YekIntel
Die extern sichtbare Angriffsfläche eines Unternehmens, aus öffentlichen Quellen zusammengetragen und bewertet.
Domains, Subdomains, Cloud-Dienste, Repositories, vergessene Testsysteme, Fernwartungszugänge in die Anlage: was von außen über ein Unternehmen zu sehen ist, ist über Jahre gewachsen. Einsehbar ist das alles, zusammengetragen wird es selten.
Der Angriff beginnt mit einer Abfrage
Ein Dienst geht online, ein Zugang bleibt offen, ein Speicherbereich ist öffentlich lesbar. Entschieden hat das niemand, passiert ist es trotzdem. Gefunden wird es auch: das erreichbare Internet wird durchgehend indexiert, und wer eine Schwachstelle sucht, sucht nicht bei einem einzelnen Unternehmen, sondern in einem Index nach allen, auf die ein Muster passt. Dieser Teil eines Angriffs läuft automatisiert und kostet den Angreifer Minuten.
Dieselbe Fläche steht dabei nie still. Ein Team stellt eine Testumgebung online, ein Zertifikat läuft ab, ein Dienstleister legt eine Subdomain an. Nichts davon steht in einem Bericht, der ein halbes Jahr alt ist. Der Abstand zwischen versehentlich exponiert und von außen auffindbar ist damit kürzer als der zwischen zwei Audits, und deshalb ist eine Analyse, die sich mit gleichem Verfahren wiederholen lässt, mehr wert als eine gründlichere, die einmal läuft.
YekIntel dreht die Blickrichtung um. Die Plattform ermittelt dieselbe Außenfläche automatisch, aus denselben öffentlich zugänglichen Informationen, und bewertet sie: eine Domain genügt als Eingabe. Jeder Lauf folgt demselben Verfahren, damit sich zwei Stände vergleichen lassen.
Was sichtbar ist, wird gefunden
Vier Befunde, die in Analysen regelmäßig auftauchen.
Systeme, die niemand mehr auf der Liste hat
Eine Testumgebung aus einem alten Projekt, eine Subdomain vom Dienstleister, ein Altsystem, das nach der Migration online geblieben ist. Gepatcht werden sie nicht, weil sie in keinem Inventar stehen; erreichbar sind sie trotzdem.
Zertifikate und Konfigurationen, die abgelaufen sind
Ein abgelaufenes Zertifikat ist selten nur ein Browserfehler, meist der Hinweis darauf, dass für diesen Dienst niemand mehr zuständig ist. Dasselbe gilt für schwache Signaturverfahren und für Mail-Einträge, die eine Absenderadresse nicht schützen.
Zugangsdaten aus fremden Datenlecks
Firmenadressen tauchen in Sammlungen aus Lecks bei Dritten auf, oft mit Passwort. Wo dasselbe Passwort ein zweites Mal verwendet wurde, führt ein Login ins Netz, ganz ohne Exploit.
Zugänge, die im offenen Netz stehen
Ein VPN-Portal, eine Verwaltungsoberfläche, ein Fernwartungszugang: was für den internen Gebrauch gedacht ist, steht über zu weit gefasste Regeln regelmäßig im offenen Netz. Wer es findet, braucht dann oft keinen Exploit, sondern nur ein Passwort.
Was die Analyse zusammenträgt
Eine Domain genügt als Eingabe. Was daraus entsteht, sortiert sich in vier Gruppen:
- Namen und Netze. Subdomains, zugeordnete Adressbereiche und Netzbereiche, Mail- und DNS-Konfiguration.
- Dienste und Systeme. Offene Standardports, HTTP-Header, TLS-Zertifikate mit Laufzeit und Signaturverfahren, Dienste, die für interne Netze gedacht waren.
- Cloud und Code. Öffentlich lesbare Speicherbereiche, öffentliche Repositories samt der Projekte, die daran hängen, veröffentlichte Apps in den App-Stores.
- Adressen und Lecks. Öffentlich auffindbare Firmenadressen und ihr Abgleich mit bekannten Datenlecks.
Der Unterschied liegt nicht an der einzelnen Fundstelle, sondern daran, dass die Ergebnisse an einem Objekt zusammenlaufen statt in vier Exporten.
Eine Domain genügt.
Tragen Sie die Domain ein, zu der Sie die Außenfläche sehen wollen. Im zweiten Schritt die Adresse, an die die Ergebnisse gehen. Wir prüfen die Angaben und melden uns, bevor etwas läuft.
