# Endpunktdetails

## Endpunkt hinzufügen

1. Klicken Sie auf 'Endpunkt hinzufügen'.
2. Geben Sie als Ziel die zu überwachende URL oder IP-Adresse ein.
3. Vergeben Sie eine Beschreibung und [Tags](https://docs.enginsight.com/docs/bedienung/plattform/tags).
4. Bestätigen Sie, dass Sie berechtigt sind, den Endpunkt zu analysieren.
5. Definieren Sie, was mit Enginsight überwacht werden soll. Aktivieren Sie zu Beginn am Besten alle Features.
6. Wählen Sie mindestens einen Observer, der Observer die Überwachung durchführen soll. Haben Sie als On-Premises-Kunde noch keinen Observer hinzugefügt, [installieren Sie einen Observer](https://docs.enginsight.com/docs/bedienung/plattform/observer#observer-hinzufügen). In der SaaS-Plattform können Sie auch auf zwei bereitgestellte Observer zurückgreifen (Deutschland, USA).
7. Fügen Sie den Endpunkt hinzu.

{% hint style="danger" %}
Ein dauerhaftes Monitoring des Observers kann nur gewährleistet werden, wenn die IP-Adressen, von denen aus die Überwachung stattfindet nicht durch Firewall-Regeln blockiert werden. Schalten Sie die folgenden IP-Adressen ggf. frei, wenn Sie die auf der SaaS-Plattform bereitgestellten Observer nutzen:

164.90.185.111\
164.90.231.250\
142.93.119.55\
142.93.119.52\
138.68.93.235\
138.68.71.130\
139.59.155.98

Optional können Sie alle A-Records von dieser Domain erlauben: observers.enginsight.com
{% endhint %}

## Übersicht

Hier finden Sie eine Auflistung all Ihrer Endpunkte, inklusive aktuellem Risikoscore und zugehörigem Schweregrad.

Mit Klick auf einen Endpunkt gelangen Sie in die ausführliche Detailansicht.

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FPBTzl3hmy9pNjLretbAw%2F%C3%9Cberciht.png?alt=media&#x26;token=54b163fc-a49d-4866-a028-ac383bc461c9" alt=""><figcaption></figcaption></figure>

## Dashboard

Mehrere Fenster geben Ihnen schnell Aufschlüsse über den Sicherheitszustand Ihres Endpunktes.&#x20;

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FaBPjf3sz5iKOEWT56dfw%2Fdashboard.png?alt=media&#x26;token=645fd195-2ca3-48f4-af99-1e9c005b1f24" alt=""><figcaption></figcaption></figure>

Was sich jeweils hinter den Kacheln verbirgt, erfahren Sie im Folgenden:

{% tabs %}
{% tab title="Risikobewertung" %}

<div align="center"><figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FNqLJ47qU68dkdy9IKdD6%2FRisikobewertung.png?alt=media&#x26;token=0ffbbeb8-4580-4f19-9990-82d84c686f5f" alt="" width="392"><figcaption></figcaption></figure></div>

Der Risikoscore berechnet sich über die Kritikalitäten des Common Vulnerability Scoring System  (Critical: 100; High: 50; Medium: 10; Low: 1) und der Anzahl vorliegender CVEs. Die Risikobewertung ermöglicht es Ihnen Endpunkte anhand Ihres vorliegenden Risikos zu priorisieren. Detailliertere Informationen erhalten Sie unter [Assessments](#assessment).
{% endtab %}

{% tab title="SSL/TLS Zertifikat" %}

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FXgAGTNxHo5QCgISVzodZ%2FSSLTLS.png?alt=media&#x26;token=0bb9eb6f-c42b-4757-80cc-0090c6bfc29d" alt="" width="392"><figcaption></figcaption></figure>

Erfahren Sie das Wichtigste über Ihr Zertifikat. Um welche Domain handelt es sich? Wer ist der Aussteller und innerhalb welchen Zeitraums ist Ihr Zertifikat gültig? Genauere Informationen finden Sie unter [SSL/TLS](#ssl-tls).
{% endtab %}

{% tab title="Performance" %}

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2Fqun3SPPYU43jTGdgLpja%2FPerformance.png?alt=media&#x26;token=416b7dae-0afc-49d3-ac54-a0687f5b5455" alt="" width="386"><figcaption></figcaption></figure>

Erfahren Sie von welcher Region Ihre Website aus überwacht wird und Details über Verfügbarkeit, und Offlinezeit. Die angezeigte Antwortzeit entspricht der Dauer eines technischen HTTP-Requests, ohne dass dabei Inhalte wie Bilder oder Skripte geladen werden. Sie dient als Grundlage zur Beurteilung der Server-Reaktionszeit und beinhaltet eine Prüfung des HTTP-Statuscodes.
{% endtab %}

{% tab title="Sicherheitslücken" %}

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FykcSkoxUubSWb6I9z0Zv%2FSicherheitsl%C3%BCcken.png?alt=media&#x26;token=f97e98d1-f96e-49cf-9493-639a98e6c752" alt="" width="387"><figcaption></figcaption></figure>

Nutzen Sie die Liste aller gefundener Schwachstellen, zur Identifizierung von Handlungsbedarf und priorisieren Sie die Bearbeitung besonders kritischer Sicherheitslücken. Einen tieferen Einblick erhalten Sie unter [Sicherheitslücken](#sicherheitsluecken-1).
{% endtab %}

{% tab title="Prüfungen nach Schweregrad" %}

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2F19v1Zizfq7TYVPN8Rz4L%2FPr%C3%BCfungen%20schweregrad.png?alt=media&#x26;token=a846c5c7-514f-4753-b114-8ced52259d81" alt="" width="388"><figcaption></figcaption></figure>

Erkennen Sie auf einen Blick die Häufung der unterschiedlichen Schweregrade der aufgefundenen Schwachstellen.
{% endtab %}

{% tab title="Anwendungen" %}

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FogSOC6YtimVsj7O0OjfL%2Fanwendungen.png?alt=media&#x26;token=6bec9c90-791d-44c0-ae22-55e588817549" alt="" width="394"><figcaption></figcaption></figure>

Erfahren Sie, welche Anwendungen gefunden wurde, für welche die Entwicklung und oder der Service rund um das Produkt eingestellt wurde oder auch ob verfügbare Software-Updates vorliegen.
{% endtab %}

{% tab title="Reputation" %}

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FF2Pyo8P1Eqoy192GwcmI%2Freputation.png?alt=media&#x26;token=d052a744-8b2f-4a15-b35e-f84fee78fc90" alt="" width="395"><figcaption></figcaption></figure>

Erhalten Sie Informationen über direkt oder indirekt vom Webserver im HTML referenzierte IPs, welche anhand von Blocklisten als Malware oder ähnliches markiert wurden.
{% endtab %}

{% tab title="Prüfungen nach Kategorie" %}

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FPdpG69wKZGsm2531vewj%2Fpr%C3%BCfungen.png?alt=media&#x26;token=8eb4a38b-2770-482d-b99f-305efee97c9d" alt="" width="395"><figcaption></figcaption></figure>

Diese Übersicht informiert Sie über das jeweilige Vorkommen der vorliegenden Kategorien.
{% endtab %}

{% tab title="Schadsoftware" %}

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2F0zZBww1N8Nl2isewtCZz%2FDB%20Schadsoftware.png?alt=media&#x26;token=0c84ac5e-3977-48ee-be16-e769b34ef1d5" alt="" width="392"><figcaption></figcaption></figure>

Erfahren Sie, ob und welche Schadsoftware auf Ihrem Endpunkt zu finden ist. Genauere Informationen erhalten Sie unter [Assessment](#assessment).
{% endtab %}
{% endtabs %}

## Assessment

Die Ansicht ermöglicht Ihnen die Suche nach durchgeführten Checks. Erfassen Sie schnell die vorliegende Kritikalität einzelner Checks, sowie deren zugehörige Kategorie, das entsprechende Modul und den erfassten Risikoscore.

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2F9Gp8b02PGg3Vph6lejLC%2FAssessment.png?alt=media&#x26;token=094f41db-87b7-4e17-9aa1-06c4105e66de" alt=""><figcaption></figcaption></figure>

Nutzen Sie die obere Suchzeile oder aber die Filter auf der linken Seite, um sich entsprechende Ergebnisse ausgeben zu lassen. Klicken Sie in der linken Filterleiste auf eine Oberkategorie, um alle Ausprägungen zu markieren oder wählen Sie die gewünschten Filter separat aus der Liste aus.

## Sicherheitslücken

Erhalten Sie eine Übersicht vorliegender Vulnerabilitäten.&#x20;

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2F1CSQyDI6ZAYpE9ALNoWu%2FSicherheitsl%C3%BCcken.png?alt=media&#x26;token=27469ea4-c94d-4a73-a9d1-c29c8ef97a5b" alt=""><figcaption></figcaption></figure>

Am Anfang des Eintrags finden Sie eine Einordnung des Schweregrades. Weiter finden Sie den offiziellen CVSS-Score (Common Vulnerability Scoring System) der vorliegenden CVE (Common Vulnerable Exposure) sowie die zugehörige Software.&#x20;

### Sicherheitslücken appeasen

Nutzen Sie die Multiedit Funktion, um mehrere Einträge mit nur einem Klick zu appeasen. Weiterhin können Sie im Overlay auswählen, ob die spezifischen CVEs ausgewählt werden sollen oder aber alle zugehörigen der folgenden Common Plattform Enumeration.

#### Ausnahmebehandlung hinzufügen&#x20;

1. Markieren Sie einzelne Sicherheitslücken und klicken Sie anschließend auf "Ausnahmebehandlung", im oberen rechten Bildrand. Anschließend öffnet sich das Overlay.
2. Wählen Sie die Kategorie: "Unterdrücken".
3. Geben Sie bei Bedarf ein Kommentar ein, welches anschließend an alle ausgewählten und dem Typ entsprechenden Sicherheitslücken angehangen wird.
4. Unter "Scope" ist nun die "Allgemeine Ausnahmebehandlung" per Default gewählt.
5. Geben Sie anschließend die entsprechenden Werte unter "Hersteller", "Produkt" und "Version" ein. Diese Informationen können Sie ganz leicht aus den CVSS Vector Strings kopieren und an der richtigen Stelle einfügen.

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2Fkj6JSDL7FGYQYuOR87tt%2Fmulti%20edit%20CPE.png?alt=media&#x26;token=7a57ebbf-967e-4f1a-840f-cdc31e0892fc" alt="" width="492"><figcaption></figcaption></figure>

5. Bestätigen Sie Ihre Eingabe durch Klick auf: "Unterdrücken".

#### Unterdrücken

1. Markieren Sie einzelne Sicherheitslücken und klicken Sie anschließend auf "Unterdrücken", im oberen rechten Bildrand. Anschließend öffnet sich das folgende Overlay:

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2Fojk2A6XsNLrkwxqhHByI%2FSicherheitsl%C3%BCcken%20appeasen.png?alt=media&#x26;token=e7a9d83a-3f85-4404-bf3f-b3871090f1f8" alt="" width="491"><figcaption></figcaption></figure>

1. Geben Sie bei Bedarf ein Kommentar ein, welches anschließend an die gewählten Sicherheitslücken angehangen wird.
2. Wählen Sie die Kategorie: "Spezifische CVEs". Darunter finden Sie alle zuvor ausgewählten CVEs aufgelistet.
3. Bestätigen Sie Ihre Eingabe durch Klick auf: "Unterdrücken".

## Einstellungen

Unter Einstellungen finden Sie den Endpunkt, hier können Sie diesem eine Beschreibung hinzufügen. Weiterhin erhalten Sie eine Übersicht zugeordneter Tags oder können diese bei Bedarf ergänzen. Der  Bereich "Regionen" bietet Ihnen Informationen über die Zuordnung des Observers.&#x20;

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FHPdMZbhKfQNeUaWMFekv%2F.Einstellungen.png?alt=media&#x26;token=a6a57330-964d-4130-b178-95e1937080e2" alt=""><figcaption></figcaption></figure>

**Erweiterte Einstellungen**

In den erweiterten Einstellungen können Sie die Option "Human Accessibility" aktivieren. Diese Einstellung legt fest, dass Ihre Website nur dann als erreichbar angezeigt wird, wenn sie den HTTP-Statuscode 200 (OK) zurückgibt. Wenn diese Option aktiviert ist, wird die Website als nicht erreichbar angesehen, wenn sie einen anderen Statuscode (z.B. 404, 500) zurückgibt, selbst wenn der Server technisch erreichbar ist. Wenn Sie diese Option nicht aktivieren, wird nur die technische Erreichbarkeit des Servers berücksichtigt, unabhängig vom zurückgegebenen Statuscode.

**Verantwortlichkeiten**

Wählen Sie einen "Technischen Verantwortlichen" aus, der für die Wartung und den Betrieb des Servers zuständig ist. Diese Person sollte über fundierte technische Kenntnisse verfügen und in der Lage sein, technische Probleme schnell zu lösen.

Zusätzlich sollten Sie einen "Fachlichen Verantwortlichen" aus Ihrer Organisation benennen. Diese Person ist für die inhaltlichen und funktionalen Aspekte des Endpunkts verantwortlich und stellt sicher, dass der Server die geschäftlichen Anforderungen erfüllt.

## BSI

Die Ansicht verrät Ihnen welche Checks Ihr Endpunkt nicht besteht und an welchen Stellen Ihre Konfiguration scheitert. Nutzen Sie diese Information, um das Thema Compliance zielgerichtet angehen können. Arbeiten Sie diese Liste gezielt ab und nutzen Sie diese als Nachweis über rechtliche Konformität.

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FFc4Ob9133kep0D0cvGU6%2FBSI.png?alt=media&#x26;token=76066049-63fe-4e8c-8a41-35eef3b0fd99" alt=""><figcaption></figcaption></figure>

In der Technischen Richtlinie BSI TR-03116-4 gibt das Bundesamt für Sicherheit in der Informationstechnik (BSI) Vorgaben und Empfehlungen zur sicheren SSL/TLS-Konfiguration. Die Richtlinie ist ein guter Indikator zur Bewertung der SSL/TLS-Konfiguration. Prüfen Sie die Compliance Ihres Endpunktes.&#x20;

## Website

Erfahren Sie von welcher Region Ihre Website aus überwacht wird und jegliche Details über Verfügbarkeit, Antwortzeit und Offlinezeit. Der Zeitstrahl darunter zeigt Ihnen die Verfügbarkeit über im Verlauf an. Graue Marker stehen für erreichbare Zeiten Ihrer Website, während pinke Maker Ihnen zeigen, zu welchen Zeiten Ihre Website Probleme hatte.

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FRNwFQYGjqTFSZkJnguM9%2F.Website.png?alt=media&#x26;token=024b1ac6-d15e-4ab1-831e-f2da608b12e9" alt=""><figcaption></figcaption></figure>

## Anwendungen

Nutzen Sie die Übersicht, um alle dem Endpunkt zugehörigen Anwendungen im Blick zu behalten.&#x20;

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FUhg76UJd2VpO7uzddj9S%2FAnwendungen.png?alt=media&#x26;token=2b2b38e9-ed31-4786-b721-7a30f868970f" alt=""><figcaption></figcaption></figure>

Hier finden Sie alle Informationen zur Anwendungsumgebung des Endpunktes, die sich von außen detektieren lässt. Der Observer erstellt ein Footprinting des Endpunktes und untersucht z.B. auf

* CMS,
* Web Server,
* Frameworks oder
* Libraries.

Je mehr Informationen ein Endpunkt über die verwendeten Technologien preisgibt, desto mehr Ansatzpunkte bieten sich Hackern, gezielte Attacken auf die Anwendungen zu fahren. Im Idealfall ist ein Endpunkt so konfiguriert und programmiert, dass sich wenig über die technische Basis erfahren lässt.

Alle aufgespürten Anwendungen werden Ihnen in einer übersichtlichen Liste präsentiert. Sie erhalten eine Einschätzung, wie sicherheitskritisch es ist, die Anwendung von außen zu erkennen.&#x20;

{% hint style="danger" %}
Achten Sie darauf, Ihre Anwendungen möglichst aktuell zu halten, um die Sicherheit Ihrer Systeme zu gewährleisten.
{% endhint %}

Vor diesem Hintergrund haben wir uns für die folgende Kategorisierung entschieden:

* **HIGH:** \
  **Backend-relevante Technologien, die ein hohes Risiko für schwerwiegende Attacken darstellen.** z.B. CMS, Wikis, Blogs, Ecommerce, CI, Programming languages, Databases, Runtimes, Operating systems, Message boards, Web server extensions, Hosting panels, Issue trackers
* **MEDIUM:** \
  **Technologien mit mittlerem Risikograd.** z.B. Webserver, Development, Managed CMS
* **LOW:** \
  **Sonstige Technologien** z.B. UI Frameworks oder JavaScript Libraries

**Falls keine Version erkennbar ist, reduziert sich die Kritikalität. Backend-relevante Technologien erhalten ein Medium-Rating, als Medium kategorisierte Apps ein Low-Rating.**

Als Nachweis erfahren Sie, wo der Observer die Anwendung erkannt hat: in einem HTTP-Header, einem Cookie oder im Code der Webseite selbst.

Werden zur detektierten Version bekannte Sicherheitslücken (CVE) festgestellt, sind diese in der Liste angegeben. Alle Sicherheitslücken von Anwendungen sind auch nochmals unter [Sicherheitslücken](https://docs.enginsight.com/docs/bedienung/plattform/endpunkte/endpunktdetails#sicherheitsluecken) gesondert gelistet.

## Domain Name System

Mit dem Domain Name System (DNS) konfigurieren Sie verschiedene Aspekte Ihrer Domain. DNS ist zum Beispiel notwendig, um der Domain die passende IP zuzuordnen. Für den reibungslosen Betrieb der Webseite ist eine ordnungsgemäße Konfiguration notwendig. Überwache Sie Ihre DNS-Einstellungen mit dem Monitoring Ihrer DNS-Records.

Alle DNS-Records erhalten Sie in einer übersichtlichen Liste. Darüber hinaus überprüft Enginsight spezifische, sicherheitsrelevante DNS-Records.

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2F0clH6dzBH0n9wCIIKTgr%2FDNS.png?alt=media&#x26;token=6eabe081-36b9-4db9-833b-8990e94430a7" alt=""><figcaption></figcaption></figure>

### DNS Validierungstests <a href="#dns-validierungstests" id="dns-validierungstests"></a>

Um den Missbrauch Ihrer Domain zu verhindern und die SSL/TLS-Verbindung abzusichern, sollten Sie speziell dafür entwickelte DNS-Records einsetzen: CAA, SPF, DMARC. Der Observer überprüft daher gezielt auf diese drei Records.&#x20;

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FDBfYOsYHSqerR5rB1dxK%2FRecord%20validierung.png?alt=media&#x26;token=504a435e-d26b-4f56-8ed8-dbcd33b88992" alt=""><figcaption><p>Bei diesem Endpunkte fehlen alle drei DNS-Records.</p></figcaption></figure>

#### CAA-Record (Certification Authority Authorization) <a href="#caa-record-certification-authority-authorization" id="caa-record-certification-authority-authorization"></a>

Mit einem CAA-Record legt der Domaininhaber fest, welche Certificate Authority Authorization ein SSL/TLS-Zertifikat ausstellen darf. Der Observer prüft auf:

* **Fehlende Kontaktadresse für DNS CAA** \
  Es ist keine Kontaktadresse vergeben (iodef).
* **Ungültige Kontaktadresse für DNS CAA** \
  Die Kontaktadresse (iodef) enthält für E-Mails ungültige Zeichen und/oder ein ungültiges E-Mail-Format (nicht <abc@def.com>)
* **Unkonventionelle Zertifizierungsstelle** \
  Die verwendete Zertifizierungsstelle (issue, wildissue) befindet sich nicht auf unserer Whitelist. Diese umfasst: letsencrypt.org, globalsign.com, sectigo.com, camerfirma.com, accv.es, actalis.it, amazon.com, pki.apple.com, atos.net, buypass.com, aoc.cat, certigna.fr, [www.certinomis.com](http://www.certinomis.com), ecert.gov.hk, certsign.ro, certum.pl

#### SPF-Record (Sender Policy Framework) <a href="#spf-record-sender-policy-framework" id="spf-record-sender-policy-framework"></a>

Das SPF-Protokoll ermöglicht, IP-Adresse zur Versendung von E-Mails mit der Domain zu berechtigen. So kann Dritten untersagt werden, den Domainnamen missbräuchlich zu verwenden. Der Record ist effektiv, um Phishing-Mails mit der Domain zu verhindern. Wir validieren:

* **Veraltete SPF-Version** \
  Check der verwendeten SPF-Version (v), momentan existiert lediglich SPF1.
* **Mehrere SPF-Einträge vorhanden** \
  Nutze niemals mehrere SPF-Einträge. Fasse stattdessen mehrere SPF in einem einzigen Eintrag zusammen.
* **SPF-Eintrag enthält Zeichen nach ALL** \
  Nach dem fakultativen ALL-Eintrag dürfen keine weiteren Einträge folgen.
* **Fehlerhafte SPF Syntax** \
  Der Eintrag enthält unbekannte Einträge (bekannt sind: spf1, mx, ip4, ip6, exists, include, all, a, redirect, exp, ptr) und/oder unerlaubte Zeichen.

#### DMARC-Record (Domain-based Message Authentication, Reporting and Conformance) <a href="#dmarc-record-domain-based-message-authentication-reporting-and-conformance" id="dmarc-record-domain-based-message-authentication-reporting-and-conformance"></a>

Der DMARC-Record legt ein Vorgehen fest, was unternommen werden soll, wenn die Domain von einer nicht berechtigten IP zum Versenden einer E-Mail verwendet wird. Enginsight checkt:

* **Ungültige DMARC Policy** \
  Die DMARC Policy (p) hat keinen gewöhnlichen Wert. Gewöhnliche Werte sind: *none:* Das Versenden der E-Mails wird nicht beeinträchtigt. Du erhältst lediglich eine Benachrichtigung. *quarantine:* E-Mails, welche die DMARC-Überprüfung nicht bestehen, landen beim Empfänger im Spam-Ordner. *reject:* E-Mail, welche die DMARC-Überprüfung nicht bestehen, sollen vom Empfänger zurückgewiesen werden.
* **Ungültige DMARC Subdomain Policy** \
  Die DMARC Subdomain Policy (sp) hat keinen gewöhnlichen Wert (Werte siehe: DMARC Policy)
* **Ungültige DMARC prozentuale Filterangabe** \
  Mit der optionalen prozentualen Filterangabe (pct) kann festgelegt werden, wieviel Prozent der Nachrichten einer Filterung unterzogen werden. Der Wert muss daher zwischen 1 und 100 liegen.
* **Ungültige DMARC Adresse für Report-Emails** \
  Die Report-E-Mailadresse enthält ungültige Zeichen oder ein ungültiges E-Mail-Format (nicht <abc@def.com>)
* **Ungültige DMARC Protokollversion** \
  Die Version von DMARC (v) muss DMARC1 lauten.

{% hint style="info" %}

#### Alarme: Ungültiger SPF DNS-Record, Ungültiger CAA DNS-Record <a href="#alarme-ungueltiger-spf-dns-record-ungueltiger-caa-dns-record" id="alarme-ungueltiger-spf-dns-record-ungueltiger-caa-dns-record"></a>

Um unmittelbar Meldung über fehlerhafte DNS-Records zu erhalten, schalten Sie Alarme auf Ihre Endpunkte. Mit dem Alarm „Ungültiger CAA DNS-Record“ können Sie sich über fehlerhafte CAA DNS-Records informieren lassen. Der Alarm „Ungültiger SPF DNS-Record“ warnt bei fehlerhaftem SPF-Record.
{% endhint %}

## HTTP-Header

Hier erhalten Sie eine Analyse und Bewertung der von Ihnen über HTTP-Header vorgenommen Konfiguration der HTTP-Verbindung.

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FcLG8aEfUcgRYZvMImswi%2FHTTP%20Header.png?alt=media&#x26;token=3917c23c-aead-42f3-a6be-411f6c3fd9e1" alt=""><figcaption></figcaption></figure>

### Gesetzte HTTP-Header <a href="#gesetzte-http-header" id="gesetzte-http-header"></a>

Alle gesetzten HTTP-Header werden in einer Übersicht gelistet und bewertet:

* *OK:* Die HTTP-Konfiguration entspricht den Empfehlungen.
* *Vermeidbarer HTTP-Header:* Die vorgenommene Konfiguration gibt unnötigerweise viele Informationen preis und macht die HTTP-Verbindung dadurch potenziell angreifbar.
* *Unbekannter HTTP-Header:* Es wurde ein unbekannter HTTP-Header erkannt, der potenziell Informationen preisgibt. Bitte überprüfen Sie die Notwendigkeit des HTTP-Headers und entfernen Sie ihn gegebenenfalls.

### Test auf erforderliche HTTP-Header <a href="#test-auf-erforderliche-http-header" id="test-auf-erforderliche-http-header"></a>

Es wird überprüft, ob alle für die Sicherheit wichtigen Header gesetzt wurden. Das sind:

| Name                      | Empfehlung                                                                                                                                    | Beschreibung                                                                                                                                                                                        |
| ------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Content-Security-Policy   |                                                                                                                                               | Die HTTP Content-Security-Policy regelt welche Ressourcen in einer bestimmten Art und Weise im Browser geladen bzw. ausgeführt werden können.                                                       |
| Expect-CT                 | max-age=0                                                                                                                                     | Der Expect-CT (Certificate Transparency) HTTP-Header legt fest, wie die CT Policy angewandt werden soll.                                                                                            |
| Feature-Policy            | accelerometer 'none'; camera 'none'; geolocation 'none'; gyroscope 'none'; magnetometer 'none'; microphone 'none'; payment 'none'; usb 'none' | Die Feature-Policy bestimmt, welche Funktionen oder APIs eines Browsers verwendet werden dürfen.                                                                                                    |
| Referrer-Policy           | no-referrer-when-downgrade                                                                                                                    | Die Referrer-Policy stellt sicher, dass Referrer Informationen nur unter bestimmten Bedingungen gesendet werden dürfen.                                                                             |
| Strict-Transport-Security | <p>max-age=31536000;</p><p>includeSubDomains</p>                                                                                              | Die HTTP Strict Transport Security (HSTS) ist ein Sicherheitsmechanismus für HTTPS-Verbindungen, der sowohl vor Aushebelung der Verbindungs-verschlüsselung als auch vor Session Hijacking schützt. |
| X-Content-Type-Options    | nosniff                                                                                                                                       | Der einzige definierte Wert “nosniff” untersagt dem Internet Explorer durch MIME-Sniffing einen anderen als den deklarierten Inhaltstyp zu bestimmen und anzuwenden.                                |
| X-Frame-Options           | <p>DENY</p><p>(SAMEORIGIN)</p><p>(ALLOW-FROM <https://example.com/>)</p>                                                                      | Die X-Frame-Options können verwendet werden, um zu bestimmen, ob ein aufrufender Browser die Zielseite in einem \<frame>, \<iframe> oder \<object> rendern also einbetten darf.                     |
| X-XSS-Protection          | <p>1;</p><p>mode=block</p>                                                                                                                    | Die X-XSS-Protection kann Browsern untersagen eine Zielseite zu laden, sofern eine Cross-Site Scripting (XSS) Attacke erkannt wird.                                                                 |

Sollten Header nicht korrekt gesetzt sein, wird eine Empfehlung ausgegeben.

## Offene Ports

Hier können Sie Ihre Ports analysieren, die durch den Observer erreichbar sind. Die Bewertung (low, medium, high) gibt Ihnen an, ob die Ports üblicherweise öffentlich erreichbar sein sollten.

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FoyUhi4KYcJNiSTk7MUFb%2FOffene%20Ports.png?alt=media&#x26;token=e8c2c1a6-1cf5-43c0-a418-469a0719e9a5" alt=""><figcaption></figcaption></figure>

Der Observer überprüft die folgenden gewöhnlichen Ports:

| Port  | IANA Service  |
| ----- | ------------- |
| 21    | ftp           |
| 22    | ssh           |
| 23    | telnet        |
| 25    | smtp          |
| 53    | domain        |
| 80    | http          |
| 106   | 3com-tsmux    |
| 110   | pop3          |
| 111   | sunrpc        |
| 123   | ntp           |
| 135   | epmap         |
| 137   | netbios-ns    |
| 138   | netbios-dgm   |
| 139   | netbios-ssn   |
| 143   | imap          |
| 161   | snmp          |
| 389   | ldap          |
| 443   | https         |
| 445   | microsoft-ds  |
| 465   | urd           |
| 587   | submission    |
| 993   | imaps         |
| 995   | pop3s         |
| 1433  | ms-sql-s      |
| 1512  | wins          |
| 1723  | pptp          |
| 2222  | EtherNet-IP-1 |
| 2483  | ttc           |
| 2484  | ttc-ssl       |
| 3306  | mysql         |
| 3389  | ms-wbt-server |
| 4369  | epmd          |
| 5432  | postgresql    |
| 5666  | nrpe          |
| 5672  | amqp          |
| 5984  | couchdb       |
| 6379  | redis         |
| 8080  | http-alt      |
| 8443  | pcsync-https  |
| 8983  | apache solr   |
| 27017 | mongodb       |

Mit dem Endpunkt-Alarm "Neuer offener Port" können Sie einen Alarm schalten, sobald der Observer einen neuen offenen Port detektiert.

## SSL/TLS

Erhalten Sie Einblicke in Ihre SSL/TLS-Konfigurationen und überprüfen Sie, ob die Verschlüsselung den aktuellen Sicherheitsstandards entspricht.

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FPC3ltC0UBgdQhUXpBhCB%2FSSL%20TLS.png?alt=media&#x26;token=d9028ebc-0bbe-4f96-8bd5-de1bc9f496f2" alt=""><figcaption></figcaption></figure>

### Zertifikat <a href="#zertifikat" id="zertifikat"></a>

Entnehmen Sie der Übersicht Informationen zum verwendeten Zertifikat, z.B. über die Gültigkeit, den verwendeten öffentlichen Schlüssel, welcher Domain das Zertifikat zugeordnet wurde und welche Zertifizierungsstelle es ausgestellt hat.

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FmkMiO2ajp9Tugiw1Yf9C%2Fzertifikat.png?alt=media&#x26;token=7002176b-82b8-46e4-83c2-8128afbc75f7" alt=""><figcaption></figcaption></figure>

### Web-Verschlüsselungs-Checks

Unsere Security Checks überprüfen die SSL/TLS-Verschlüsselung auf bekannte Schwachstellen, die durch Fehlkonfigurationen oder die Verwendung veralteter Technologien entstehen.&#x20;

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FxvlYoZIpL0PgZgfvRCgP%2FWeb%20verschl%C3%BCsselungschecks.png?alt=media&#x26;token=541a5f80-ff5b-42d1-bcab-3051f6f0ecef" alt=""><figcaption></figcaption></figure>

Unsere Security Checks überprüfen die SSL/TLS-Verschlüsselung auf bekannte Schwachstellen, die durch Fehlkonfigurationen oder die Verwendung veralteter Technologien entstehen. Dies sind:

| Titel                                                                       | Beschreibung                                                                                                                                                                                                                                |
| --------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Unterstützt SSL/TLS Kompression                                             | Von der Verwendung der Kompression wird abgeraten, da sie SSL/TLS angreifbar macht (insbesondere für CRIME, Compression Ratio Info-leak Made Easy).                                                                                         |
| Keine Unterstützung für Secure Renegotiation                                | Secure Renegotiation stellt sicher, dass keine Überlastung möglich ist, wenn ein Client ständig neue Schlüssel anfordert. Anfragen werden dann geblockt und eine DDos-Attacke verhindert.                                                   |
| Unterstützt schwache SSL/TLS Chiffre                                        | SSL/TLS-Chiffren legen fest, mit welchen Verschlüsselungsalgorithmen Schlüssel getauscht werden und wie die Kommunikation abgesichert wird. Werden unsichere SSL/TLS-Chiffren angeboten, ist die hergestellte Verbindung nicht mehr sicher. |
| Schwacher Diffie-Hellman Parameter                                          | Es wird eine unsichere Schlüsselaustausch-Methode verwendet.                                                                                                                                                                                |
| Unterstützt anonyme Chiffren                                                | Anonyme Chiffren sind unsicher und sollten nicht verwendet werden.                                                                                                                                                                          |
| Unterstützt gefährdete Chiffren                                             | Chiffren, die unsichere kryptographischer Verfahren beinhalten, sollten nicht angeboten werden.                                                                                                                                             |
| Unsicheres SSL/TLS Protokoll                                                | Es sollten nur sichere Protokolle zur Verschlüsselung angeboten werden.                                                                                                                                                                     |
| Anfällig für NULL Pointer Dereference                                       |                                                                                                                                                                                                                                             |
| Anfällig für DROWN                                                          | Mit Hilfe des veralteten SSLv2 lässt sich aufgezeichneter TLS-Traffic knacken.                                                                                                                                                              |
| Anfällig für FREAK                                                          | Bei einer FREAK-Attacke werden die Kommunikationspartner dazu gebracht, sich auf eine unsichere Verschlüsselungsmethode zu einigen, obwohl sichere Verfahren zu Verfügung stehen.                                                           |
| Unterstützt nicht das neuste Protokoll (TLSv1.3)                            | Das neuste und sicherste Protokoll TLSv1.3 wird nicht unterstützt.                                                                                                                                                                          |
| Anfällig für Logjam Attacken                                                | Indem eine Schwachstelle im Diffie-Hellman-Schlüsselaustausch ausgenutzt wird, kommen Angreifer an die geheimen Schlüssel.                                                                                                                  |
| Chiffre unterstützt MD5                                                     | MD5 gilt nicht mehr als ausreichend sicher und sollte daher nicht verwendet werden.                                                                                                                                                         |
| Unterstützt Null-Chiffren-Verschlüsselung                                   | Eine Null-Chiffre bedeutet, es wird gar keine Verschlüsselung verwendet. Dies ist jenseits von Testzwecken niemals zu empfehlen.                                                                                                            |
| Unterstützt für Poodle-Attacken anfällige Chiffren                          | Poodle-Attacken nutzen eine Sicherheitslücke in SSL 3.0, sodass verschlüsselte Informationen einer SSL 3.0 Verbindung offen gelegt werden können.                                                                                           |
| Unterstützt RC4 Chiffren                                                    | RC4 gilt nicht mehr als ausreichend sicher und sollte daher nicht verwendet warden.                                                                                                                                                         |
| Anfällig für SLOTH Attacke                                                  | Schwache Hashfunktionen (MD5, SHA-1) erlauben eine SLOTH (Security Losses from Obsolete and Truncated Transcript Hashes) Attacke.                                                                                                           |
| Anfällig nach Maßgabe des BSI                                               | Die SSL/TLS-Verschlüsselung entspricht nicht den Maßgaben des BSI (Bundesamt für Sicherheit in der Informationstechnik).                                                                                                                    |
| Keine Unterstütztung für Perfect Forward Secrecy (PFS)                      | Perfect Forward Secrecy stellt sicher, dass der jeweils neu ausgehandelte Sitzungsschlüssel nicht aus dem Langzeitschlüssel rekonstruiert werden kann.                                                                                      |
| Keine Unterstützung für Authenticated Encryption (AEAD) Chiffren            |                                                                                                                                                                                                                                             |
| Anfällig für Sweet32 Attacken                                               | Die Stream-Chiffre RC4 macht die Verbindung anfällig für Sweet32 Attacken.                                                                                                                                                                  |
| Unterstützt schwache Protokolle                                             | Schwache, veraltete Protokolle gefährden die Sicherheit der SSL/TLS-Verbindung.                                                                                                                                                             |
| Kein Zertifikatsaussteller ermittelbar                                      | SSL/TLS-Zertifikate werden von Certification Authoritys (CA) herausgegeben. Der Herausgeber muss ermittelbar sein.                                                                                                                          |
| Zertifikat CRL nicht erreichbar                                             |                                                                                                                                                                                                                                             |
| Zertifikatssignatur nicht entschlüsselbar                                   | Die Signatur eines Zertifikats ermöglicht es einem Dritten die Identität des Zertifikatsbesitzers zu bestätigen. Sie sollte daher lesbar sein.                                                                                              |
| CRL Signatur nicht entschlüsselbar                                          |                                                                                                                                                                                                                                             |
| Öffentlicher Schlüssel nicht dekodierbar                                    | Der öffentliche Schlüssel (public key) dient dazu, einen sicheren Schlüsselaustausch zu ermöglichen. Er sollte daher dekodierbar sein.                                                                                                      |
| Ungültige Zertifikatssignatur                                               |                                                                                                                                                                                                                                             |
| Ungültige CRL (Certificate Revokation List) signature                       |                                                                                                                                                                                                                                             |
| Ungültiges Zertifikat                                                       | Ungültigen Zertifikaten wurde das Vertrauen entzogen. Sie sollten nicht mehr verwendet werden.                                                                                                                                              |
| Ungültiges Ablaufdatum des Zertifikats                                      | Das Ablaufdatum des verwendeten Zertifikats ist nicht korrekt.                                                                                                                                                                              |
| Ungültige CRL (Certificate Revokation List)                                 | Die verwendete Zertifikatsperrliste ist ungültig.                                                                                                                                                                                           |
| Ablauf der Gültigkeit der CRL (Certificate Revokation List)                 | Der Gültigkeitszeitraum der verwendeten Zertifikatsperrliste ist abgelaufen.                                                                                                                                                                |
| Formatfehler im notbefore Feld des Zertifikats                              | Das notbefore-Feld enhält eine ungültige Zeit.                                                                                                                                                                                              |
| Formatfehler im notafter Feld des Zertifikats                               | Das notafter-Feld enhält eine ungültige Zeit.                                                                                                                                                                                               |
| Formatfehler im Feld lastupdate von crl                                     | Das lastupdate-Feld enhält eine ungültige Zeit.                                                                                                                                                                                             |
| Selbstsigniertes Zertifikat                                                 | Selbst signierte Zertifikate sind nicht in der Lage die Authentizität zu bestätigen und daher nicht zu empfehlen.                                                                                                                           |
| Selbstsigniertes Zertifikat in der Zertifikatskette                         | Selbst signierte Zertifikate sind nicht in der Lage die Authentizität zu bestätigen und daher nicht zu empfehlen                                                                                                                            |
| Lokales Aussteller-Zertifikat nicht verfügbar                               |                                                                                                                                                                                                                                             |
| Das erste Zertifikat konnte nicht verifiziert werden                        |                                                                                                                                                                                                                                             |
| Zertifikatskette zu lang                                                    |                                                                                                                                                                                                                                             |
| Zertifikat widerrufen                                                       | Das verwendete Zertifikat wurde widerrufen und sollte nicht mehr verwendet werden.                                                                                                                                                          |
| Ungültiges CA-Zertifikat                                                    | Das von der Zertifizierungsstelle (Certificate Authority) ausgegebene Zertifikat ist ungültig.                                                                                                                                              |
| Pfadlängenbeschränkung überschritten                                        |                                                                                                                                                                                                                                             |
| Nicht unterstützter Zertifikatszweck                                        |                                                                                                                                                                                                                                             |
| Zertifikat ist nicht vertrauenswürdig                                       | Das verwendete Zertifikat wird als nicht vertrauenswürdig angesehen.                                                                                                                                                                        |
| Zertifikat abgelehnt                                                        | Das verwendete Zertifikat verursacht Probleme und wird daher abgelehnt.                                                                                                                                                                     |
| Abweichung zwischen Zertifizierungsstelle und Aussteller                    | Zertifizierungsstelle und Aussteller passen nicht zusammen.                                                                                                                                                                                 |
| Abweichung zwischen Zertifizierungsstelle und Seriennummer des Ausstellers  | Zertifizierungsstelle und Seriennummer des Ausstellers passen nicht zusammen.                                                                                                                                                               |
| Die Schlüsselverwendung berücksichtigt nicht das Signieren von Zertifikaten |                                                                                                                                                                                                                                             |
| Abgelaufenes Zertifikat                                                     | Wenn das Zertifikat abgelaufen ist, wird es ungültig und du kannst keine sicheren Transaktionen mehr durchführen.                                                                                                                           |

{% hint style="info" %}
Es kann vorkommen, dass in Enginsight ein Zertifikat als nicht verifizierbar markiert wird, obwohl Ihr Browser keine Fehlermeldung ausgibt, wenn Sie die Domain dort aufrufen. Dabei handelt es sich um keinen False Positive. In diesem Fall hat Ihr Browser die Zertifikatkette einer gängigen Certification Authority (CA) gecasht, weshalb er die Zertifikatskette nachvollziehen kann. Es handelt sich dennoch um keine korrekte Konfiguration Ihrer SSL/TLS-Verschlüsselung, da der Verweis auf das Root Zertifikat in der Zertifikatskette fehlt.
{% endhint %}

### Unterstützte Protokolle <a href="#unterstuetzte-protokolle" id="unterstuetzte-protokolle"></a>

Sie erhalten eine Übersicht aller unterstützten Protokolle, die mit der Best Practice abgeglichen werden. Ein Rating gibt an, wie kritisch Abweichungen von der Empfehlung sind.

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FJwTNiaG7IOqsUIExmmi2%2FProtokolle%20.png?alt=media&#x26;token=050631e6-b5cd-48a6-aa6c-693db2cb480e" alt=""><figcaption></figcaption></figure>

{% hint style="info" %}
Das Label "OK" bedeutet, dass die Zertifikate aus sicherheitstechnischer Sicht den aktuellen Standards entsprechen und keine kritischen Sicherheitslücken aufweisen.
{% endhint %}

### Unterstützte Chiffren

Sie erhalten eine Übersicht aller unterstützten Chiffren, die mit der Best Practice abgeglichen werden. Ein Rating gibt an, wie kritisch Abweichungen von der Empfehlung sind.

<figure><img src="https://3532046264-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTMe1v0eboWCAUTQHbT-3758922206%2Fuploads%2FZLedz0fPQL7hucmwUzlw%2FUnterst%C3%BCtzt%20Chiffren.png?alt=media&#x26;token=a946ee34-e34b-40c5-bdd7-576adbfa7ca4" alt=""><figcaption></figcaption></figure>