Die Vorfallsbearbeitung eines akuten Cyberangriffs beginnt selten mit einem Alarm im unternehmensweiten IT- oder Sicherheitsmonitoring. Oft fängt es nämlich leise und eher schleichend an. Noch bevor es im eigenen Monitoring Auffälligkeiten bei CPU- und Speicherverbrauch oder in Applikationslogs gibt, lässt sich mitunter von außen schon erkennen, dass gerade etwas im Gange ist.

Ein externer Partner meldet dann vielleicht, dass ein Webdienst zeitweise nicht erreichbar ist. Interne Anwender klagen über langsame Verbindungen zu einer Cloudanwendung. Mitunter schlagen diese Meldungen sogar in unterschiedlichen Abteilungen oder Teams auf, so dass eine Korrelation der Ereignisse gar nicht stattfindet. Und selbst wenn sie in einem gemeinsamen System analysiert werden, offenbart sich in solchen Situationen oft ein strukturelles Problem vieler IT-Abteilungen. Die tatsächliche öffentliche Angriffsfläche – also das, was von den eigenen Diensten tatsächlich über das Internet erreichbar ist – ist oft gar nicht so richtig bekannt.

Moderne Sicherheitsarchitekturen in Unternehmen setzen für das Incident-Handling auf ein Zusammenspiel aus SIEM und SOAR. Das SIEM sammelt Logs, Metriken und Events aus Firewalls, Servern, Cloudplattformen und laufenden Anwendungen, korreliert diese und erzeugt ein konsolidiertes Lagebild. SOAR-Systeme setzen darauf auf, indem sie bestimmte und vorhersehbare Reaktionen automatisieren, etwa das Starten von Playbooks, das Anlegen von Tickets oder das Nachziehen zusätzlicher Daten oder Ressourcen. Beide Systeme sind in ihrer klassischen Ausprägung oft stark nach innen gerichtet. Sie sehen also, was im eigenen Netz passiert. Wie sich die eigene Infrastruktur aus der Perspektive des Internets darstellt, ist aber nur selten ersichtlich.

Natürlich gibt es Angebote im Internet wie Shodan, die Ihnen auch einen Blick von außen auf die eigene Infrastruktur anbieten. Das ist dann aber eben nur der eine Shodan-Blick auf das Unternehmen. Sperrt ein Automatismus oder ein engagierter Firewalladministrator einfach die Shodan-Probes, sieht von außen alles okay aus, ist es aber vielleicht gar nicht. Genau hier liegt eine mögliche Lücke in der Betrachtung der eigenen Angriffsoberfläche.

Angriffe auf DNS, Routing oder Edge-Infrastrukturen wie CDNs und WAFs hinterlassen dann oft keine direkten Spuren in den internen Logs. Ein DNS-Hijack, ein fehlerhaftes BGP-Announcement oder ein unerwarteter Routingumweg verändern zunächst nur den Weg, den Pakete nehmen, oder die Antworten, die Clients erhalten. Für das SIEM bleiben solche Veränderungen meist unsichtbar, solange die Applikation selbst noch "irgendwie" erreichbar ist. Für Angreifer ist das ideal: Sie können den Traffic umlenken, verzögern oder partiell blockieren, ohne sofort entdeckt zu werden.

An dieser Stelle kommt Atlas vom Réseaux IP Européens (RIPE) Network Coordination Centre (NCC) ins Spiel. Das RIPE NCC ist die für Europa, den Nahen Osten und Teile Zentralasiens zuständige regionale Internetregistrierung. Sie ist eine gemeinnützige Organisation und verwaltet in ihrem Zuständigkeitsbereich IP-Adressräume oder Autonomous-System-Nummern und betreibt Analyse- und Messdienste zur Beobachtung des globalen Internetbetriebs. Diese Dienste stellen eine unabhängige, anbieterneutrale Sicht auf das Internet bereit und werden von Netzbetreibern, Unternehmen und Forschungseinrichtungen gleichermaßen genutzt. Einer dieser Services nennt sich Atlas, der auf verteilten Messungen aus dem Internet basiert und damit eine objektive Grundlage für die Analyse von Erreichbarkeit, Routing und Namensauflösung bietet.

Messproben mit RIPE Atlas

RIPE Atlas ist kein Security-Tool im klassischen Sinne, sondern ein aktives Messnetzwerk mit weltweit verbreiteten Messstellen (Probes). Tausende Probes führen kontinuierlich Messungen wie Ping, Traceroute und DNS-Abfragen für bekannte Endpunkte aus. Entscheidend ist dabei nicht die Messart, sondern die Perspektive. RIPE Atlas misst nämlich aus unterschiedlichen Netzen heraus, verteilt über alle möglichen Provider, Autonomen Systeme, Regionen und Länder. Für Unternehmen eröffnet sich damit die Möglichkeit, die eigene Angriffsfläche so zu beobachten, wie sie von außen tatsächlich aussieht.

Einbinden in bestehende Systeme

In der Praxis lässt sich RIPE Atlas sehr einfach in bestehende Systeme einbinden. Die Messergebnisse stehen über APIs oder Streaming-Schnittstellen bereit. So entstehen zunächst keine klassischen "Security Events", sondern einfach Zustandsinformationen über die Angriffsfläche. Ein DNS-Messwert aus Atlas zeigt beispielsweise, welche IP-Adressen für einen Hosteintrag aus verschiedenen Regionen des Internets zurückgeliefert werden. Ein Traceroute dokumentiert, über welche Autonomen Systeme der Traffic tatsächlich läuft. Sie können auch das ausgelieferte TLS-Zertifikat eines Webservers prüfen. Mit dem kontinuierlichen Sammeln dieser Informationen entsteht eine belastbare Baseline: So sieht die Angriffsoberfläche aus, im Normalzustand und betrachtet aus aller Welt.

Sobald diese Baseline existiert, wird Anomalieerkennung deutlich präziser. Kommt es zu einem Vorfall, etwa einem Verdacht auf Routingmanipulation, kann das SIEM eine Abweichung erkennen. Der AS-Pfad zu einem Dienst enthält plötzlich einen neuen Transit-Provider, die Latenz steigt signifikant an oder bestimmte Regionen verlieren die Erreichbarkeit des angebotenen Dienstes. Wenn Sie nun ein passendes SOAR-Playbook vorbereitet haben, kann es daraufhin automatisiert zusätzliche Messungen über Atlas auslösen, um die Auswirkungen des Problems weiter einzugrenzen. Statt auf einzelne Nutzerbeschwerden angewiesen zu sein, erhält die IT-Abteilung innerhalb von wenigen Minuten ein objektives Bild darüber, welche Regionen betroffen sind, ob das Problem global oder lokal ist oder ob es sich um eine Fehlkonfiguration oder um einen Angriff handelt.

Auch bei DNS-basierten Angriffen gegen das Unternehmen zeigt sich der Mehrwert schnell. Unterschiedliche DNS-Antworten für denselben Namen, abhängig von Region oder Resolver, sind ein starkes Indiz für Manipulation oder Fehlkonfiguration. Während interne Resolver-Logs nur einen Ausschnitt zeigen, liefern Atlas-Messungen die externe Realität. Wenn Sie die abgefragten Informationen im SIEM mit Daten zu Ihrer vorhandenen Infrastruktur oder den von Ihren Mitarbeitern genutzten internen und externen Diensten anreichern, können Sie kritische Dienste mit einer höheren Priorität beobachten, während weniger relevante Abweichungen im Hintergrund bleiben.

Atlas als Communityprojekt

Das Atlas-Projekt basiert darauf, dass Einzelpersonen und Unternehmen Teil der Monitoring-Community werden und selbst auch Probes in Atlas zur Verfügung stellen. Der Einstieg in diese Welt beginnt also idealerweise mit einem Platzierungskonzept für den Probe. In Unternehmensumgebungen ist es natürlich nötig, den Atlas-Probe in der DMZ zu betreiben, da diese die Schnittstelle zwischen internem Netz und Internet darstellt und typischerweise denselben Zugang zum Internet nutzt wie öffentlich erreichbare Dienste auch.

Ein Probe in Ihrer DMZ misst somit genau das, was Ihre Clients beim Zugriff auf Webportale, VPN-Gateways oder APIs erleben. Gleichzeitig bleibt sie vom internen Netz getrennt, was sicherheitstechnisch und organisatorisch entscheidend ist. Wenn Sie selbst ein sehr großes und mehrere Länder umspannendes Netzwerk, oder sogar ein eigenes AS, betreiben, können Sie auch einen etwas größer dimensionierten Messpunkt (das Atlas-Projekt nennt diesen dann Anchor) ausbringen und so die Atlas-Community noch deutlich mehr unterstützen.

Der Betrieb eines eigenen Probes ist für die eigene Nutzung von Atlas zwingend notwendig. Sie benötigen für die eigenen Abfragen nämlich Credits, die Sie nicht ohne weiteres käuflich erwerben könnten. Credits erhalten Sie nur durch die Verwendung der von Ihnen ausgebrachten Probes durch systemweite oder individuelle Messungen der Benutzer aus der Atlas-Community. Während Ihr Probe also im Netzwerk aktiv ist und für Messungen zum Einsatz kommt, erhalten Sie Credits, die Ihnen dann ermöglichen, eigene Messungen zu starten. Je stabiler und verfügbarer ein Probe oder ein Anchor ist, desto mehr Credits erhalten Sie. Damit wird aus der anfänglichen Investition in das Ausbringen eines Probes also ein dauerhafter Mehrwert für das Sicherheitsmonitoring im Unternehmen.

Fazit

Der Security-Tipp hat Ihnen gezeigt, wie Sie mit Sensoren, wie den weltweit verteilten Atlas-Probes, Ihre Sicherheitsmechanismen weg vom reaktiven Logmonitoring hin zu einer aktiven, evidenzbasierten Überwachung der eigenen Angriffsoberfläche im Internet weiterentwickeln. Mit Atlas ist es möglich, Angriffsvorbereitungen oder konkrete Angriffe früher zu erkennen, gezielter zu reagieren und im Nachgang Vorfälle auch besser erklären zu können. (dr/ln)

Dieser Artikel erschien in der IT-Administrator-Ausgabe 03/2026

IT-Administrator März 2026
IT-Automatisierung

Verlässliche Prozesse und Workflows auf Knopfdruck – ob und wie IT-Automatisierung dieses Versprechen halten kann, beleuchtet die März-Ausgabe des IT-Administrator. So zeigen wir unter anderem, wie Sie Windows mit Ansible automatisieren und was OpenTofu in Sachen Infrastructure-as-Code zu bieten hat. Außerdem werfen wir einen Blick auf die Speicherverwaltung und Automatisierung mit FSRM.

Bestellen Sie hier das Einzelheft – gedruckt oder digital.
Für Abonnenten steht alle Artikel außerdem im Heftarchiv bereit.