Scanner-Technologie bei Guardian360: eine technische (R)evolution

Bei Security-SaaS-Unternehmen ist die Scanner-Technologie das Herzstück der Plattform: Ohne zuverlässige, effiziente Scanner sind Asset Discovery und Vulnerability Management schlicht nicht zukunftssicher. Doch wie viele Security-Ingenieure wissen, nähern sich Legacy-Architekturen und Scanner langsam dem Ende ihrer Nutzungsdauer. In diesem Blogbeitrag erläutern wir unsere technischen Entscheidungen und die Gründe für den Austausch unseres Scanner-Stacks.

Warum aktuelle Scanner nicht mehr funktionieren
Scanner erzeugen oft eine mörderisch lange Liste entdeckter Schwachstellen. Das klingt großartig, aber die Erfahrung zeigt, dass Rauschen und irrelevante Probleme die tatsächlichen Risiken verdecken. Moderne Software und Betriebssysteme verfügen über zahlreiche integrierte Schutzmaßnahmen; nicht ausnutzbare Schwachstellen kommen deutlich häufiger vor als früher. Asset-Owner konzentrieren sich zunehmend darauf, False Positives und Randfälle zu eliminieren, während Geschwindigkeit und Relevanz entscheidend geworden sind.
Zudem sind Scans ressourcenintensiv. Das Scannen großer Netzwerke verbraucht immer mehr CPU, RAM und Speicherplatz; klassische Probes wachsen über ihre Möglichkeiten hinaus. Die Zuverlässigkeit von Tools (man denke an openVAS) gerät unter Druck, und die Wartung wird zur täglichen Aufgabe.
Erschwerend kommt hinzu, dass viele Organisationen mit einem Mangel an Fachkräften zu kämpfen haben. Scanner müssen schnell aufzeigen, wo die begrenzten Ressourcen eingesetzt werden sollten, statt viel Zeit damit zu verschwenden, herauszufinden, was wirklich wichtig ist.
Kurzum: Es ist Zeit für einen radikalen Schritt!

Neu, jetzt noch autonomer! Auf dem Weg zu vollständig Open Source und community-getrieben
Wir ersetzen die bisherige Closed-Source-Scanner-Technologie in unserer Lighthouse-Plattform durch einen Open-Source-Stack rund um Nuclei: eine äußerst flexible Engine, der Sie schnell eigene Templates und Checks hinzufügen können. Neue Schwachstellen in freier Wildbahn? Die Community erstellt Templates, die automatisch heruntergeladen werden. Nicht abhängig von einem geschlossenen Anbieter, sondern von einer internationalen Community, die Updates rasch teilt. Das bedeutet, dass wir schneller auf Exploits und Trends reagieren können, die sich dank KI weltweit rasant verbreiten.

SEITENLEISTE: Warum haben wir uns für Nuclei entschieden?
Warum haben wir Nuclei als Grundlage unseres neuen Scanner-Stacks gewählt?

• Nuclei ist eine Open-Source-Engine, entwickelt von und für die Security-Community. Dank eines globalen Netzwerks von Forschern und Fachleuten werden neue Templates und Exploit-Checks unglaublich schnell veröffentlicht. Dadurch können wir (und unsere Kunden) unglaublich schnell auf Zero-Days und aktuelle Exploits reagieren, schneller als viele kommerzielle Anbieter mithalten können.
• Nuclei-Templates sind flexibel (YAML-basiert) und lassen sich extrem einfach um kundenspezifische Checks oder eigene Geschäftslogik erweitern, ohne dass umfangreiche Programmierkenntnisse erforderlich sind. So können Sie beispielsweise einzigartige Erkennungen für Ihre eigenen APIs hinzufügen, die für niemand anderen relevant sind.
• Durch die Nutzung von Feeds werden neue Checks automatisch abgerufen. Wird beispielsweise weltweit eine neue Schwachstelle rund um einen SonicWall entdeckt, können Sie häufig innerhalb weniger Stunden einen neuen Scan auf Basis des kürzlich geteilten Templates durchführen.
• Auch Guardian360 kann auf diese Weise etwas an die Community zurückgeben: Auch wir fügen dem Repository selbst neue Checks hinzu.

Doch Flexibilität bedeutet noch mehr: Templates können auch pro Kunde oder Organisation einzigartig sein. Bestimmte Endpunkte scannen, eigene APIs überwachen, Hardening-Checks durchführen? Individuelle, relevante Scans lassen sich künftig für jede Organisation einrichten, ohne dass Sie alles selbst programmieren müssen.
Von der Probe zum Agent: der nächste Schritt im Rollout
Die klassische Scanner-Probe, die als virtuelle Maschine läuft, bleibt für bestimmte Anwendungsfälle relevant. Mit unserem neuen Agent-Ansatz können wir sie jedoch noch kompakter und flexibler gestalten. Agents laufen nativ unter Windows, Linux, Mac oder sogar als Container in einer CI/CD-Pipeline. Dies ermöglicht lokale Checks: etwa Registry-Checks, Betriebssystem-Hardening, MITRE-ATT&CK-Erkennung und vieles mehr. Auch Asset Discovery wird verstärkt: von ARP-Scans bis zu Verbindungen mit APIs von Drittanbietern, alles zentral sichtbar in Lighthouse.
Neben Security- und Hardening-Einblicken werden wir uns künftig auch stärker auf den Datenschutz an den Endpunkten konzentrieren. Hierfür haben wir mit der Universität Utrecht zusammengearbeitet und integrieren den von ihr bereitgestellten InfoSec Agent in den Agent. Und nicht unwichtig: weniger Ressourcenverbrauch, mehr Geschwindigkeit und weniger Bloatware. Wichtig in einer Zeit, in der “Simplicity by Design” für Security-Tools ein Muss ist. Wir streben ausdrücklich schlanke Agents an, die kein Risiko für CPU- oder Arbeitsspeicherüberlastung darstellen, wobei wir die Lehren aus bekannten Plattformen, bei denen es gründlich schiefging, im Hinterkopf behalten.

KI in der Scanner-Entwicklung und im Reporting
KI im Bereich Security bedeutet meist viel Marketing-Bingo, aber wenig konkretes Handeln. Wir setzen KI jedoch gezielt in zwei neuen Bereichen unseres Stacks ein. Erstens hilft KI bei der Generierung und Anreicherung von Scanner-Templates, was die Entwicklung erheblich beschleunigt. Zweitens reichert KI die Scan-Ergebnisse an: mehr Kontext, zusätzliche Hinweise und konkrete Verifizierungen, mit denen Anwender sofort bestätigen können, ob Probleme tatsächlich vorliegen, relevant für alle, die keine generischen CVE-Listen mehr durchsuchen möchten.
KI ist nicht nur ein cooles Buzzword auf dem Dashboard, sondern ein Beschleuniger für Entwickler und eine Ressource für den Endanwender.
Der Austausch des Scanners ist mehr als ein technisches Upgrade: Er ist eine Vision für relevantere Erkenntnisse, weniger Overhead und einen offenen, flexiblen Ansatz. Als Security-Ingenieur, Architekt oder Asset-Owner werden Sie den Unterschied in Geschwindigkeit, Relevanz und Zuverlässigkeit sofort bemerken. In unserem nächsten Blogbeitrag gehen wir näher auf den Rollout der Agents ein und darauf, wie Ihre Organisation diesen Schritt gehen kann, ohne Ihre Systeme zu belasten.

Wie sieht unser Zeitplan aus?
Wir testen die neue Scanner-Technologie derzeit auf Probes in unserer Staging-Umgebung. Die ersten Ergebnisse sind vielversprechend, aber es bleibt noch viel zu tun. Dazu gehören die Vorbereitung unserer zentralen Scanner-Umgebung, die Bereitstellung neuer APIs und die Vorbereitung unserer Backend-Infrastruktur zur Verarbeitung der Scan-Ergebnisse. Wir rechnen derzeit damit, diese neuen Scanner Mitte Q1 2026 auszuliefern, aufgrund vieler Unsicherheiten kann sich dieser Liefertermin jedoch noch verschieben.
Sobald die neuen Scanner ausgeliefert sind und produktiv laufen, entwickeln wir die Agents weiter. Da bereits viel grundlegende Arbeit geleistet wurde, gehen wir davon aus, dass die ersten Agents bald nach Auslieferung der Scanner bereitstehen. Feste Zusagen können wir jedoch noch nicht machen: Wir wissen nicht, was wir nicht wissen.