CVSS kontra Angriffswahrscheinlichkeit Risikobewertung von Schwachstellen

Cyberkriminalität ist zu einem Geschäftsmodell geworden, das auf maximalen Gewinn abzielt: Angreifer verwenden die gleichen Techniken mehrfach und automatisieren ihr Vorgehen, um möglichst viele Ziele erfolgreich zu erpressen. Der Fall „WannaCry“ aus dem Jahr 2017 ist das beste Beispiel hierfür.

Anbieter zum Thema

Arvato Systems

Rapid7 Germany

Outpost24 GmbH

Skybox Security Inc. German Branch Office

Obwohl „WannaCry“ damals großen Schaden anrichtete, hatte diese Ransomware – wie viele andere auch – einen Vorteil: Unternehmen hätten sich auf sie vorbereiten können. Denn laut „Verizon Data Breach Incident Report“ lassen sich 85 Prozent des durch Exploits entstehenden Schadens auf etwa ein Dutzend Sicherheitslücken zurückführen. Die verbleibenden 15 Prozent nutzen weitere ca. 900 CVEs (Common Vulnerabilities Exposures) aus. Unternehmen, die sich bislang nur auf die gemäß CVSS als besonders kritisch bewerteten Schwachstellen konzentrierten, können ihre Sicherheit deutlich maximieren, indem sie in die Beseitigung genau der Schwachstellen investieren, die am wahrscheinlichsten angegriffen werden – und zu denen es im Unternehmen einen Angriffsvektor gibt (Exposure).

Common Vulnerabilities and Exposures (CVE)

CVE & Co. für Einsteiger

Das CVSS-System ist veraltet

Die meisten Schwachstellen-Management-Systeme basieren auf dem Common-Vulnerability-Scoring-System (CVSS). Das 2005 entwickelte System unterstützt Unternehmen bei der Priorisierung von Sicherheitslücken bzw. Patches. Doch die damalige Bedrohungslandschaft unterscheidet sich stark von der heutigen Realität. Die sogenannten Zeitmetriken („temporal scores“) sollten ursprünglich Rahmenbedingungen erfassen, unter denen sich Schwachstellen im Laufe der Zeit aufgrund anderer Ereignisse verändern. Leider wurde das System nie vollständig implementiert. Infolgedessen ist es nicht möglich, die Umgebungsmetriken („environmental scores“) durch das CVSS exakt zu bestimmen. Diese spiegeln mögliche Auswirkungen einer Schwachstelle auf die Organisation wider. Auf dem CVSS basierende Scores enthalten daher nur die jeweiligen intrinsischen Eigenschaften der Sicherheitslücken. Daher liegt die Aufmerksamkeit der Organisation auf Schwachstellen mit einem geringen Risiko – während die, die mit einer hohen Wahrscheinlichkeit ausgenutzt werden, vernachlässigt werden.

Kali Linux Workshop, Teil 3

Schwachstellenanalyse mit Kali Linux

Für die Schwachstellenanalyse und die Reaktionsfähigkeit auf Angriffe stellt dies ein ernstzunehmendes Problem dar. Denn der Schweregrad von Sicherheitslücken verändert sich. Er ist abhängig davon, wie sich die Bedrohungslandschaft entwickelt und wie das Umfeld der Sicherheitslücke – also das Netzwerk der betroffenen Organisation – aussieht. Ohne Berücksichtigung des Netzwerkkontexts können Sicherheitslücken nicht richtig priorisiert werden.

Bessere Sicherheit durch Kontext

Für Unternehmen wird eine umfassende Sicherheitsstrategie deshalb immer wichtiger. Diese berücksichtigt zum einen die Komplexität der Netzwerke, aber auch Entwicklungen in der Bedrohungslandschaft. Damit legt sie auch fest, welche Schwachstellen die sofortige Aufmerksamkeit erfordern. Um die Datenerfassung und -analyse wirklich für eine Reaktion auf Bedrohungen sowie für strategische Verbesserungen in der Cybersicherheit nutzen zu können, müssen sich Unternehmen auf die Automatisierung konzentrieren. Die Umwandlung reiner Daten in für das Unternehmen nützliche und vor allem relevante Informationen verbessert Sicherheitsmaßnahmen, senkt IT-Kosten und federt den zunehmenden Security-Fachkräftemangel des Unternehmens ab.

Cyberkriminalität wird nicht von einem Tag auf den nächsten verschwinden und die Nachfolger von „WannaCry“ und „NotPetya“ werden irgendwann die Möglichkeiten und Grenzen der Sicherheitsstrategien und -Tools testen. Diese Tools müssen dann gewährleisten, dass Unternehmen sich nicht nur gegen Cyberangriffe verteidigen, sondern Sicherheitsfragen proaktiv angehen können.

Über den Autor: Dr. Chris Brennan ist Regional Director DACH, Eastern Europe, Russia and Israel bei Skybox Security.

(ID:45458611)