher Schaden daraus folgt.
Discovery braucht Verifikation.
| Produkt | Primärer Schwerpunkt | Dokumentierter Umfang | Im Pilot klären |
|---|---|---|---|
| Microsoft Defender EASM | Externe Discovery im Microsoft-Sicherheitskontext | Entdeckt und inventarisiert internetseitige Ressourcen als externe Angriffsfläche. | Seed-Daten, Zuordnung, Umgang mit Fremdtreffern und Integration in den bestehenden Microsoft-Stack. |
| Censys ASM | Internet-Intelligence und Angriffssichtbarkeit | Ordnet Internet-Daten zur Sicht auf Assets und deren Exposition. | Asset Attribution, Aktualität, Ticketing und die Abgrenzung zur eigenen aktiven Prüfung. |
| CyCognito | Automatisierte externe Angriffsflächen-Erkennung | Fokus auf Discovery, Klassifikation und Priorisierung unbekannter oder exponierter digitaler Assets. | Trefferqualität, Eigentümerzuordnung und den Weg vom Hinweis zu einer geprüften Massnahme. |
| Tenable Attack Surface Management | EASM als Teil einer Exposure-Plattform | Erfasst die externe Angriffsfläche und verbindet sie mit weiterem Exposure-Kontext. | Ob die EASM-Daten mit internen Tenable-Daten und dem eigenen Assetmodell tatsächlich konsistent zusammenlaufen. |
| Palo Alto Networks Cortex Xpanse | Aktive externe Angriffsflächen-Erkennung durch Internet-Scanning | Scannt laufend das gesamte Internet, entdeckt unbekannte exponierte Systeme und Dienste und priorisiert Befunde mit Machine Learning; automatisierte Playbooks als Add-on (Active Response). | Zuordnung von Akquisitionen, Tochtergesellschaften und Cloud-Konten, Umgang mit Fremdtreffern und Freigabegrenzen für automatisierte Playbooks. |
| Rapid7 Surface Command | Externe und interne Angriffsfläche (EASM und CAASM) | Entdeckt unbekannte internetseitige und interne Assets, deckt Schatten-IT und Abdeckungslücken auf und führt sie in einem einheitlichen Inventar zusammen. | Qualität der Konnektoren zu internen Quellen, Abgrenzung zu Exposure Command und ob externe Funde verlässlich einem Owner zugeordnet werden. |
Mit bekannten Aussenkanten testen.
Ein EASM-Pilot braucht eine Liste bekannter Domains, Akquisitionen, Cloud-Tenants und bewusst nicht mehr verwendeter Dienste. Entscheidend ist nicht nur, was zusätzlich gefunden wird, sondern ob der Eigentümer und der korrekte nächste Schritt verlässlich bestimmt werden.
- Bekannte Domains, Zertifikate und Cloud-Subdomains korrekt zuordnen
- Übernommene, abgestellte und fremde Assets sauber unterscheiden
- Einen extern sichtbaren Dienst bis zu Owner und Abstellentscheidung verfolgen
- False Positives und Wiederholungsfunde nachvollziehbar behandeln
- Übergabe an Vulnerability-, Incident- oder Change-Prozess testen
Security Tool Navigator · Gebiet 02
Im Gebiet Asset, Vulnerability und Exposure einordnen.
Diese Werkzeugklasse gehört zum Gebiet Asset, Vulnerability und Exposure. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.