Was sind Angriffsoberfläche und Angriffsvektor?
Die Angriffsoberfläche beschreibt, wo ein Angreifer ansetzen kann; der Angriffsvektor beschreibt, wie ein Angriff einen solchen Ansatzpunkt oder eine Schwachstelle erreicht.
Autoritative technische Einordnung: Nach der NIST-Definition umfasst die Angriffsoberfläche die Punkte an der Grenze eines betrachteten Systems, Systemelements oder einer Umgebung, an denen ein Angreifer einzudringen, eine Wirkung zu verursachen oder Daten zu entnehmen versuchen kann. MITRE beschreibt Angriffsvektoren als Wege beziehungsweise Methoden eines Angriffs. Der erste Begriff bezeichnet damit die Menge möglicher Ansatzpunkte, der zweite das konkrete Vorgehen zu einem Ansatzpunkt oder einer Schwachstelle.
Welchen Anwendungsbereich haben die Begriffe?
Es handelt sich um allgemeine technische Analysebegriffe ohne eigenen gesetzlichen Personen- oder Sektorenkreis. Ihr sachlicher Umfang hängt von der festgelegten System- und Umgebungsgrenze ab. Je nach Untersuchungsgegenstand können externe und interne Exponierungen, Entwicklungs-, Betriebs- und Wartungsumgebungen sowie Lieferketten dazugehören.
Eine Betrachtung nur internetexponierter Dienste greift zu kurz, wenn ein Angreifer nach einem ersten Eindringen interne Punkte durch laterale Bewegung erreichen kann.
Wann gehört ein Punkt zur Angriffsoberfläche?
Ein Punkt zählt innerhalb der gewählten Abgrenzung zur Angriffsoberfläche, wenn er eine mögliche Stelle für Eindringen, Wirkung oder Datenentnahme bildet. Auch ein interner Punkt kann dazugehören, wenn er nach erlangtem Zugang oder durch laterale Bewegung erreichbar ist.
Nicht jeder inventarisierte Bestandteil ist allein aufgrund seiner Existenz ein solcher Ansatzpunkt. Ebenso muss ein Punkt der Angriffsoberfläche nicht tatsächlich verwundbar sein.
Wann liegt ein Angriffsvektor vor?
Ein Angriffsvektor liegt vor, wenn sich ein Weg oder eine Methode beschreiben lässt, mit der ein Angriff zu einem Ansatzpunkt oder einer Schwachstelle gelangt. Eine Schwachstelle oder ein Asset allein ist deshalb noch kein Angriffsvektor. Der konkrete Vektor muss zum betrachteten Systemzuschnitt und Angriffsszenario passen.
Wie unterscheiden sich Angriffsoberfläche, Schwachstelle und Bedrohung?
Die Angriffsoberfläche erfasst mögliche Ansatzpunkte. Schwachstelle und Bedrohung sind von möglichen Ansatzpunkten und Angriffswegen zu unterscheiden. Keiner dieser Begriffe bezeichnet für sich allein einen bereits eingetretenen oder erfolgreichen Angriff.
Welche Sonderbedeutung hat „Attack Vector“ in CVSS?
Spezialverwendung: In CVSS bezeichnet die Metrik „Attack Vector“ die für eine Ausnutzung erforderliche Reichweite mit den Ausprägungen Network, Adjacent, Local oder Physical. Diese eng definierte Metrik darf nicht ungekennzeichnet mit einem vollständigen Angriffsweg oder der gesamten Angreifer-Tradecraft gleichgesetzt werden.
Gibt es feste Fristen oder Schwellenwerte?
Für die beiden technischen Begriffe selbst legen die herangezogenen Quellen keine universelle Frist, keinen allgemeinen Startpunkt und keinen numerischen Schwellenwert fest. Daraus folgt nicht, dass sektorspezifische, vertragliche oder organisationsinterne Vorgaben ausgeschlossen sind. Prüfintervalle und Prioritäten müssen aus dem jeweils maßgeblichen Risikomanagement und den konkret anwendbaren Vorgaben abgeleitet werden.
Häufige Fehlannahmen
- „Angriffsoberfläche bedeutet Schwachstellenliste.“ Nein. Sie erfasst mögliche Ansatzpunkte; ein solcher Punkt muss nicht verwundbar sein.
- „Ein Asset oder eine Schwachstelle ist bereits ein Angriffsvektor.“ Nein. Erforderlich ist ein dazu führender Weg oder eine Methode.
- „Nur öffentlich erreichbare Systeme zählen.“ Nein. Abhängig von der Systemgrenze können auch interne, lateral erreichbare Punkte und Lieferketten relevant sein.
- „Eine kleinere Angriffsoberfläche garantiert Sicherheit.“ Nein. Sie kann Angriffsmöglichkeiten reduzieren, sagt aber allein weder das Gesamtrisiko noch Erfolg oder Misserfolg eines Angriffs voraus.
- „Attack Vector bedeutet in jedem Kontext dasselbe.“ Nein. CVSS verwendet den Begriff als spezielle Metrik für die erforderliche Reichweite einer Ausnutzung.
Was die Geschäftsleitung tun sollte
Praxisempfehlungen, keine allgemeine Rechtspflicht:
- Eine risikogerechte Inventarisierung von Hardware, Software, Systemen, Diensten und relevanten Lieferantendiensten beauftragen und Verantwortlichkeiten dafür festlegen.
- Das Inventar bei Einführung oder Nutzung neuer externer Dienste aktualisieren und den Technologie- und Dienstebestand regelmäßig überprüfen lassen.
- Angriffsoberflächen bei Entwurf, Konfiguration, Änderung und Wartung analysieren lassen; dabei externe sowie interne Wege zu kritischen Assets berücksichtigen.
- Unnötige Exponierungen und redundante Komponenten regelmäßig identifizieren und risikobasiert behandeln.
- Erforderliche Redundanzen nicht schematisch entfernen, wenn sie der Resilienz oder geschäftlichen Anforderungen dienen.
Für die Geschäftsleitung
Die relevante Angriffsoberfläche wird durch den nachvollziehbar festgelegten System- und Umgebungszuschnitt bestimmt; Angriffsvektoren werden davon getrennt als konkrete Wege oder Methoden bewertet. Die Leitung sollte Inventarisierung, anlassbezogene Aktualisierung und regelmäßige Prüfung veranlassen. Als Nachweis eignen sich dokumentierte Systemgrenzen, Asset- und Dienstinventare, analysierte interne und externe Exponierungen, zugeordnete Angriffswege sowie begründete Entscheidungen über Reduktion oder Beibehaltung von Komponenten.
Quellen
- NIST SP 800-53 Rev. 5, Glossar: „attack surface“.
- NIST SP 800-160 Vol. 2 Rev. 1, „Reduce Attack Surfaces“.
- NIST IR 8409, Tabelle 1 zur CVSS-Metrik „Attack Vector“.
- NIST CSF 2.0 Implementation Examples, ID.AM-04 und ID.AM-08.
- NIST SP 1299, Inventarisierung von Hardware, Software, Diensten und Systemen.
- MITRE TARA – Introduction and Overview, Abschnitt 2.2.1.
