Externe Scans sehen nur die Außenhaut. Die interessanten Wege – laterale Bewegung, Active-Directory-Eskalation, ausnutzbare interne Dienste – zeigen sich erst im Netz. Genau dafür bringt SecTepe SnapScan zwei Bausteine mit: den In-Network-Runner als Docker-Image und die gehärtete Appliance als physisches bzw. virtuelles Gerät, beide streng an ein einzelnes Engagement gebunden.
Engagement-gebunden per Einmal-Token
Ein Runner wird über ein Einmal-Token (snap1_…, 24 Stunden gültig) im Zielnetz eingerollt. Aus dem Token leitet die Plattform ein HMAC-signiertes Scope-Dokument ab. Der Runner prüft eingehende Ziele lokal gegen dieses Dokument und verweigert Out-of-Scope-Ziele eigenständig – Defense-in-Depth, das nicht davon abhängt, dass die Steuerungsebene erreichbar ist. Ein Heartbeat mit Kill-Switch sorgt dafür, dass sich der Runner selbst zerstört, wenn die Verbindung verloren geht oder das Engagement endet.
Batteries included: das AD- und Credential-Toolkit
Für interne Tests bringt der Runner ein kuratiertes Werkzeugset mit, das hinter dem Schalter allowActiveExploitation freigeschaltet wird:
- nmap und nuclei für Discovery und Template-basierte Prüfungen,
- bloodhound-python für die Analyse von AD-Angriffspfaden,
- netexec und impacket für Protokoll- und Credential-Tests,
- Certipy für AD-CS-Missbrauch,
- Responder und Coercer für Coercion- und Relay-Szenarien.
So deckt ein einziger Runner die typischen internen Eskalationswege ab, ohne dass Tester manuell eine Werkbank aufsetzen müssen.
On-Host-Agent mit Human-in-the-Loop
Ergänzend gibt es den On-Host-Agent, der direkt auf einem Host im Kundennetz läuft – mit einer Steuerungsebene, die einen Menschen in die Schleife nimmt: Der Scan-Agent handelt nicht mehr vollautonom, sondern über eine Auto-Approval-Konfiguration, ein Entscheidungs-Logging und ein Autonomie-Reporting. Die Konsole zeigt ein echtes On-Host-Agent-Dashboard (der frühere Mock ist entfernt), und ein zentraler Tool-Pack-Dienst stellt zusätzliche Werkzeuge wie Metasploit und Nuclei bereit.
Für eingeschränkte Hosts existiert ein „Thin-Executor"-Modus, und der Agent lässt sich als echte, eigenständige Binary über Node SEA (Single Executable Application) ausliefern – kein Node-Runtime-Setup auf dem Zielsystem nötig. Ein Deploy-Handoff verdrahtet den Agenten mit scope-begrenzten Auto-Folge-Scans.
Warum das für interne Assessments den Unterschied macht
Der klassische Weg für internes Pentesting – Laptop mitbringen, VPN legen, Tools installieren – ist langsam, schlecht auditierbar und schwer zu wiederholen. Ein signiertes, selbst-limitierendes Gerät mit Kill-Switch ist reproduzierbar, sauber dokumentiert und lässt sich einem Kunden ohne Bauchschmerzen ins Rack stellen. Zusammen mit dem KI-Pentest-Agenten und der Active Exploitation entsteht so ein durchgängiger interner Testpfad.
Fazit
Mit In-Network-Runner, gehärteter Appliance und On-Host-Agent bringt SnapScan den Pentest dorthin, wo die realen Angriffswege liegen – kontrolliert durch signierten Scope, lokale Ablehnung und Kill-Switch. Interne Tests werden damit so wiederholbar und auditierbar wie ein externer Scan.