5 zentrale Phasen des Schwachstellenmanagementprozesses
Risikominderung ist das Herzstück des Prozesses zur Verwaltung von Schwachstellen. Obwohl die Behebung stets ein lohnendes Ziel bleibt, können Sie Risiken niemals vollständig beseitigen, ganz gleich, wie gut die Abwehrmaßnahmen Ihres Systems zu sein scheinen. Zudem liegt die Hauptquelle für Schwachstellen in Softwareanwendungen im Inneren, also im Code selbst.
In diesem Artikel erläutere ich die Schritte, die mit der Verwaltung von Schwachstellen verbunden sind, und wie sie zur Verwaltung, Minderung und Behebung von Cybersicherheitsrisiken eingesetzt wird.
Warum ist der Prozess zur Verwaltung von Schwachstellen wichtig?
In Code Complete sagt Steve McConnell, dass auf 1000 Zeilen ausgelieferten Code etwa 15–50 Fehler oder Programmfehler kommen. McConnell merkte jedoch an, dass die missionskritische Anwendung der NASA, die Software des Space Shuttles, keine Codefehler aufwies. Diese erstaunliche Leistung wurde allerdings zu einem Preis von Tausenden von Dollar pro Codezeile erreicht!
Möchten Sie mehr vom The CTO Club?
Erstellen Sie ein kostenloses Konto, um diesen Beitrag fertigzulesen und einer Community von CTOs und Technikleitern beizutreten, die praxisnahe Frameworks, Tools und Einblicke für die Entwicklung, Einführung und Skalierung KI-gesteuerter Technologien teilen.
Have an account? Log In
Es versteht sich von selbst, dass diese Kosten für die meisten Unternehmen einfach zu hoch sind. Außerdem schicken die meisten von ihnen keine Raumfahrzeuge in die Umlaufbahn, wo das Leben von Astronauten buchstäblich auf dem Spiel steht. Die Verwaltung von Schwachstellen ist daher ein für gewöhnliche Unternehmen realistischeres Ziel.
Als Prozess umfasst die Verwaltung von Schwachstellen die Identifizierung, Bewertung und Priorisierung von Sicherheitslücken in Systemen, Workloads und Endpunkten. Nachdem die Schwachstellen klassifiziert wurden, befasst sich der Prozess typischerweise mit der Behebung, Berichterstattung und zufriedenstellenden Beseitigung der aufgedeckten Bedrohungen.
Was ist der Unterschied zwischen einem Programm und einem Prozess zur Verwaltung von Schwachstellen?
Die Begriffe „Programm zur Verwaltung von Schwachstellen“ und „Prozess zur Verwaltung von Schwachstellen“ stehen miteinander in Zusammenhang, bezeichnen jedoch unterschiedliche Aspekte des Umgangs mit Schwachstellen in den Sicherheitspraktiken einer Organisation.
Ein Programm zur Verwaltung von Schwachstellen ist ein umfassender und strategischer Ansatz zur Verwaltung von Schwachstellen in der Software und den Systemen der IT-Infrastruktur einer Organisation. Es handelt sich um ein übergeordnetes Konzept, das verschiedene Elemente wie Richtlinien, Verfahren, Tools und Ressourcen umfasst, die darauf abzielen, das Gesamtrisiko durch Schwachstellen zu reduzieren.
Ein Programm zur Verwaltung von Schwachstellen umfasst typischerweise die folgenden Komponenten:
- Schwachstellenbewertungen: Systeme, Anwendungen und Netzwerke regelmäßig scannen, um potenzielle Schwachstellen zu identifizieren.
- Risikopriorisierung: Schwachstellen anhand ihres Schweregrads und ihrer potenziellen Auswirkungen auf die Organisation bewerten und priorisieren.
- Patch-Management: Verfahren für die Anwendung von Sicherheitspatches und Aktualisierungen entwickeln, um identifizierte Schwachstellen zu mindern. (Dies wird häufig durch Sicherheitstesttools erleichtert.)
- Bedrohungsinformationen: Bedrohungsinformationen integrieren, um die neuesten Schwachstellen und potenziellen Angriffsvektoren zu verstehen.
- Berichte und Kennzahlen: Berichte und Kennzahlen erstellen, um die Wirksamkeit der Maßnahmen zur Verwaltung von Schwachstellen zu verfolgen.
- Verantwortlichkeiten und Rollen: Verantwortlichkeiten und Rollen der am Prozess zur Verwaltung von Schwachstellen beteiligten Personen eindeutig festlegen.
Der Prozess zur Verwaltung von Schwachstellen ist ein spezifischerer und operativer Bestandteil des Programms zur Verwaltung von Schwachstellen. Er bezeichnet die schrittweisen Verfahren und Maßnahmen, die beim Umgang mit einer einzelnen Schwachstelle oder einer Gruppe von Schwachstellen ergriffen werden. Der Prozess umfasst die Ausführung von Aufgaben und folgt einem strukturierten Ansatz, um Schwachstellen effektiv zu bearbeiten.
Der Prozess zur Verwaltung von Schwachstellen umfasst typischerweise die folgenden Phasen:
- Identifizierung: In dieser Phase werden Schwachstellen durch verschiedene Methoden wie Schwachstellenscans, manuelle Bewertungen oder Penetrationstests entdeckt und katalogisiert.
- Bewertung: Sobald Schwachstellen identifiziert wurden, werden sie bewertet, um ihren Schweregrad und ihre potenziellen Auswirkungen auf die Anlagen und Abläufe der Organisation zu bestimmen.
- Behebung: In dieser Phase ergreift die Organisation Maßnahmen, um die identifizierten Schwachstellen zu beheben. Dazu können die Anwendung von Sicherheitspatches, Konfigurationsänderungen oder die Implementierung von Behelfslösungen gehören.
- Überprüfung: Nachdem die Maßnahmen zur Behebung ergriffen wurden, überprüft die Organisation, ob die Schwachstellen wirksam behoben und gemindert wurden.
- Berichterstattung: Während des gesamten Prozesses sind Dokumentation und Berichterstattung entscheidend, um den Fortschritt zu verfolgen, die Compliance aufrechtzuerhalten und mit den Stakeholdern zu kommunizieren.
Zusammenfassend ist ein Programm zur Verwaltung von Schwachstellen eine umfassende Strategie, die verschiedene Elemente umfasst, um Schwachstellen in einer Organisation effektiv zu verwalten. Der Prozess zur Verwaltung von Schwachstellen ist hingegen eine spezifische Reihe von Schritten und Maßnahmen zur Identifizierung, Bewertung und Behebung einzelner Schwachstellen als Teil des übergeordneten Programms. Der Prozess ist ein integraler Bestandteil des Programms und trägt zu dessen Gesamterfolg bei.
Die fünf Phasen des Schwachstellenmanagement-Prozesses
Im Gegensatz zur Schwachstellenbewertung, die ein einmaliges Ereignis ist, handelt es sich beim Schwachstellenmanagement um einen kontinuierlichen, fortlaufenden Prozess. Dies sind die Schritte, die im Lebenszyklus des Schwachstellenmanagements zu befolgen sind.
Schritt 1: Schwachstellen identifizieren
In diesem Schritt geht es darum, Schwachstellen zu identifizieren und zu klassifizieren. Schwachstellen werden typischerweise mithilfe des Gemeinsamen Bewertungssystems für Schwachstellen (CVSS) eingestuft.
Die Rolle des CVSS ist in der zweiten Phase noch wichtiger; im Mittelpunkt steht zu diesem Zeitpunkt jedoch das Schwachstellenscanning. Schwachstellenscans werden häufig im Rahmen eines Penetrationstests von einem Pentester oder einem Sicherheitsteam aus Penetrationstestern durchgeführt.
In diesem Prozess ist ein Schwachstellenscanner ein automatisiertes Tool, das verwendet wird, um die in der IT-Infrastruktur eines Unternehmens vorhandenen bekannten Schwachstellen zu suchen, zu identifizieren und zu melden.
Er erstellt ein Inventar aller im System verfügbaren IT-Ressourcen, insbesondere derjenigen, die aktiv mit dem Netzwerk der Organisation verbunden sind. Dazu gehören typischerweise Firewalls, Server, Betriebssysteme, Container, virtuelle Maschinen, Router, Drucker, Laptops, Desktop-Computer und Switches.
Außerdem untersucht er Endpunkte wie offene Ports, IoT-Geräte, Systemkonfigurationen, installierte Software, Anwendungen von Drittanbietern und Dateisystemstrukturen.
Da Schwachstellenscanner Scans im gesamten Netzwerk einer Organisation durchführen, um nach Schwachstellen zu suchen, ist das Potenzial für eine Störung des Systems oder seiner Elemente hoch. Daher stimmen ethische Hacker ihre Methoden während des Penetrationstests in der Regel entsprechend ab. Folglich können sie Systeme ausschließen, die anfällig für instabiles oder unvorhersehbares Verhalten sind, oder ihre Methoden so anpassen, dass sie weniger störend wirken. Wenn beispielsweise die Netzwerkbandbreite ein Problem darstellt, können sie sich dazu entscheiden, Netzwerkscans außerhalb der Spitzenzeiten durchzuführen, wenn die Netzwerkbandbreite nicht begrenzt ist.
Lösungen für das Schwachstellenmanagement sind außerdem in der Lage, mithilfe von Endpunktagenten kontinuierlich Daten aus Systemen zu erfassen. Mit ihrer Weiterentwicklung sind sie auch agiler geworden; daher scannen sie ein neues System oder Gerät unmittelbar nach dessen Verbindung mit dem Netzwerk.
Das Scannen von Systemen allein ist jedoch nicht das vorrangige Ziel dieser Phase.
Insgesamt werden die System- und Netzwerksicherheit einer Organisation durch den in dieser Phase erstellten Fahrplan der IT-Ressourcen verbessert. Mit dieser Erkennung von Ressourcen kann eine Organisation leicht feststellen, welche Geräte geschützt sind, welche Komponenten es nicht sind und wie auf Systemendpunkte potenziell zugegriffen werden kann.
Diese Phase ist von entscheidender Bedeutung, da sie dabei hilft, die Angriffsfläche zu bestimmen, die Angriffen ausgesetzt oder für eine Ausnutzung anfällig ist. Darüber hinaus werden die von der Lösung für das Schwachstellenmanagement erfassten Informationen verwendet, um Berichte und Systemmetriken zu erstellen, die im nächsten Schritt des Schwachstellenmanagement-Prozesses zum Einsatz kommen.
Die Gewährleistung einer sicheren Datenspeicherung ist im Schwachstellenmanagement von entscheidender Bedeutung. Eine Möglichkeit, dies zu erreichen, ist die Nutzung erstklassiger Datenbankverwaltungssoftware.
Schritt 2: Schwachstellen bewerten
Nachdem die Schwachstellen entdeckt wurden, besteht der nächste Schritt darin, die identifizierten Schwachstellen hinsichtlich ihres Risikograds zu bewerten. In Schritt 1 habe ich CVSS kurz erwähnt und erläutert, wie es als Einstufungssystem für Cybersicherheits-Schwachstellen verwendet wird.
CVSS ist ein kostenloser und offener Standard zur Kommunikation des Schweregrads von Schwachstellen. Es liefert einen Wert zwischen 0.0 und 10.0. Zur Ergänzung der Schwachstellenbewertung enthält die Nationale Schwachstellendatenbank (NVD) eine Schweregradbewertung für die CVSS-Werte, wie in der folgenden Tabelle dargestellt.
| CVSS-Wert | Schweregradbewertung |
| 0.0 | Keine |
| 0.1 - 3.9 | Niedrig |
| 4.0 - 6.9 | Mittel |
| 7.0 - 8.9 | Hoch |
| 9.0 - 10.0 | Kritisch |
Diese Werte vermitteln Organisationen das Risiko, das jede Schwachstelle für ihre Infrastruktur darstellt. Dadurch können Organisationen die Schwachstellen und Bedrohungen priorisieren, auf die sie sich konzentrieren müssen. Diese Bewertung fließt außerdem in die Risikomanagementstrategie und die Behebungsmaßnahmen der Organisation ein.
Obwohl Schwachstellenscanner und CVSS-Werte hervorragende Werkzeuge sind, bieten sie möglicherweise nicht immer einen umfassenden Überblick über die Risiken, denen eine Organisation ausgesetzt ist.
Dies liegt daran, dass diese standardmäßig bereitgestellten Bewertungsergebnisse nicht immer den besten Einblick in die Bedrohungen bieten, denen Ihr Unternehmen aufgrund seines individuellen Risikoprofils ausgesetzt ist. Obwohl intelligente Tools für das Schwachstellenmanagement Risiken priorisieren können, sind sie möglicherweise nicht immer differenziert genug, um weitere zusätzliche Faktoren zu berücksichtigen.
Cybersicherheitsexperten können mithilfe des gesammelten Bedrohungsinventars einen besseren und umfassenderen Kontext für Ihre Risikoexposition liefern. Diese Sicherheitsexperten berücksichtigen häufig eine Vielzahl von Faktoren wie die folgenden, um eine geeignete Risikobewertung zu bestimmen:
- Handelt es sich um eine tatsächliche Schwachstelle oder lediglich um ein falsch positives Ergebnis?
- Wie hoch ist der Schwierigkeitsgrad bei der Ausnutzung der Schwachstelle?
- Kann diese Schwachstelle aus der Ferne ausgenutzt werden?
- Wie einfach lässt sich diese Schwachstelle ausnutzen?
- Gibt es öffentlich veröffentlichte Exploits für diese Schwachstelle?
- Wie viele Geräte weisen diese Schwachstelle auf?
- Handelt es sich um eine neue Schwachstelle (ältere Schwachstellen stellen tendenziell eine größere Risikobelastung dar), und wissen Sie, wie lange sie bereits in Ihrem Netzwerk existiert?
- Sind in Ihrer Infrastruktur Sicherheitsrichtlinien, Protokolle und Kontrollen vorhanden, um die Auswirkungen der Schwachstelle im Falle einer Ausnutzung zu mindern?
- Welche Auswirkungen hätte eine erfolgreiche Ausnutzung der Schwachstelle auf die gesamte Organisation?
Schritt 3: Behebung von Schwachstellen
Dieser Schritt konzentriert sich auf die Behandlung und Eindämmung der entdeckten Schwachstellen. Es werden verschiedene Strategien eingesetzt, um Schwachstellen auf Grundlage des Risikograds, den sie für das Unternehmen darstellen, zu priorisieren und zu beseitigen.
Patchen
Das Einspielen von Patches ist oft die naheliegendste Maßnahme, mit der ein großer Teil der in Software gefundenen Schwachstellen behoben werden kann. Tatsächlich sind die meisten Cybersicherheitsverletzungen auf nicht aktualisierte Software zurückzuführen. Daher ist ein Patch-Management-System, das sicherstellt, dass Betriebssysteme und Software von Drittanbietern auf dem neuesten Stand sind, unerlässlich.
Es kann jedoch vorkommen, dass ein Anbieter noch keinen Patch für eine bestimmte Schwachstelle veröffentlicht hat. In diesem Fall sollten Unternehmen auf Maßnahmen zur Risikominderung umsteigen, um die Auswirkungen einer möglichen Ausnutzung der Schwachstelle zu verringern.
Zu diesen Maßnahmen kann gehören, die Benutzerberechtigungen für entsprechende Aktivitäten einzuschränken oder – abhängig von ihrem Schweregrad – die betroffenen Geräte aus dem Netzwerk zu entfernen oder auf eine Sperrliste zu setzen.
Wenn Bedrohungen und Schwachstellen behoben werden, müssen Kontrollen eingerichtet und Fortschritte auf dem Weg zu einer sichereren Sicherheitslage innerhalb der Organisation nachgewiesen werden.
Akzeptieren
Die Akzeptanz ist ebenfalls eine kontraintuitive Strategie des Schwachstellenmanagements. Dabei werden bei entdeckten Schwachstellen keine Maßnahmen ergriffen. Diese Strategie ist bei Schwachstellen mit geringem Risiko sinnvoll, die nur minimale Bedrohungen für das Unternehmen darstellen. Dies gilt umso mehr, wenn die Kosten für die Behebung der Schwachstelle die möglichen Kosten ihrer Ausnutzung übersteigen.
Selbst wenn nur harmlose Schwachstellen behoben werden müssen, sollten Unternehmen weiterhin danach streben, ihre gemeldeten Schwachstellenkennzahlen zu optimieren. Je stärker das Schwachstellenmanagementsystem daher auf die Verbesserung dieser Kennzahlen ausgerichtet ist, desto mehr verringert es die Angriffsfläche der Organisation.
Darüber hinaus kann dieser Behebungsprozess eine Grundlage für das Risikomanagement schaffen, die die Organisation mit neuen und anspruchsvolleren Zielen kontinuierlich neu festlegen kann.
Schritt 4: Schwachstellen überprüfen
Dieser Schritt stellt durch nachträgliche Prüfungen sicher, dass die Bedrohungen im System beseitigt wurden. Zur Überprüfung der Wirksamkeit der ergriffenen Behebungsmaßnahmen sollte außerdem ein Penetrationstest durchgeführt werden. Darüber hinaus wird dadurch sichergestellt, dass während des Prozesses nicht versehentlich neue Schwachstellen entstehen.
Schritt 5: Schwachstellen melden
Es ist wichtig, nicht nur die entdeckten Schwachstellen zu dokumentieren, sondern auch einen Sicherheitsplan dafür, wie bekannte Schwachstellen beschrieben und verdächtige Aktivitäten überwacht werden sollen. Diese Berichte sind von entscheidender Bedeutung, da sie Aufzeichnungen hinterlassen, die Unternehmen dabei helfen, ihre Sicherheitsmaßnahmen in Zukunft zu verbessern.
Es ist außerdem wichtig, diese Berichte der obersten Führungsebene vorzulegen und für Compliance-Prüfungen bereitzustellen. Der Nachweis und die Dokumentation behobener Schwachstellen und Probleme zeigen Verantwortlichkeit. Diese Verantwortlichkeit ist häufig erforderlich, um Compliance-Standards einzuhalten.
Glücklicherweise gibt es intelligente und hochentwickelte Software für das Schwachstellenmanagement und Tools für Penetrationstests von Webanwendungen, die diese Berichte automatisch erstellen können, sodass Sie dies nicht manuell tun müssen.
Die Bedeutung des Schwachstellenmanagements
Prozesse für das Schwachstellenmanagement sind unerlässlich, wenn Sie Ihr Netzwerk schützen möchten, indem Sie das Auftreten von Bedrohungen und Exploits minimieren.
Erfahren Sie mehr über Schwachstellen- und Bedrohungsmanagement, indem Sie weitere Artikel in unserem Blog lesen, oder abonnieren Sie den Newsletter von The QA Lead.
