ASSESSOR – Ist-Zustand

Executive Summary

• ASSESSOR ist aktuell eine lokale Browseranwendung mit Node-Backend und PostgreSQL; Oberfläche und API laufen same-origin.
• Standardberichte werden aus fünf Formatfamilien verarbeitet: CSV/Text, HTML, Excel, JSON und XML.
• Eigene Profile bestehen für Purple Knight, PingCastle, CIS-CAT Pro und Maester; unbekannte strukturierte Quellen laufen über das generische Profil.
• GPO-Backups und Microsoft Security Baselines werden über einen separaten spezialisierten Analysepfad verarbeitet.
• Sichtbares Ergebnis sind vereinheitlichte Findings, Evidenzen, Umgebungsdaten und Policy-Vergleiche in Client Info, Work, Result DB und Pathfinder.

Unterstützte Eingaben

• CSV/Text: .csv und .txt; Komma, Semikolon, Tabulator und Pipe.
• HTML: .html und .htm; Tabellen und erkannte statische Berichtsdaten.
• Excel: .xlsx und .xls; Arbeitsblätter werden übernommen, Formeln nicht ausgeführt.
• JSON: .json; Objekte und Arrays werden tabellarisch strukturiert.
• XML: .xml; hierarchische Strukturen ohne aktive externe XML-Konstrukte.
• Scannerprofile: Purple Knight, PingCastle, CIS-CAT Pro, Maester und Generic.
• GPO/Baseline: GPO-Backup als ZIP oder unterstützte Ordnerauswahl; Microsoft Security Baseline als ZIP.
• GPO-Artefakte: Registry.pol, GptTmpl.inf, audit.csv sowie ausgewählte Group Policy Preferences für Registry, Services, Laufwerkszuordnungen und lokale Benutzer/Gruppen.

Scannerbezogene Besonderheiten

• Purple Knight: HTML und tabellarische Exporte; Findings, Detailtabellen, Zusammenfassungen und ausgewählte Umgebungskennzahlen.
• PingCastle: HTML liefert Risk Rules und Details; XML liefert eigenständige strukturierte Berichtsdaten und Kontext, aber nicht die vollständige HTML-Findingansicht.
• CIS-CAT Pro: HTML mit Benchmark-Ergebnissen, Regelstatus, Evidenztabellen, Summary-Abgleich und System-/Benchmarkkontext.
• Maester: HTML mit sicher lesbarem statischem Ergebnisobjekt sowie tabellarische/Excel-Ausgaben; Tests, Status, Ergebnistext und Berichtskontext.
• Generic: strukturierte Tabellen/Objekte; fachliche Feldzuordnung nur bei ausreichender Erkennung oder Nutzerbestätigung.

Datenstrecke: sichtbarer Start- bis Endpunkt

1. Start: Berichtdateien im Data Hub auswählen oder GPO-/Baseline-Import starten.
2. Eingangskontrolle: Format, Signatur, Ressourcenlimits und unsichere Inhalte lokal prüfen.
3. Strukturierung: Formatadapter erzeugt ein gemeinsames Zwischenmodell.
4. Erkennung: Tool, Ergebnistabelle und fachliche Felder mit Konfidenz bestimmen; unsichere Zuordnungen bestätigen lassen.
5. Normalisierung: Status, Severity, Titel, Kategorien, Evidenz, Referenzen und Kontext in das kanonische Modell überführen; Originalwerte und Provenienz erhalten.
6. Persistenz: Bestätigten Import atomar als Projekt, Assessment, Scanlauf, Findings, Evidenz, Diagnosen und Historie in PostgreSQL speichern.
7. Endpunkt: Gewählten Client/Timeslot in Client Info, Work, Result DB und Pathfinder anzeigen.

Weitere Fähigkeiten

• Datahub: Clients/Projekte, Mehrdatei-Vorschau, Tool-/Formatprüfung, Importdiagnosen, Dublettenhinweise, Reimport/Ersatzläufe, Historie und Timeslots.
• Client Info: Umgebungsfakten, Overall Score, Security Domains, deviation-basierte Priority Findings, Assessment Gaps, Statuskontext und Source Overview.
• Work: Reports als Standardansicht sowie Matrix, Grid und Raw Data; Suche, Sortierung und dynamische Filter.
• Finding-Bearbeitung: Bookmark, Reviewstatus, Priorität, Owner/Team, Fälligkeit, Voraussetzungen, Rollen, Next Step, Evidenzkriterien, Kommentar und Reportmarkierungen.
• Vergleich: Neue, fortbestehende, behobene und wiederkehrende Befunde über Scanläufe/Timeslots.
• Result DB: Vereinheitlichte Scanner-, Kontext- und Policy-Ergebnisse mit Facetten, Details und JSONL-Export.
• Pathfinder: Deviation-basierter Graph mit Kategorie-, Asset-, MITRE ATT&CK- und D3FEND-Beziehungen.
• GPO-Analyse: Baselinevergleich mit Misconfigured, Match/Passed, Not configured, Conflicts, Duplicates und Review required.
• Exporte: Sichere CSV, ASSESSOR-Snapshot als JSON, Result DB als JSONL und HTML-basierter Aktions-/Dashboardexport.
• Betrieb: Backend-Health, DB-Strukturansicht, versionierte Migrationen und technische Verarbeitungsdiagnosen.

Sicherheit und Betriebsgrenzen

• Lokale Verarbeitung ohne externe Uploads, Telemetrie, CDN-Abhängigkeiten oder automatische externe APIs.
• Importiertes HTML wird nicht ausgeführt; aktive Inhalte werden entfernt.
• XML mit DTD/ENTITY/SYSTEM/PUBLIC, Excel mit VBA oder verschlüsselten Archiven und nicht statisch lesbare Maester-Ausdrücke werden abgelehnt.
• Standardgrenzen: 100 MiB je Datei, 140 MiB je Request und 50 Dateien je Batch; zusätzlich Zeit-, Speicher-, Mengen- und Parallelitätsgrenzen.
• PostgreSQL ist die kanonische lokale Datenhaltung; kein stiller Fallback bei konfigurierter, aber nicht erreichbarer Datenbank.
• Noch kein freigegebener Mehrbenutzer-Firmenbetrieb: HTTPS, SSO, Rollen und Autorisierung gehören zu Phase 14.

Reifegrad des Umsetzungsplans

• 15 Phasen/Teilphasen abgeschlossen: Phase 0 bis 13A.
• 2 Teilphasen in Arbeit: 13B GPO/Baseline-Analyse und 13C Scanner Context/Environment Inventory.
• 1 Phase offen: Phase 14 Mehrbenutzer- und Firmenbetrieb.

Empfohlene nächste Schritte

• Phase 13B gegen die definierten GPO-/Baseline-Akzeptanzkriterien abschließen.
• Phase 13C für alle unterstützten Scannerprofile vervollständigen.
• Vor Firmenbetrieb Phase 14 mit HTTPS, SSO, Rollen, Autorisierung, Betriebsüberwachung sowie Backup/Restore umsetzen.
• Format- und Profilkompatibilität weiter mit synthetischen Referenzberichten und Vollständigkeitsabgleichen absichern.

Offene Fragen

• Welche Scanner oder Reportvarianten sollen als Nächstes ein eigenes Profil erhalten?
• Welche zusätzlichen GPO-Artefaktarten sind fachlich zwingend?
• Wird zusätzlich eine Capability-Matrix „Format × Tool × sichtbare Felder“ benötigt?

Caveats

• Stand: aktueller Workspace am 09.09.2026; Basis sind Quellcode, Sicherheitsdokumentation und Umsetzungsplan, keine Kundendaten.
• „Parsebar“ heißt strukturell lesbar; vollständige Findings setzen ein passendes Profil oder bestätigtes Mapping voraus.
• GPO/Baseline und Environment sind nutzbar, die zugehörigen Phasen 13B und 13C bleiben aber in Arbeit.
• High-Level-Ist-Zustand, kein Feld-für-Feld- oder Parser-Testnachweis.