Externes Angriffsflächenmanagement mit echten aktiven Tests statt Schlussfolgerungen. Discovery und Validierung von Assets mit Internetzugang sind stark; eine Abdeckung für interne Netze, Identitäten oder Endpunkte gibt es überhaupt nicht.
CyCognito beginnt ohne Seed-Liste. Es ordnet Assets von außen der Organisation zu, kartiert Tochtergesellschaften, Übernahmen und vergessene Infrastruktur so, wie ein Angreifer es täte, und testet anschließend, was es findet. Dieser Zuordnungsschritt ist der Grund, warum Assets auftauchen, die Scanner mit Seed-Liste nie erreichen.
Validierung bedeutet hier echtes Testen, keine modellierte Erreichbarkeit. Der Anbieter nennt mehr als 100.000 automatisierte Tests in mindestens 35 Bedrohungskategorien, darunter nicht authentifizierte dynamische Anwendungstests mit Payloads und definierten Erfolgskriterien, sodass ein Befund mit einem Nachweis der Ausnutzbarkeit einhergeht. Die Tests sind einstufig und störungsfrei, verzichten auf Brute Force und Zustandsänderungen; Exploit-Verkettung, Wiederverwendung von Zugangsdaten oder laterale Bewegung, wie Pentera sie durchführt, gibt es nicht.
Der Umfang ist der Kompromiss. Alles hier ist extern. Es gibt keine Discovery im internen Netz, keinen Identitätsgraphen und keine native Prüfung der Cloud-Konfiguration; Integrationen mit Scannern und Cloud-Sicherheitstools wie Tenable, Qualys und Wiz tauschen Kontext aus, machen das Produkt aber nicht zu einem Aggregator für Befunde. Es ist ein Spezialist, kein führendes System, und sollte neben einer Exposure-Plattform stehen, statt sie zu ersetzen.
Die Mobilisierung ist solide, aber nicht tiefgehend: Befunde sind mit Verantwortlichen verknüpft, in Jira und ServiceNow integriert, enthalten Hinweise zur Behebung und werden nach einer Korrektur automatisch erneut getestet. Die automatische Revalidierung ist mehr wert, als es klingt, denn sie schließt den Kreis, den die meisten Programme offen lassen.
In der Demo prüfen: wie die Zuordnung mit der eigenen Struktur aus Tochtergesellschaften und Übernahmen umgeht, und gezielt nach der Falsch-Positiv-Rate der Zuordnung fragen, denn ein Verzeichnis von Assets, die der Organisation nicht gehören, kostet mehr Zeit, als es spart.
Schwach in einer dieser Phasen? Die Selbstbewertung zeigt, für welche Phase Sie zuerst einkaufen sollten, und das Verzeichnis zeigt, wer sie abdeckt.
Diesen Eintrag beanspruchen oder korrigieren
Teilen Sie uns mit, was falsch ist oder was Sie bestätigen möchten, und nennen Sie eine öffentliche Quelle, die wir prüfen können. Der Inhaber prüft jeden Anspruch. Auf der Website ändert sich nichts, bevor er geprüft wurde, und ein Anspruch ändert nie eine Bewertung oder Platzierung.
Monatliche Anbieter-Updates erhalten
Eine E-Mail pro Monat: was sich im Exposure-Management geändert hat, welche Anbieter sich bewegt haben und eine Sache, die sich lohnt. Kein Spam, jederzeit abbestellbar.
Wir senden Ihnen einen Bestätigungslink per E-Mail. Ein einziger Klick genügt. Die E-Mail kommt von newsletter@ctee.org.
Ihre E-Mail-Adresse wird nur für den Versand des Newsletters verwendet, nachdem Sie sie bestätigt haben. Details: Datenschutzerklärung.