Mobile-Menu

Schwachstellen-Flut eindämmen Nur 3 Prozent aller Sicherheitslücken sind wirklich kritisch

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

Tenable Network Security
sysob IT-Distribution GmbH & Co. KG
SEPPmail - Deutschland GmbH

Eine Studie von Tenable zeigt, dass nur ein Bruchteil aller Schwachstellen ein echtes Risiko für Unternehmen und deren Systeme darstellt. Um diese Schwachstellen effizient zu identifizieren und Security-Admins das Exposure Management zu erleichtern, braucht es geeignete Modelle zur Risikobewertung.

Nur etwa drei Prozent aller Schwachstellen haben in der Regel das Potenzial, sich businesskritisch auszuwirken.(Bild: ImageFlow - stock.adobe.com)
Nur etwa drei Prozent aller Schwachstellen haben in der Regel das Potenzial, sich businesskritisch auszuwirken.
(Bild: ImageFlow - stock.adobe.com)

Viele Security-Tools überfordern Analysten mit einer schier endlosen Liste fragmentierter Schwachstellen- und Threat-Intelligence-Daten, die sie kaum abarbeiten können – und eigentlich auch gar nicht müssen. Laut der Studie „The critical few: How to expose and close the threats that matter“ von Tenable haben in der Regel nur etwa drei Prozent aller Schwachstellen das Potenzial, sich businesskritisch auszuwirken. Dieser Wert ist das Ergebnis eines fast sechsmonatigen Monitorings, das das Unternehmen ab dem 1. Januar 2024 mithilfe seines VPR-Modells (Vulnerability Priority Rating) durchgeführt hat.

Vulnerability Priority Rating

Tenable hat über zwei Jahrzehnte lang 50 Billionen Datenpunkte zu mehr als 240.000 Schwachstellen gesammelt und analysiert und aufsetzend auf diesem umfangreichen Datensatz das Vulnerability Priority Rating entwickelt. Im Gegensatz zu Bewertungsmodellen wie dem Common Vulnerability Scoring System (CVSS) ist es sehr viel granularer und wird laufend aktualisiert, um die aktuelle Bedrohungslandschaft abzubilden. Das VPR berücksichtigt zudem den gesamten bisherigen „Lebensweg“ einer Schwachstelle seit deren erstmaligem Auftreten.

Die Werte des Vulnerability Priority Rating reichen von 0,1 bis 10. Je höher das VPR, desto wahrscheinlicher ist es, dass eine Schwachstelle ausgenutzt wird.

Kategorie VPR
Critical 9,0 bis 10,0
High 7,0 bis 8,9
Medium 4,0 bis 6,9
Low 0,1 bis 3,9

Bei Schwachstellen mit einem VPR über 9,0 ist die Wahrscheinlichkeit hoch, dass sie im Falle einer Entdeckung ausgenutzt werden. Daher sollten diese Schwachstellen oberste Priorität haben. Ein VPR zwischen 7,0 und 8,9 bedeutet ein moderates Risiko. Schwachstellen der Kategorien „Medium“ und „Low“ (0,1 bis 6,9) werden dagegen nur mit geringer Wahrscheinlichkeit ausgenutzt.

Ein Beispiel: Von den am 2. Juni 2024 im Rahmen der Studie analysierten Schwachstellen fielen nur 3,1 Prozent in die Kategorien „Critical“ oder „High“. Dieser geringe Anteil von knapp über 3 Prozent blieb, mit geringfügigen Schwankungen von einem oder zwei Zehnteln, über den gesamten Untersuchungszeitraum stabil.

Effizientes Exposure Management

Bei der schieren Menge an Schwachstellen – und damit potenziellen Einfallstoren – wird klar: Ohne Priorisierung ist es kaum möglich, Systeme auf dem neuesten Stand zu halten und deren Sicherheit zu gewährleisten. Was es braucht, ist ein zeitgemäßes Exposure Management samt entsprechender Tools, das Unternehmen dabei unterstützt, die wirklich businesskritischen Risiken zu identifizieren und zu adressieren. Ein kontext- und risikobasierter Ansatz stärkt die Security Posture, sorgt für einen effizienteren Ressourceneinsatz und erleichtert oftmals überlasteten Security-Admins ihre Arbeit.

(ID:50201150)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte