Soll gegen Ist: Der erste Security-Befund war mein eigenes Inventar

Bisher wusste HomeOS, was intern läuft. Nicht, ob es dem entspricht, was laufen soll — und schon gar nicht, wie die eigene Infrastruktur von außen aussieht. Der Auftrag: Security Intelligence als Erweiterung der Infrastruktur-Domäne, kein Parallelsystem. Erst verstehen, dann integrieren.

Das Prinzip ist Soll ↔ Ist. Soll-Aussagen kommen aus dem Inventar („dieser Dienst antwortet auf diesem Port") plus expliziten Erwartungen („SSH auf dem NAS ist gewollt"). Ist-Beobachtungen liefern Collectors, die ausschließlich eigene Inventar-Assets prüfen, begrenzt und gepaced: eine Port-Probe, ein TLS-Check, ein DNS-Abgleich, und eine Korrelation über das Firewall-Log — wer klopft wiederholt auf viele Ports? Aus Abweichungen entstehen Befunde mit erklärbarem Risiko: fünf Faktoren mit Punkten, die man nachrechnen und im Gespräch korrigieren kann. Keine gewichtete Formel, die auf dem Papier präziser wäre und in der Diskussion nutzlos.

Befunde haben einen Lebenszyklus. Dedup, Wiedereröffnung, und Auto-Resolve — aber nur durch den Collector, der die Abweichung nicht mehr sieht. Zwei Regeln stehen darüber: Schweigen ist kein Beleg (ein fehlgeschlagener Lauf schließt nichts, ein stummes Gerät behauptet nichts), und keine aktive Antwort auf überwachte Systeme. Beobachten, nicht eingreifen.

Der erste Befund im Dev-Lauf gegen die echten Assets war ein falscher Port im eigenen Inventar: Der DNS-Server stand mit seiner Web-UI auf 80, real antwortet sie auf einem anderen Port. Zwei Befunde zugleich — „unerwartet erreichbar" und „erwarteter Port antwortet nicht" — und beide zeigten auf dieselbe Ursache. Ein Security-Werkzeug, das nebenbei das Inventar korrigiert, ist doppelt nützlich.

Kalibrierung am echten Rauschen. Die Knock-Korrelation lief mit Erstschwellen von 20 Versuchen auf 5 Ports. Klang streng. Am WAN dieses Haushalts werden pro Tag rund 22 000 Verbindungsversuche von über 5 000 Quellen geblockt — die Schwellen erzeugten 127 Befunde in einer Nacht. Erst der Produktionslauf zeigte, was „wiederkehrender Scanner" wirklich heißt: mehrere hundert Versuche auf über hundert Ports. Mit den neuen Schwellen bleibt eine Handvoll Breitband-Scanner übrig, die man kennen sollte.

„Unerwartet" ist eine Frage, kein Urteil. Ein Dienst, der aus dem LAN antwortet, ist vielleicht genau so gewollt — aber erst, wenn jemand es sagt. Der Weg von „unerwartet" zu „erwartet" ist ein Klick mit Audit-Eintrag, und die Soll-Aussage ist der Ort, an dem dieses Wissen landet.