Automated Vulnerability Management Schwachstellen automatisch schließen

Schatten-IT, veraltete Anwendungen, heterogene Strukturen on-Premise und in der Multi-Cloud: Viele Unternehmen verlieren den Überblick über den Sicherheitsstatus, so dass sich heute oft bereits mehrere hunderttausend Schwachstellen in ihren Systemen angesammelt haben. Nur mit automatischen Lösungen bekommen sie diese Lücken wieder in den Griff.

Schwachstellen existieren: Schon ein einzelner Scan kann in großen Unternehmen mehrere hunderttausend Sicherheitslücken aufdecken. Diese zu schließen, ist schwierig. Denn neben der reinen Masse sind auch noch die Ergebnisse des Vulnerability Managements so komplex, dass sie nicht leicht zu bearbeiten und zu priorisieren sind. Zudem bringt das Aufspielen eines einzigen Patches oft jede Menge weiterer Systemanpassungen mit sich, damit auch weiterhin alles reibungslos läuft.

Kein Wunder also, dass quasi jedes Unternehmen mit unzähligen offenen Schwachstellen lebt. Dabei lässt sich durch automatisierten Einsatz vorhandener Daten die Anzahl der Sicherheitslücken massiv reduzieren. Zudem können entsprechende Lösungen kontinuierlich den aktuellen Status in einem Dashboard abbilden und somit das Sicherheitsniveau deutlich erhöhen. Die Einführung eines solchen Systems für Automated Vulnerability Management (AVM) ist dabei kein Hexenwerk, sondern erfolgt in drei Schritten.

Erster Schritt: Daten auswerten und Incidents erstellen

Zunächst heißt es, die mit dem Scannen, Bewerten und Priorisieren der Schwachstellen sowie dem Erstellen von Incidents verbundenen Prozesse weitgehend zu automatisieren. Dieser Schritt erfordert die Einführung einer Korrelationslösung (Correlation Engine), die auf geeigneten Integrationsplattformen basiert. Sie sammelt Informationen aus den verschiedenen Datensilos, identifiziert die Verantwortlichen und ordnet die entsprechenden Schwachstellen zu.

Die Daten stammen dabei aus verschiedenen Quellen. Dazu gehören die Ergebnisse des Schwachstellenscanners, die Configuration Management Database (CMDB), die Exception Database, Konfigurationsparameter, Ticketing System, Threat Intelligence oder Netzwerk-Topologie-Analyse. Zudem werden Informationen aus der DNS-Auflösung integriert. Bei Bedarf lassen sich auch Daten aus weiteren Plattformen nutzen. Diese verschiedenen Daten sammelt, vergleicht und analysiert die Correlation Engine automatisch.

Dies geschieht in folgenden Schritten:

• Import der Daten in die Correlation Engine, zum Beispiel Splunk

• Reverse DNS-Auflösung der IP-Adressen der gescannten Systeme in die Systemnamen

• Nachschlagen der Asset Owner anhand der Systemnamen in der CMDB oder anderen Repositories

• Prüfung in der Exception Database, ob das System ein nicht patchbares Legacy-System ist

• Prüfung manuell gesetzter Prioritäten aus dem Repository „Configuration Parameter“

• Prüfung im Ticketing System, ob bereits ein Ticket für eine gefundene Schwachstelle eröffnet wurde

• Prüfung anhand bestehender Threat-Intelligence-Systeme, ob für eine gefundene CVE im Internet Exploits vorhanden sind und genutzt werden, um das Ticket zu priorisieren

• Sofern vorhanden, Durchführung einer Angriffssimulation zur Prüfung, ob die Schwachstelle von unsicheren Netzen aus attackiert werden kann

• Bei Vorlage entsprechender Parameter Eröffnung eines neuen Tickets im Ticketing System

• Prüfung der Performance des Prozesses durch entsprechende KPI-Dashboards

Als Ergebnis wird die Remediation automatisch dem Zuständigen zugewiesen und die Kritikalität einer Schwachstelle für das Unternehmen spezifisch bewertet.

Zweiter Schritt: Die Tickets bearbeiten

Bislang müssen die IT-Mitarbeiter des Betriebsteams ihre Tickets meist manuell bearbeiten und ausführen. Dies erfordert allerdings Zeit, die sie dann nicht zur Erfüllung ihrer SLAs aufbringen können. Aus diesem Grund unterstützen neue Ansätze die Betriebsteams bei der Beseitigung der Schwachstellen. Hierfür gibt es vier Vorschläge:

• Virtual Patching bessert die Schwachstelle nicht aus, sondern schützt sie anderweitig gegen bösartige Angriffe. Bei Webanwendungen geschieht dies zum Beispiel über eine Web Application Firewall (WAF). Zudem lässt sich die Angriffsfläche durch den Import von CVE-referenzierten Schwachstellen und IP-Adressen in IPS- oder NAC-Umgebungen reduzieren. Auch eine Integration mit Lösungen für die Endpoint Protection ist möglich.

• Die Infrastruktur-Sicherheit lässt sich auf ähnliche Weise wie bei Anwendungen erhöhen. So reduzieren entsprechende Firewall-Regeln und Access-Control-Listen die Angriffsfläche. Fortgeschrittene Integrationen lassen es zu, individuelle Firewall-Regeln, durch welche ein Angriff erfolgreich sein kann, zu identifizieren und dadurch auch zu deaktivieren.

• Die Software-Verteilung erfolgt heute in der Regel ohnehin nicht mehr manuell. Auch das Aufspielen von Patches lässt sich durch geeignete Lösungen automatisieren. Das System für das Schwachstellen-Management kann auf diese Weise mit einer Data-Center-Orchestration-Lösung integriert werden. Andererseits bieten aber auch einige Schwachstellen-Scanner die Möglichkeit zur Verteilung von Patches an.

• Eine Change Factory ermöglicht den Nachbau kritischer Systeme zur Unterstützung von Anwendungstests. Dieses Abbild kann entweder bei einem Dienstleister oder in einem eigenen, vollständig vom Netzwerk abgeschotteten Bereich der Unternehmens-IT aufgebaut werden. Auch hier ist eine weitgehende Automatisierung von Test- und Analyse-Prozessen möglich.

Dritter Schritt: Patching prüfen und Prozesse optimieren

Vertrauen ist gut, Kontrolle ist besser. Nach einem Patch-Prozess können Artefakte zurückbleiben, die einen Angriff weiterhin ermöglichen. So werden beispielsweise durch die Patch-Routinen angreifbare Bibliotheken (DLLs) übersehen, die auf dem System verbleiben. Daher sollten Unternehmen nach jedem Patch-Prozess auf Basis von Regressionstests prüfen, ob die entsprechende Schwachstelle tatsächlich geschlossen wurde. Die Wiederholung von Testfällen gewährleistet, dass die Änderungen keine neuen Fehler in der Anwendung verursacht haben. Dabei sind die Tests stets über entsprechende Scan-Profile automatisiert.

Menschliches Know-how bleibt unersetzbar

Die Effizienz des Schwachstellen-Managements lässt sich durch die Automatisierung dieser drei Schritte deutlich erhöhen. Doch gut ist häufig nicht gut genug. Daher sollten die Abläufe kontinuierlich optimiert werden, um die Effizienz weiter zu erhöhen. Zudem gibt es trotz der Automatisierung auch weiterhin manuelle Tätigkeiten im Rahmen des Basisbetriebs.

Diese manuellen Betriebsprozesse umfassen vor allem fünf Bereiche: die Überwachung der Correlation Engine, die Prüfung ihrer Ergebnisse, die Zuordnung von Schwachstellen, die Optimierung der Datenquellen sowie das Management von Tickets. Für alle fünf Schritte sind jeweils Reports zu erstellen, Behebungsprozesse zu eskalieren, Verbesserungsvorschläge zu entwickeln sowie Abhilfemaßnahmen zu schaffen.

KPIs für mehr Transparenz

Der Erfolg dieser Optimierungsmaßnahmen lässt sich über entsprechende KPIs messen. Dabei erhalten der Basisbetrieb und die Prozesse zur Performance-Erhöhung eine Service-Kennzahl. Der Drill-down in die KPIs zeigt dabei den Status verschiedener Bereiche an, wie erkannte und behobene Schwachstellen, Verbesserungen bei CMDB/DNS, automatisch zugewiesene Tickets oder Effektivität der Correlation Engine. Über die zeitliche Entwicklung dieser KPIs können Unternehmen dann feststellen, ob ihre Prozesse tatsächlich kontinuierlich verbessert werden und sich die Zahl offener Schwachstellen deutlich reduziert. Das ist nicht zuletzt für die Management-Ebene der Unternehmen von besonderem Interesse, da ein wirksames Schwachstellenmanagement neben SIEM und Privileged Account Management zu den Top Controls zur Gewährleistung von Cybersecurity gehört.

Automated Vulnerability Management ist daher ein intelligenter Lösungsansatz, der den gesamten Prozess der Erkennung und Behebung von Sicherheitslücken weitgehend automatisiert. So schützen sich Unternehmen vor zielgerichteten Angriffen, indem die Bedrohungen sichtbar werden und sich einfacher abwehren lassen.

Dank der automatisierten Auswertung vorhandener Daten wird die Anzahl der Schwachstellen erheblich reduziert und damit das Sicherheitslevel entsprechend erhöht. Zudem lässt sich jederzeit der aktuelle Status in einem Dashboard ablesen. Gleichzeitig reduziert dieser Ansatz den Aufwand für das Vulnerability Management sowie dessen Komplexität deutlich, so dass sich die IT-Verantwortlichen wieder auf strategische Aufgaben konzentrieren können.

Über den Autor: Ralf Nemeyer ist Principal Consultant Secure Information bei Computacenter.

(ID:46840242)