Censys.

Censys ist aus akademischer Forschung an der University of Michigan hervorgegangen. Es baut auf ZMap auf, dem modularen Scanner, den Zakir Durumeric und Kollegen 2013 auf der USENIX Security vorstellten und der den gesamten oeffentlichen IPv4-Raum in unter 45 Minuten von einer einzigen Maschine aus durchsuchen kann. Censys selbst wurde im ACM-CCS-Paper von 2015 "A Search Engine Backed by Internet-Wide Scanning" (Durumeric, Adrian, Mirian, Bailey, Halderman) vorgestellt. Es fuehrt kontinuierliche Scans ueber IPv4, IPv6 und Certificate-Transparency-Logs durch und stellt Hosts und Zertifikate als tief geparstes JSON bereit, indiziert nach Service, Software, JARM/JA3-Fingerprints, ASN und historischem Zustand.

Vom rohen Scan zur Verteidiger-Abfrage

flowchart LR
  A[ZMap sondiert IPv4/IPv6] --> B[Banner- + TLS-Erfassung]
  B --> C[Protokoll-Parser]
  C --> D[Strukturierte JSON-Host-Dokumente]
  E[Certificate Transparency Logs] --> D
  D --> F[Suchindex]
  F --> G[ASM: meine exponierten Assets]
  F --> H[Threat Hunting: C2-Fingerprints]
  F --> I[IR: Pivot ueber geteilte Infra]

Verteidiger nutzen Censys, um exponierte Assets zu entdecken, neu geoeffnete Dienste zu beobachten und Angreifer-Infrastruktur zu jagen – etwa indem sie Cobalt-Strike- oder Malware-C2-Server anhand geteilter TLS-Zertifikate, standardmaessiger HTTP-Bodies oder JARM-Hashes clustern und anschliessend auf verwandte IPs pivoten. Da jede Beobachtung mit einem Zeitstempel versehen ist, koennen Incident Responder rekonstruieren, wann ein Dienst oder Zertifikat erstmals auftauchte. Gegenueber Shodan legt Censys den Schwerpunkt auf tiefes, schemagetriebenes Service-Parsing und die Herkunft von Zertifikaten, was es stark fuer externes Angriffsflaechenmanagement und Infrastruktur-Attribution macht. Angreifer verwenden dieselben Daten zur Aufklaerung, weshalb das Reduzieren unnoetiger Exposition die zentrale Verteidigung darstellt.