Bots, Scanner und Angriffsversuche unterscheiden

Nicht jeder automatische Zugriff ist feindlich

Öffentliche Webseiten werden ständig von Software aufgerufen. Dazu gehören legitime Suchmaschinen-Crawler ebenso wie Link-Vorschauen, Archivierungsdienste, technische Scanner und Systeme, die gezielt nach Schwachstellen suchen. Für eine sinnvolle Sicherheitsauswertung müssen diese Zugriffe getrennt betrachtet werden.

Legitime Bots und Crawler

Suchmaschinen wie Google oder Bing rufen öffentlich erreichbare Seiten automatisiert ab, um Inhalte zu indexieren. Auch Dienste für Link-Vorschauen können Seiten automatisch abrufen. Solche Zugriffe sind keine menschlichen Besuche und sollten deshalb nicht die Reichweitenstatistik aufblasen, sind aber zunächst kein Angriff.

Automatisierte Scans

Scanner probieren häufig bekannte Pfade aus, etwa /wp-login.php, obwohl die Zielseite gar kein WordPress verwendet. Ein solcher Request zeigt, dass automatisiert nach einer möglicherweise vorhandenen Angriffsfläche gesucht wurde. Er belegt weder eine vorhandene Schwachstelle noch einen erfolgreichen Einbruch.

Verdächtige Requests

Interessanter werden Zugriffe auf Dateien wie /.env, fremde Administrationswerkzeuge, Sicherungsdateien oder ungewöhnliche HTTP-Methoden. Solche Anfragen können auf die Suche nach vertraulichen Informationen oder Fehlkonfigurationen hindeuten. Auch hier gilt: Ein erkannter Versuch ist noch kein Nachweis dafür, dass Daten offengelegt wurden.

Erkennbare Angriffsmuster

Enthält eine Anfrage deutliche technische Muster für beispielsweise Path Traversal, SQL-Injection, Cross-Site-Scripting oder bekannte Webshell- und Exploit-Pfade, lässt sie sich stärker als bloßer Scan einordnen. Die Bezeichnung Angriffsmuster beschreibt dabei den Request – nicht den Erfolg des Angriffs.

Warum die Trennung wichtig ist

Wer alle automatisierten Zugriffe in einen Topf wirft, erhält weder eine brauchbare Besucherstatistik noch eine gute Sicherheitsübersicht. RRCF trennt deshalb menschliche Nutzung, bekannte Bots, Scans, verdächtige Requests und stärkere Angriffsmuster. Sicherheitsereignisse werden passiv ausgewertet und nicht allein aufgrund einer einzelnen Heuristik als erfolgreiche Kompromittierung gewertet.

Keine vollständige Sicht auf das Internet

Eine Anwendung kann nur Requests erfassen, die sie tatsächlich erreichen. Bereits vom Webserver, Provider, CDN oder einer vorgeschalteten Schutzkomponente verworfene Anfragen können in einer Anwendungsstatistik fehlen. Telemetrie ist deshalb ein Diagnosewerkzeug und keine vollständige Beweissicherung.