Attack-Surface-Drift: Warum das Inventar von gestern schon falsch ist
Cloud-Assets, Subdomains und Drittanbieter-Integrationen ändern sich täglich. Kontinuierliche Discovery – nicht vierteljährliche Audits – hält das Bild dessen akkurat, was ein Angreifer tatsächlich erreichen kann.
Kurz gefasst: Cloud-Assets, Subdomains und Drittanbieter-Integrationen ändern sich täglich. Kontinuierliche Discovery – nicht vierteljährliche Audits – ist der einzige Weg, ein akkurates Bild davon zu behalten, was ein Angreifer tatsächlich erreichen kann.
Das Inventar, dem du vertraust, ist ein Snapshot, kein Stream
Die meisten Security-Programme behandeln Asset-Inventar noch als periodische Übung: eine Tabelle, die zur Audit-Zeit aufgefrischt und dann altern gelassen wird. In einer cloud-nativen Umgebung bricht diese Annahme binnen Stunden. Neue Subdomains werden bereitgestellt, Staging-Umgebungen werden exponiert, und Drittanbieter-Integrationen öffnen Ports, die niemand erneut prüft.
Die Lücke zwischen dem, was du zu betreiben glaubst, und dem, was tatsächlich aus dem Internet erreichbar ist, ist der Ort, an dem die meisten vermeidbaren Incidents beginnen.
Wie Drift in der Praxis aussieht
- Vergessene Staging- oder Preview-Hosts, die nach einem Launch öffentlich auflösbar bleiben.
- Wildcard-DNS und ephemere Cloud-Instanzen, die schneller erscheinen und verschwinden, als ein Quartalsscan sie fangen kann.
- Übernommene oder Partner-Infrastruktur, die deine Marke erbt, aber nicht deine Kontrollen.
- Abgelaufene Zertifikate und verlassene Buckets, die still weiter Content ausliefern.
Kontinuierliche Discovery als Basiskontrolle
Der Fix ist kein größeres Jahres-Audit; es ist ein kontinuierliches. Discovery, die nach Zeitplan läuft, gegen das letzte Known-Good-Bild diffed und markiert, was sich änderte, verwandelt Attack-Surface-Management aus einem Point-in-Time-Report in ein operatives Signal.
KENSAI behandelt Discovery als Always-on-Input: Jeder Scan erzeugt eine Evidenzspur davon, was erreichbar war, wann und wie es sich änderte – sodass Drift sichtbar wird, bevor sie zum Incident wird.
Fazit
Ein Asset-Inventar ist nur so nützlich, wie es aktuell ist. Kontinuierliche Discovery hält die Karte ehrlich, sodass Remediation auf das zielt, was Angreifer heute erreichen können, nicht auf das, was du letztes Quartal dokumentiert hast.