Bei den Spuren Ihrer Organisation beginnen
Domains, Anwendungen, gehostete Dienste und frühere Standorte können ein uneinheitliches Bild ergeben. Sammeln Sie bekannte Referenzen, betroffene Einheiten und aktuelle Änderungen. Fehlende Informationen können selbst Teil der Untersuchung sein.
Sichtbarkeit und Schwachstelle unterscheiden
Ein erreichbarer Dienst ist nicht automatisch verwundbar. Beobachtungen brauchen Zuordnung, Kontext und gegebenenfalls Prüfung. Eine Angriffsflächenanalyse ordnet die Ergebnisse. Online-Recherchen können Informationsfragen ergänzen; eine Ausnutzung zu prüfen ist ein eigener Schritt im Penetrationstest.
Beobachtungen weiterverarbeiten
Verlangen Sie ein nutzbares Inventar mit bestätigten Systemen, vermuteten Beziehungen und ausgeschlossenen Elementen. Binden Sie technische Verantwortliche in die Bestätigung ein. Entscheidungen zu Korrekturen und weiteren Tests sollten sich daraus begründen lassen.