Schwachstellen-Management

Der Bereich Schwachstellenanalyse und -management unterstützt Sie dabei, Schwachstellen in der eingesetzten Software zu finden und deren Behebung zu überwachen.

Die Behebung von definierten Schwachstellen sollte grundsätzlich zeitnah nach deren Definition bzw. Vorliegen eines Patches erfolgen, muss aber andererseits in Produktionsumgebungen aber Rücksicht auf definierte Verfügbarkeiten nehmen. Jede Behebungsmaßnahme muss aber vor Aktivierung ausführlich (zum Beispiel im Rahmen einer Sandbox-Umgebung) auf Seiteneffekte überprüft werden.

Neben klassischen Schwachstellen (durch Patches zu behebende Software-Fehler) werden natürlich auch

• Richtlinienverstöße (z.B. im Berechtigungsbereich, Schlüssellängen, usw.)
• Abweichungen von Best-Practice-Modellen (z.B. offene Schnittstellen, usw.) und
• obsolete Software-Versionen (die keine Sicherheitspatches mehr erhalten)

erkannt und dokumentiert.

Die Überprüfungen erfolgen entweder automatisiert nach variabel gestaltbaren Plänen, manuell gesteuert oder werden durch Ereignisse ausgelöst. Die auslösenden Ereignisse können extern (z.B. Vorliegen von neuen Patches) oder intern (z.B. Erkennung neuer Systeme) sein.

Die Überprüfungen werden durch interne Scan-Instanzen, cloud-basierende Scanner oder asset-lokale Scanner (Agents) durchgeführt, wobei ein Zusammenspiel von lokalen oder nicht-lokalen Erkennungsmethoden die beste und zeitnaheste Erkennung ermöglicht.
Schlüssel zum Erfolg ist aber immer, dass das oder die erkennenden Systeme einen - so weit sicherheitstechnisch vertretbar - uneingeschränkten Zugriff (z.B. MS-Umgebung: Domänenadmin, Unix-Umgebung: root-Entsprechung) auf die überprüfen Systeme haben.

Eine Schwachstellenüberprüfung muss aber bei allen vorliegenden Rechten Ressourcen- und betriebsschonend erfolgen. Die Beeinträchtigung von Assets und deren Funktion muss unbedingt ausgeschlossen werden. Deshalb wird eine Schwachstellenerkennung in der Regel auch vermeiden, die konkrete Nutzbarkeit von Schwachstellen zu überprüfen, da das ja bereits zu Auswirkungen auf das Zielsystem führen könnte (bzw. auch automatisierte Abwehrmaßnahmen nach sich ziehen könnte, z.B. im Rahmen eines IDS/IPS Systems).

Neben Schwachstellenüberprüfungen erfolgen in der Regel auch periodische Scans zur Überprüfung von Netzwerksegmenten zur Feststellung von neuen, evtl nicht dokumentierten und noch nicht im Prüfzyklus enthaltenen Systemen (besonders relevant bei der Einbindung externer Dienstleister im Betrieb).

Wichtig bei der Wahl eines Schwachstellenstellenmanagements ist die mögliche Notwendigkeit und Verfügbarkeit folgender Teilfunktionen:

• Systemerkennung und kontinuierliche Verfolgung (auf Basis z.B. IP-Adresse, Hostname, Asset-Schlüssel, usw.)
• Kategorisierung und Priorisierung von Assets und Assetgruppen
• Berichtsmöglichkeiten auf unterschiedlichen Ebenen, sowohl dynamisch (über Dashboards) als auch statisch (über generierte, periodische Berichte)
• Dokumentation vorliegender Schwachstellen und des Zeitlaufes zwischen Feststellung und Behebung
• Beurteilung des individuellen und insgesamten Zustands auf Basis verschiedener Kriterien (z.B. Anzahl der Schwachstellen, typisches Alter der Schwachstellen)
• Einbindung von vorliegenden Normen (wie z.B. PCI) und Beurteilung des individuellen und insgesamten Zustandes im Rahmen dieser Normen
• Erkennen von technisch nicht anwendbaren Schwachstellen bzw. manuelle Definition solcher und nachfolgendes, granulares Ausblenden von Schwachstellen (global oder Asset-individuell).
• Bei größeren und möglicherweise organisationsübergreifenden Umgebungen Möglichkeit eines granular gestaltbaren Benutzerzugriffs und eines internen Mandantensystems.

Mögliche Schnittstellen und gemeinsame Funktionen werden im Bereich des Asset Managements und der automatischen Maßnahmensetzung nach Schwachstellenerkennung (Segmentierung bzw. Mikrosegmentierung) zu finden sein.

Das eigentliche Patchmanagement stellt eine nachfolgende Funktion dar, die aber zum Teil eng mit der Erkennung (und der von dieser gelieferten Daten) integrierbar ist.