Key Takeaways

• Manual attack surface discovery is time-consuming and incomplete—many organizations spend over 80 hours just identifying assets, often missing up to 20% of their exposure.
• Automated tools like Recorded Future’s Attack Surface Intelligence streamline visibility and help prioritize risks based on threat relevance and business context.
• Effective attack surface defense requires more than visibility—it demands clear workflows, risk reduction strategies, and alignment with business objectives.

How to Defend Your Attack Surface

In today’s digital-first world, organizations are rapidly expanding their online footprint—spinning up cloud instances, deploying web apps, and enabling remote access across global teams. While this digital transformation fuels innovation and growth, it also introduces a complex and constantly shifting attack surface—the totality of internet-facing assets that could be exploited by cyber attackers.

Managing your attack surface is the practice of continuously identifying, monitoring, and reducing exposure to these potential entry points. Without full visibility into what assets exist (and where), security teams risk missing critical vulnerabilities—especially as assets appear, change, or disappear faster than traditional inventory systems can track. Modern attack surface defense strategies go beyond manual scanning and static asset lists. They require dynamic, automated tools that integrate with cyber threat intelligence to help prioritize what truly matters—like exposed admin panels, misconfigured cloud environments, and assets targeted by active threat actors.

In the following interview, Matt Bittick, Head of the Attack Surface Risk Management program at Cummins, shares how his team transitioned from labor-intensive asset discovery to a scalable, intelligence-driven approach using Recorded Future. He explains why visibility is only the beginning, and how effective attack surface management helps reduce real-world risk in measurable ways.

Initiativen zur digitalen Transformation in allen Branchen und Unternehmen haben zu einem Anstieg der Komplexität und des Umfangs der Internet-Aktivitäten geführt. Diese Veränderung wirft die Frage auf, wie Sicherheitsteams Prozesse um Assets herum aufbauen können, die sie nicht sehen können oder von deren Existenz sie nicht einmal wissen.

Wir haben uns mit Matt Bittick, dem Leiter des Attack Surface Risk Management-Programms bei Cummins, getroffen, um Strategien und Methoden zum Schutz Ihrer wachsenden digitalen Angriffsfläche zu besprechen und darüber, wie die Verwendung von Recorded Future bei der Priorisierung und Risikominderung helfen kann.

(Recorded Future) Wie haben Sie versucht, Ihre Angriffsfläche zu sichern, bevor Sie Recorded Future verwendet haben?

(Matt) In mühevoller Kleinarbeit. Die Verwendung von Open-Source-Tools ist mehr oder weniger der einfachste Weg. Wir versuchen, aus unserem Bestandsverwaltungssystemen zu erfahren, was den Unternehmen bekannt war. Da war nicht viel zu holen aber von da an arbeiten wir weiter. Häufiger Einsatz von Nmap, Kali Linux, auch selbstgebauter Tools. Wir schnüffelten herum und versuchen einfach, herauszufinden, was überhaupt dazugehören könnte. Es war sehr arbeitsintensiv.

Viele Unternehmen benötigen über 80 Stunden, um ihre Angriffsfläche zu sichten. Haben Sie das auch festgestellt?

Ja, das ist genau richtig, wir haben festgestellt, dass wir im Durchschnitt etwa 80 Stunden damit verbringen. Ein altes Sprichwort in der Welt der Information besagt, dass Informationen, die weder zeitnah verfügbar sind noch zu umsetzbaren Resultaten führen, nichts als veraltete Nachrichten sind. Es ist also alles andere als ideal, so viel Zeit damit zu verbringen, etwas in einem Bereich zu suchen, der so dynamisch wie Ihre Angriffsfläche ist.

Enjoying what you’re reading so far? Watch the full fireside chat video!

After implementing Recorded Future Attack Surface Intelligence, how has that helped improve your visibility and efficiency?

Immens. Wir haben über den Effizienzaspekt gesprochen und über all die Arbeit, die allein für die Bestandsaufnahme und Zuordnung anfällt. Das ist doch erheblich, oder? Das können wir jetzt auslassen und am nächsten Morgen stehen alle Infos für mich bereit. Ich kann reinkommen und weiß, wie die Angriffsfläche aussieht, weil die Erkundung schon erledigt ist. Ich muss nicht den ganzen Tag in der Befehlszeile herumtüfteln, nur um ein paar Assets zu finden.

Hier ist ein großer Unterschied: Im Vergleich zu meiner Anfangszeit, als wir dies noch manuell durchführten, zu jetzt, wo ich in meine Fähigkeiten bei der Aufklärung vertraue, gab es immer noch etwa 20 % der Angriffsfläche, die ich trotzdem nicht finden konnte.

Dafür gibt es mehrere Gründe, aber ich bin auch davon überzeugt, dass jeder Cyberkriminelle, der böswillig Organisation ausnutzt, wahrscheinlich besser darin ist als ich. Wir wollen also das bestmögliche Bild erzeugen, und dafür finde ich das Produkt unglaublich wertvoll.

Was gehört Ihrer Meinung nach zu einem erfolgreichen Programm für Attack Surface Risk Management?

You know it's a really great question, and I think visibility, asset inventory, and the mapping is the start of your journey. We believe that you need workflows, you need processes, and you need ways of handling that. So to be successful, you need to not only know what your problems are, but also how to deal with them.

Wir haben zwei Hauptproblemstellungen, wenn wir dieses Problem der Angriffsfläche betrachten:

• Was ist unsere Angriffsfläche?
• Und anschließend: wie sichern wir sie?

Es gibt auch eine Reihe von Maßnahmen, die man ergreifen kann, sei es zur Behebung oder zur Reduzierung. Wir lieben Reduktion. Wenn es nicht online sein darf, großartig. Nehmen wir es runter.

Wie würden Sie beschreiben, wie wichtig es ist, Ihre digitale Angriffsfläche zu schützen, und welche Rolle Recorded Future dabei spielt?

I think there's kind of a three-pronged approach when you're showing the importance of an attack surface program to your CISO. First, I always try to paint a picture for the CISO. The organization is their castle, right? And they're sitting there defending it. I think the best way to even pitch the idea of attack surface to a CISO is to show what it is and come prepared with the measurement of this is how much of your castle is just open. Is there a big old hole in the wall? If 50% of the castle's penetrable or just has an open door, there's not much point to the castle.

Der zweite Teil besteht darin, zu zeigen, wie Sie darauf reagieren werden, und die Prozesse zu präsentieren, die Sie aufbauen, und die Art und Weise, wie Sie das tun werden. Ich denke, hier kommt Recorded Future ins Spiel, sowohl beim Präsentieren der ursprünglichen Angriffsfläche, sowie bei der Erklärung des Mehrwerts von Recorded Future. Was ich für wirklich wichtig halte, ist die Tatsache, dass Recorded Future Attack Surface Intelligence mehr als integriert ist, es ist Teil unserer Plattform für Cyber-Bedrohungsinformationen, sodass wir diese Risikobewertung auf die nächste Stufe heben können.

Wenn man zwei verschiedene Schwachstellen betrachtet, die möglicherweise beide per CVSS als kritisch eingestuft werden – welche ist dann wichtiger? Nun, wahrscheinlich ist es die APT, die sich für Ihre Art von Organisation oder Branche interessiert und die Teil ihrer TTPs ist oder aktiv in Ihrer Bedrohungslandschaft eingesetzt wird. Das wollen wir unbedingt als erstes angehen. Wenn Sie zeigen können, wie Sie Ihre Prioritäten in einer Umgebung mit beschränkten Ressourcen anordnen, ist das meiner Meinung nach der Schlüssel. Ich bin mir sicher, dass es niemanden im Publikum gibt, der der Meinung ist, genug Ressourcen zu haben.

Der dritte Teil besteht darin, den Wert aufzuzeigen, den es für Ihr Unternehmen hat. Sobald man diese Prozesse hochfährt – das Kartieren der Angriffsfläche, die Messungen, wenn man sich dem Umfang und der Probleme bewusst – dann kann man darstellen, welcher Wert darin liegt, die gesamten Angriffsfläche zu reduzieren. Deshalb bezeichnen wir meine Rolle als Risikominderung, denn wir zeigen, dass sich unsere Angriffsfläche vielleicht vergrößert, aber unser Risikoprofil sich verengt. Und das ist der Punkt, an dem man den Wert eines Tools und Programms für Angriffsoberflächen erkennen kann.

Und noch etwas: Ich finde nicht, dass man alle drei Dinge in einer Präsentation erledigen muss. Das entwickelt sich im Laufe der Zeit – so war auf jeden Fall bei uns. Als ich anfing, hatten wir das Problem: „Hey, wir haben eine Angriffsfläche. Wir wissen nicht, wie sie aussieht. Wir wissen nicht, was wir dagegen tun sollen.“ Es brauchte also eine ganze Menge Vorarbeit, um diese Punkte zu erreichen. Und das ist okay, solange man diese Kontaktpunkte mit seinem CISO aufrechterhält und ihm dabei hilft, das Risiko zu verstehen und was passieren könnte, wenn man nichts dagegen unternimmt.

Warum stellen exponierte Admin-Panels ein großes Risiko für Ihre Angriffsfläche dar?

Exponierte Admin-Panels sind ein faszinierendes Gesprächsthema, aber im Prinzip sind sie eine direkte Schnittstelle zur Softwareplattform. Man trifft auf verschiedene Arten von Admin-Panels für Apache, Drupal und manchmal sogar Firewalls. Der Grund dafür ist, dass immer die Möglichkeit besteht, dass vorkonfigurierte Konfigurationen nicht geändert wurden. Wenn Sie nun die Standard-Anmeldeinformationen nutzen, wozu haben Sie überhaupt eine Firewall eingerichtet? Das ist immer ein Hauptrisiko, aber vorausgesetzt, Sie haben etwas ausgereiftere Prozesse und niemand hat etwas vermasselt, kommt es trotzdem zu Problemen. Manchmal kann selbst der erfahrenste Mensch einen Fehler machen, vielleicht hat er an diesem Tag einen Schluck Kaffee zu wenig getrunken.

Darüber hinaus besteht Potential für Brute-Force-Angriffe. Warum sollte man etwas öffentlich zugänglich machen, das von vornherein nicht extern zugänglich sein muss? Wir haben VPNs, wir haben Remote-Verwaltung. Heutzutage kann man von zu Hause aus auf seine interne Umgebung zugreifen und auf diese Weise im Admin-Panel navigieren, anstatt diese Anmeldedaten für Brute-Force-Angriffe empfänglich zu machen. Das ist ein riesiges Problem, das man mit einer einfachen Entscheidung entschärfen kann: „Hey, lasst uns das einfach offline stellen. Machen wir das einfach intern.“

Wenn wir die Angriffsfläche erfolgreich schützen wollen, wie sieht das dann aus? Gibt es einen Endzustand?

Das war fast die erste Frage, die mir mein CISO stellte, als wir anfingen, uns mit diesem Problem zu beschäftigen. Und die Antwort ist, dass die Angriffsfläche viel zu dynamisch ist, als dass es jemals ein Endziel geben könnte. Ich persönlich glaube, dass es Ziele für das Management gibt, um ein akzeptables Niveau zu erreichen. Im Risikobereich wird es nie ein Nullrisiko geben. Es wird immer ein Restrisiko geben. Und selbst wenn man Null erreicht, wird es nicht dabei bleiben.

Unglücklicherweise, oder besser gesagt zum Glück für die Welt, gibt es die Cloud. Die Cloud ist ein fantastisches Geschäftstool. Aber die Cloud ist mal ein, mal aus. Sie ist unglaublich dynamisch und die Dinge ändern sich so oft, und die Fähigkeit des Unternehmens, seine Angriffsfläche entsprechend schnell zu umschließen, ist entscheidend. Um einen sicheren Endzustand zu erreichen, darf man niemals stillstehen. Man muss immer der nächsten Sache hinterherjagen und die Risikowelle nach unten treiben, aber wir glauben, dass man sie innerhalb einer gewissen Spanne halten kann, die sowohl für die Cybersicherheitsorganisation als auch für das Unternehmen akzeptabel ist.

Möchten Sie mehr darüber erfahren, wie Matt und sein Team bei Cummins die Angriffsfläche ihres Unternehmens schützen?

Watch the full recorded webinar