Netzwerk-Sicherheitsbewertung von innen
Wissen Sie genau, wie exponiert Ihr Netzwerk ist, bevor es ein Angreifer weiß. ConnectMyAssets verbindet geprüfte Ports und erkannte Dienste, TLS-Zertifikate, Härtungsrichtlinien, die per SSH aus jeder Konfiguration gelesen werden, Firewall-Regelanalyse und CVE-Abgleich. Jedes Gerät erhält einen gewichteten Score, jeder Befund einen klaren Verantwortlichen.
- ✓Härtungsrichtlinien für CIS, NIS2, ISO 27001, PCI DSS
- ✓Unsichere Dienste auf geprüften Ports: Telnet, FTP, HTTP
- ✓TLS-Zertifikate: abgelaufen, bald ablaufend, selbstsigniert, TLS 1.0/1.1
- ✓Firewall-Regeln: verdeckt, any/any, unsichere Dienste, ohne Logging
- ✓Gewichteter Score pro Gerät (0 bis 100) mit 365 Tagen Historie
- ✓CVE-Abgleich mit CISA KEV, EPSS und EUVD
Warum eine Netzwerk-Sicherheitsbewertung bei den Konfigurationen beginnt
Netzwerkgeräte sammeln mit der Zeit Schwächen an. Ein Telnet-Dienst, der vor Jahren aktiviert und nie geschlossen wurde. Eine Verwaltungsoberfläche über unverschlüsseltes HTTP, weil sie nur vorübergehend sein sollte. Ein Zertifikat, das im letzten Frühjahr abgelaufen ist. Eine Firmware, die in CISA KEV steht. Eine Firewall-Regel, die any/any erlaubt. Das sind keine exotischen Schwachstellen, sondern Hygieneprobleme, die in einem großen Teil realer Netze vorkommen, und viele sehen von außen unauffällig aus. ConnectMyAssets findet sie, indem es die geprüften Ports mit der per SSH gelesenen Konfiguration verbindet, so wie ein Angreifer sie nach dem ersten Zugriff sähe oder ein Prüfer bei einem Penetrationstest. Sie zuerst zu finden und unter Kontrolle zu beheben, ist der Zweck einer Netzwerk-Sicherheitsbewertung.
Funktionen für die Netzwerk-Sicherheitsbewertung
Von geprüften Ports bis zu Härtungsrichtlinien: alles, was Ihr Sicherheits- oder Netzwerkteam braucht, um die Härtung Ihres Netzwerks zu bewerten und zu verbessern.
Härtungsrichtlinien
Prüfen Sie jedes Gerät gegen Härtungsrichtlinien: den integrierten Katalog plus jede benötigte Regel, geschrieben mit der äußerst umfassenden Bedingungssprache. Die Kontrollen sind CIS, NIS2, ISO 27001 und PCI DSS zugeordnet, werden von Gerätegruppen mit Sperren geerbt und laufend auf Geräten von Cisco, Juniper, Fortinet, Palo Alto, Aruba, Arista und Huawei ausgewertet.
Geprüfte Ports und unsichere Dienste
Wählen Sie die TCP-Ports, die in Ihrem Netzwerk geprüft werden: Jeder offene Port wird identifiziert (Dienst, Produkt, Version, TLS-Zertifikat). Markieren Sie die Ports, die nie offen sein dürfen, etwa Telnet, FTP oder Verwaltung über unverschlüsseltes HTTP, als „Alarm, wenn offen“: Soron löst einen Alarm aus, sobald ein Scan einen davon findet. Scan-Regeln legen pro Subnetz fest, was geprüft werden darf.
TLS-Zertifikatsaudit
Jeder TLS-Dienst auf einem geprüften Port wird untersucht: Subject, Aussteller, Gültigkeitsdaten, selbstsigniert oder nicht, Schlüssel und Protokollversion (TLS 1.0 bis 1.3). Abgelaufene Zertifikate, Zertifikate, die innerhalb von N Tagen ablaufen, und selbstsignierte Zertifikate lösen Alarme aus, auf Netzwerkgeräten und auf nicht verwalteten Geräten wie Druckern, Kameras, USVs, BMCs oder Hypervisoren.
Firewall-Regelanalyse
Die Regelwerke von Fortinet, Palo Alto Networks, Cisco, Check Point und Juniper werden auf verdeckte, doppelte und widersprüchliche Regeln, any/any-Regeln, unsichere Dienste, undefinierte Namen und Regeln ohne Logging analysiert, mit einer Risikostufe pro Regel, auch bei sehr großen Regelwerken.
Gewichteter Score pro Gerät
Jedes Gerät erhält einen gewichteten Compliance-Score von 0 bis 100: Jede Regel trägt ein Gewicht (0 bis 100) und einen Schweregrad, und die Kritikalität des Geräts zeigt Ihnen, wo Sie anfangen. Die Scores werden pro Gruppe und gesamt verdichtet, mit 365 Tagen Historie, um den Fortschritt zu zeigen.
Unbekannte und nicht autorisierte Geräte
Der zustandslose Discovery-Durchlauf findet jede Adresse, die antwortet. Soron markiert neue und nicht autorisierte Geräte, MAC- und IP-Wechsel sowie verschwundene Geräte. Hosts, die auf SSH antworten, ohne zu verwalteten Geräten zu werden, erscheinen mit dem Grund, ihren offenen Ports und Zertifikaten als nicht verwaltete Geräte, sodass nichts unsichtbar bleibt.
So funktioniert es
Netzwerk anbinden
Installieren Sie ConnectMyAssets, hinterlegen Sie Ihre Subnetze und Scan-Regeln, wählen Sie die zu prüfenden Ports und speichern Sie SSH-Zugangsdaten im Vault. Die Discovery ist ein ultraleichter zustandsloser Durchlauf; die Erfassung ist agentenlos per SSH und liest Konfigurationen und Befehlsausgaben. Auf den Geräten muss nichts installiert werden.
Sicherheitsbewertung durchführen
Bei jedem regelmäßigen Scan werden offene Ports und Zertifikate identifiziert, Konfigurationen gegen Ihre Richtlinien ausgewertet, Firewall-Regelwerke analysiert und die Firmware mit CVEs abgeglichen (CISA KEV, EPSS, EUVD). Die Befunde landen an einem Ort, sortiert nach Schweregrad und Kritikalität der Geräte.
Beheben und verfolgen
Beheben Sie Befunde mit eigenen Skripten (typisierte Variablen, Vorschau, Risikoregeln, Vorher-Nachher-Diff), halten Sie akzeptierte Risiken mit Enddatum fest und sehen Sie beim nächsten Scan, wie sich der Score verbessert. Teilen Sie das Ergebnis mit Exporten und zeitgesteuerten Berichten.
Zugehörige Funktionen der Plattform
Was in Ihrem Netz antwortet, und wie exponiert es ist.
Häufig gestellte Fragen
Häufige Fragen zur Netzwerk-Sicherheitsbewertung
Was ist der Unterschied zwischen einem Schwachstellenscanner und diesem Werkzeug?
Ein klassischer Schwachstellenscanner (etwa Nessus oder Qualys) prüft Geräte von außen und leitet ab, was er aus offenen Ports und Bannern erkennen kann. ConnectMyAssets verbindet eine leichte Außensicht (geprüfte Ports, erkannte Dienste und TLS-Zertifikate) mit der Innensicht: Es meldet sich per SSH an, liest die tatsächliche Konfiguration und Firmware, wertet sie gegen Ihre Richtlinien aus, analysiert Firewall-Regelwerke und gleicht die genaue Firmware mit CVEs ab. Beide Ansätze ergänzen sich.
Welche Sicherheitsrahmenwerke werden abgedeckt (CIS, NIS2, ISO 27001 ...)?
Die Compliance-Kontrollen sind CIS, NIS2, ISO 27001, PCI DSS und DORA zugeordnet und helfen Ihnen, deren Netzwerkanforderungen zu erfüllen. Über den integrierten Katalog hinaus können Sie mit der Bedingungssprache jede Regel schreiben, die Ihre eigene Sicherheitsrichtlinie oder die Empfehlungen Ihrer nationalen Behörde verlangen, und sie den abgedeckten Gerätegruppen zuordnen.
Kann das Werkzeug erkannte Probleme automatisch beheben?
Korrekturen sind bewusst, nie stillschweigend. Schreiben Sie die Korrektur einmal als eigenes Skript mit typisierten Variablen, sehen Sie sie sich auf einem Gerät an, prüfen Sie die von den Risikoregeln markierten Zeilen und führen Sie sie dann auf jedem betroffenen Gerät aus, mit Vorher-Nachher-Diff der Konfiguration pro Gerät und Abbruch nach N Fehlern. Änderungen in der Produktion bleiben unter Ihrer Kontrolle.
Wie verfolge ich die Verbesserung der Sicherheitslage über die Zeit?
ConnectMyAssets bewahrt für jedes Gerät und jede Gruppe 365 Tage Compliance-Historie auf. Dashboards zeigen den aktuellen gewichteten Score, den Durchschnitt des Bestands und Trends, und jede Zahl öffnet die zugrunde liegenden Zeilen. Zeitgesteuerte E-Mail-Berichte senden die Entwicklung wöchentlich oder monatlich an das Management.
Beeinträchtigt die Bewertung Geräte in der Produktion?
Nein. Die Discovery sendet ein TCP-SYN von 44 Byte und ein ICMP-Echo von 36 Byte pro Adresse, öffnet keine Verbindung und hält eine globale Ratenobergrenze ein. Die Erfassung meldet sich per SSH an und liest nur Konfigurationen und Befehlsausgaben. Ein Circuit Breaker pro Zugangsdaten und Gerätefamilie schützt Ihre AAA-Konten, und mit Scan-Regeln können Sie jedes Subnetz sperren oder begrenzen.
Wie exportiere ich die Ergebnisse für ein externes Sicherheitsaudit?
Jede Liste (Compliance-Ergebnisse, offene Ports, Zertifikate, Firewall-Befunde, Schwachstellen) lässt sich als CSV oder NDJSON exportieren, und jede Ansicht und jedes Dashboard lässt sich drucken oder als PDF speichern. Zeitgesteuerte E-Mail-Berichte liefern dieselben Inhalte automatisch an Ihre Prüfer und das Management, begrenzt auf die Gerätegruppen, die sie lesen dürfen.
Finden Sie heraus, wie sicher Ihre Netzwerkgeräte wirklich sind
Offenes Telnet, abgelaufene Zertifikate, any/any-Regeln, Firmware in CISA KEV: Eine Netzwerk-Sicherheitsbewertung von innen findet, was Scanner von außen übersehen, und hilft Ihnen, es unter Kontrolle zu beheben.