Was veyrisk prüft.

Passive Prüfungen verhalten sich wie ein normaler Besucher: Sie rufen öffentlich verfügbare Informationen ab, etwa DNS-Einträge, Zertifikate oder die Antwort einer Webseite. Sie laufen für jede eingetragene Domain täglich.

Aktive Prüfungen gehen weiter. Sie suchen nach offenen Ports und testen Dienste auf bekannte Schwachstellen. Diese Prüfungen laufen nur, wenn Sie per DNS-Eintrag nachgewiesen haben, dass die Domain Ihnen gehört. veyrisk prüft diesen Nachweis vor jedem Lauf erneut.

• Subdomains aus öffentlichen Zertifikatsverzeichnissen und dem DNS, damit auch vergessene Systeme auftauchen
• TLS-Zertifikate: abgelaufen, bald ablaufend, nicht vertrauenswürdig, fehlerhafte Verschlüsselung
• Weiterleitung von HTTP auf HTTPS und Sicherheitsheader wie HSTS, Content-Security-Policy und Schutz vor Clickjacking
• Offen erreichbare Verwaltungsoberflächen, Entwicklungs- und Testsysteme, preisgegebene Softwareversionen
• E-Mail-Absicherung über SPF und DMARC, damit Ihre Domain nicht für gefälschte Mails missbraucht werden kann
• Nach Besitznachweis: offene Ports mit riskanten Diensten wie Fernwartung, Datenbanken oder Dateifreigaben

Nach dem Besitznachweis prüft veyrisk die öffentlichen Adressen Ihrer Systeme mit OpenVAS, einem verbreiteten Schwachstellenscanner mit einer täglich aktualisierten Datenbank bekannter Lücken. Je nach Plan läuft dieser Scan monatlich oder wöchentlich. Übernommen werden nur Befunde, die der Scanner mit hoher Sicherheit erkannt hat. Lieber eine Lücke im Bericht als ein Fehlalarm, dem Ihr Team hinterherläuft.

• Typische Schwachstellen aus den OWASP Top 10, etwa Injection, Cross-Site-Scripting und fehlerhafte Zugriffskontrollen
• Passive Prüfung immer, aktive Tests nur mit Ihrer ausdrücklichen Zustimmung und auf Domains mit Besitznachweis
• Anmeldung mit einem Testzugang, damit auch Bereiche hinter dem Login geprüft werden
• APIs anhand einer OpenAPI- oder Postman-Datei, Start eines Scans auch aus Ihrer Build-Pipeline

• AWS, Microsoft Azure und Google Cloud: öffentlich erreichbare Speicher und Dienste, zu weite Berechtigungen, fehlende Protokollierung
• Microsoft 365 und Entra ID: Konten ohne Mehrfaktor-Anmeldung, zu viele globale Administratoren, riskante Einstellungen
• Verbindung ausschließlich mit Leserechten. veyrisk ändert nichts an Ihrer Konfiguration.