Was ist eine Schwachstelle in Ihrem Unternehmen und ist sie gefährlich?
Eine Schwachstelle ist eine Schwäche in der Funktionsweise von Software oder Hardware. Wird sie ausgenutzt, führt dies zu einer Verletzung der Vertraulichkeit, Integrität oder Verfügbarkeit eines Systems. Beispiele sind Schwachstellen in einer Firewall, die den Zugang zum Unternehmensnetzwerk ermöglichen. Auch Schwachstellen in anderen Netzwerkgeräten, Betriebssystemen und Anwendungen können es ermöglichen, die Kontrolle über diese Systeme zu übernehmen. Mögliche Folgen sind der Verlust von Unternehmensdaten, ihre Veröffentlichung oder eine Lösegeldforderung.
Wie gehen Sie im Unternehmen gegen Schwachstellen vor?
Um das Risiko einer Ausnutzung zu verringern, müssen Schwachstellen angemessen verwaltet werden. In der Praxis ist dies ein zyklischer Prozess mit folgenden Schritten:
- Identifikation,
- Klassifizierung,
- Risikobewertung,
- Priorisierung,
- Behebung,
- Minderung von Sicherheitsschwachstellen.
Allein im Jahr 2021 wurden fast 22.000 Schwachstellen veröffentlicht. Mehr als 300 davon werden aktiv über verschiedene Angriffsvektoren ausgenutzt.
Gibt es Systeme, die das Schwachstellenmanagement unterstützen?
Unterstützung bieten Systeme für das Schwachstellenmanagement, die auf dem kostenlosen und offenen Standard CVSS (Common Vulnerability Scoring System) zur Bewertung der Schwere von Sicherheitsschwachstellen basieren. Anhand einer Basismetrik, die sich aus der Art der jeweiligen Schwachstelle ergibt, wird eine Punktzahl vergeben und der Schweregrad bestimmt. Die Bewertung reicht von 0,0 bis 10,0 und umfasst die Stufen none, low, medium, high und critical. Wenn die IT-Infrastruktur des Unternehmens bekannt ist, können zusätzlich zeitliche und umgebungsbezogene Faktoren berücksichtigt und der verfügbare CVSS-Rechner genutzt werden, um den Schweregrad der Schwachstelle genauer zu bestimmen. Auf Grundlage dieser Daten können IT-Sicherheitsabteilungen eigene Systeme zur Bedrohungsbewertung und Risikomatrizen erstellen.
Welche Nachteile haben bestehende Systeme für das Schwachstellenmanagement?
Dieser Ansatz hat jedoch auch Nachteile. Bei einer so großen Zahl von Schwachstellen wird der Verwaltungsprozess zeitaufwendig und ineffizient. Angesichts der vorhandenen Systeme und der begrenzten Ressourcen einer Organisation ist es sehr schwierig, erkannte Schwachstellen richtig und dynamisch zu priorisieren, um das Angriffsrisiko zu begrenzen. Deshalb werden nur wenige Prozent davon behoben.
Welches System eignet sich derzeit am besten für das Schwachstellenmanagement im Unternehmen?
Eine Lösung, die den derzeitigen Grenzen von CVSS Rechnung trägt, ist die Kenna Security Platform aus dem Portfolio von Cisco. Dieses System für risikobasiertes Schwachstellenmanagement (Risk-based Vulnerability Management) berücksichtigt mehr Informationen als nur den technischen Schweregrad einer Schwachstelle. Die Risikobewertung wird kontextbezogen anhand von Daten aus verschiedenen Quellen berechnet: Schwachstellenscannern, Anwendungsscannern, Daten aus Penetrationstests, Bug-Bounty-Programmen, System-Asset-Datenbanken, CMDBs, CSV-Dateien und über eine REST-API abgerufenen Daten. Das System nutzt außerdem zahlreiche Dienste, die Bedrohungen weltweit in Echtzeit verfolgen und analysieren (Threat Intelligence), sowie Datenbanken zu Malware, Zero-Day-Schwachstellen und Exploits.
Eines der Grundprinzipien von Kenna Security besagt, dass Risikobewertungen dynamisch sind und sich in Echtzeit ändern können, wenn sich die Angriffsstrategie verändert. Die Plattform liefert eine Liste der Schwachstellen mit Prioritäten, Risikobewertungen und Hinweisen zum Ablauf der Behebungsmaßnahmen. Weniger zu behebende Schwachstellen mit hohem Risiko sparen Zeit und Ressourcen und verkleinern die Angriffsfläche.
Ein Dienstleister für das Schwachstellenmanagement im Unternehmen
Wenn Sie Ihre Umgebung nach bewährten Verfahren und mit aktuellen Technologien absichern möchten, nehmen Sie Kontakt mit C4PL auf. Das ist der richtige erste Schritt, um die Sicherheit Ihrer IT-Umgebung zu erhöhen.