Das Vorgehen beruht auf eigener Technik sowie Partnerschaften mit Akamai und weiteren Cloud-Anbietern. Beim internetweiten Scan werden Milliarden Server angepingt. Antwortet eine IP-Adresse nicht, ist das zugehörige System nicht im Internet exponiert. Weist ein System die Verbindung oder den Handshake zurück, ist es nicht zugänglich – ideal ist auch das nicht, weil dadurch immerhin die Existenz des Servers sichtbar wird.
Kritisch wird es laut SpiderSilk, wenn ein System auf den Ping antwortet und sich auf einem bestimmten Port ansprechbar zeigt. Manche Server liefern dann die Anmeldeseite eines internen Personalsystems oder Datenbankindizes aus. Über offene Datenbanken können private Daten zugänglich sein, Login-Seiten von HR-Systemen bringen Angreifer dem Datendiebstahl oder einem Einbruch näher.
Die Technik bewertet Inhalt und Code einer Seite ebenso wie visuelle Elemente, etwa Logos. “Man kann einschätzen, welches Risiko davon ausgeht: Ist es ein internes System? Ist es kommerzielle Software, die sie hosten? Das ist die Phase der Bedrohungsbewertung, bevor wir den Kunden alarmieren”, erklärt Hussein. KI kann einen exponierten internen Server dem besitzenden Unternehmen zuordnen und einen Alarm auslösen; die Werkzeuge lassen sich an Sicherheitswerkzeuge von Drittanbietern anbinden.
Das Hauptprodukt Resonance meldet exponierte Werte wie Domainnamen, Firmeninformationen oder Details in proprietären Datendateien auf Plattformen wie GitHub. Die KI analysiert, filtert und qualifiziert die Daten – “sobald das mit Belegen bestätigt ist, wird es sofort an den Kunden eskaliert”, so Hussein. Als wachsendes Risiko nennt er das sogenannte Vibe-Coding: Im Eifer der schnellen App-Entwicklung laden Mitarbeiter unbemerkt vertrauliche Dateien, Passwörter oder API-Schlüssel in Repositories wie GitHub oder GitLab hoch – etwa Fachanwender ohne tiefes technisches Verständnis, die ein Firmen-Dashboard zusammenbauen.
Bei einer neuen Zero-Day-Lücke kann SpiderSilk kurzfristig frische Scans anstoßen und einen Bedrohungsbericht in Echtzeit in die Systeme der Kunden schieben. “Die Frage lautet nicht nur: Bin ich verwundbar? Sondern: Habe ich eine Aufstellung aller meiner Systeme, auf denen diese Software läuft?”, sagt Hussein. Die Agentenplattform SilkRunner soll Abläufe für KI-Agenten aufsetzen, die verwundbare Systeme gegen Asset-Listen prüfen, Softwareversionen abgleichen und Update-Anleitungen sichten. Die Entscheidung bleibt beim Menschen: “Jemand muss sagen: ‘Leg los und spiel es ein’, oder ablehnen, oder zurückgehen und nachschärfen.”
Neu ist das Feld nicht. KI verknüpfe jedoch mehr Datenpunkte, um externe Angriffsflächen zu bestimmen, sagt Pete Shoard, Forschungsleiter für Cybersicherheit bei Gartner. Bedrohungen entstünden in Maschinengeschwindigkeit, Unternehmen reagierten zu langsam. “Vor zwölf Monaten waren wir zu 90 Prozent reaktiv und zu 10 Prozent proaktiv. Nächstes Jahr oder das Jahr darauf steuern wir auf 70 Prozent proaktiv und 30 Prozent reaktiv zu”, so Shoard.
Erik Nost, Senior Analyst bei Forrester Research, verweist darauf, dass nahezu jeder Sicherheitsanbieter inzwischen eine Variante einer proaktiven Plattform im Angebot habe, und nennt Palo Altos Expanse und CrowdStrikes Falcon Surface. Hussein grenzt sich über die eigene Scan-Infrastruktur ab: SpiderSilk kaufe keine Datensätze von Anbietern wie Shodan oder Censys, wie es viele Wettbewerber täten. Jack Gold von J. Gold Associates hält den Anbieter für beweglicher als die Großen, warnt aber, dass Unternehmen Lösungen von Cisco, CrowdStrike, Wiz oder Microsoft kaum herausreißen dürften: “SpiderSilk muss beweisen, dass sie Dinge finden und besser schützen können als die Großen.”