Risikobewertung bei Schwachstellen Schwachstellenmanagement ist kein Zahlenspiel!

Anbieter zum Thema

Arvato Systems

TXOne Networks

Outpost24 GmbH

Qualys GmbH

Wenn Unternehmen versuchen, alle Schwachstellen gleich zu behandeln, werden sie schnell überfordert sein. Angesichts der schieren Masse kann Cybersicherheit nur effektiv sein, wenn die Schwachstellen im richtigen Kontext betrachtet und entsprechend priorisiert werden.

Zunächst einmal müssen Unternehmen verstehen, was es bedeutet, eine Schwachstelle zu haben. Schwachstellen werden oft isoliert identifiziert und definiert, ohne andere Faktoren zu berücksichtigen. Tatsächlich ist eine Schwachstelle aber nur so schlimm wie die Bedrohung, die sie ausnutzt, und die potenziellen Auswirkungen, die eine erfolgreiche Nutzung haben könnte.

Zum Beispiel könnte ein kaputtes Schloss an einer Außentür als Schwachstelle angesehen werden. Es besteht das Risiko, dass durch diese ein Unbefugter eindringt. Wenn es jedoch keine Berichte über Einbrecher gibt, die nachts in Ihrer Stadt nach unverschlossenen Türen suchen, muss das Problem des kaputten Schlosses vielleicht nicht so dringend behoben werden wie andere, die Sie möglicherweise haben. Falls es dennoch aktuelle Berichte gab, die Tür aber zu einem leeren Schuppen führt, dann sind die potenziellen Auswirkungen gleich null. In beiden Fällen ist das Schloss an der Tür zwar immer noch kaputt, aber der Kontext zeigt, dass diese „Schwachstelle“ nicht sonderlich kritisch ist.

Common Vulnerabilities and Exposures (CVE)

CVE & Co. für Einsteiger

Unternehmen klassifizieren oder priorisieren Schwachstellen oft anhand der sogenannten CVSS- (Common Vulnerability Scoring System) und CVE- (Common Vulnerabilities and Exposure)-Zahlen. Doch keines der beiden Systeme kann für sich alleine die Basis für ein effektives Schwachstellenmanagement bilden.

Das CVSS misst den Schweregrad einer Schwachstelle, berücksichtigt aber nicht das Risiko, das von ihr ausgeht. Das System stellt ein Worst-Case-Szenario dar – für das Ausmaß der Folgen oder Schäden, die eintreten könnten, falls das Einfallstor erfolgreich ausgenutzt wird. Es beschreibt jedoch nicht, wie wahrscheinlich die Ausnutzung ist. Die CVE-Liste ist aus der Risikomanagement-Perspektive von noch geringerem Nutzen, da sie lediglich eine Namenskonvention zur Identifizierung eindeutiger Schwachstellen ist.

Kontext ist der Schlüssel zur Priorisierung von Schwachstellen

Eine Schwachstelle kann schwerwiegend, aber wenig riskant sein oder hoch riskant, aber nicht schwerwiegend. Die Begriffe schwerwiegend und riskant sind nicht austauschbar. Es ist wichtig, sich über den Unterschied im Klaren zu sein.

IT-Sicherheitsteams neigen dazu, sich auf die neuesten Schwachstellen zu konzentrieren – insbesondere auf die schwerwiegenden. Die Angreifer dagegen geben nicht unbedingt den schwerwiegenden Schwachstellen den Vorzug. Sie müssen niemandem etwas beweisen. Im Allgemeinen konzentrieren sie sich auf das, was einfach auszunutzen ist und eine hohe Rendite verspricht. Viele Angriffe richten sich gegen alte Schwachstellen, für die schon seit Monaten – oder gar Jahren – Patches existieren, weil die Angreifer dafür einfach ein Tool erwerben und das Auffinden und Ausnutzen der Schwachstelle automatisieren können.

Das Common Vulnerability Scoring System

CVSS - Rückblick, Status Quo und Ausblick

Spieltheorie und Schwachstellenmanagement

Einer der größten Trugschlüsse beim Schwachstellenmanagement ist der Glaube, dass es eine Sache von Zahlen sei. Viele Unternehmen haben eine verzerrte, an Metriken orientierte Sicht auf das Schwachstellenmanagement, die die Illusion von Fortschritten und Erfolgen schafft, während das Unternehmen in Wirklichkeit erheblichen Risiken ausgesetzt bleibt.

Wenn 1.000 Schwachstellen gefunden werden und es dem IT-Sicherheitsteam gelingt, 990 davon zu patchen oder zu entschärfen, dann hat es 99 Prozent der Schwachstellen behoben. Das klingt erst einmal beeindruckend – doch ein Angreifer braucht nur eine einzige. Die eigentliche Frage lautet deshalb: Was sind die zehn verbleibenden Einfallstore, und welche potenziellen Auswirkungen können diese für das Unternehmen haben?

Statt das Schwachstellenmanagement als ein Zahlenspiel zu betrachten und den Erfolg anhand eines Prozentsatzes der insgesamt entdeckten Schwachstellen zu messen, sollten Unternehmen das Schwachstellenmanagement als eine spieltheoretische Funktion sehen. Es gibt verschiedene Faktoren, die berücksichtigt werden müssen, um Schwachstellen effektiv priorisieren und ein wirksames Schwachstellenmanagement betreiben zu können. Die IT-Sicherheitsteams sind aufgefordert zahlreiche Aspekte gegeneinander abzuwägen – den Schweregrad der Schwachstellen, die Kritikalität und Zugänglichkeit der Assets, Kontrollen zur Risikominderung, potenzielle Auswirkungen und vieles mehr. Sie müssen taktisch denken, um eine erfolgreiche Strategie entwickeln zu können.

CVSS kontra Angriffswahrscheinlichkeit

Risikobewertung von Schwachstellen

Kontinuierliche Wachsamkeit ist unverzichtbar

Ein letztes wichtiges Merkmal einer effektiven Schwachstellenmanagement-Strategie ist die Kontinuität. Ein monatlich – oder selbst wöchentlich – durchgeführter Scan zur Ermittlung der Schwachstellen, die behoben werden müssen, liefert nicht mehr als eine Momentaufnahme.

Angreifer arbeiten nicht nach einem Wochen- oder Monatsplan. Das Internet ist globalund damit zeitunabhängig. Da rund um die Uhr Angreifer am Werk sind, müssen Sie auch rund um die Uhr Schwachstellenmanagement betreiben.

Wenn Sie bei der Priorisierung von Maßnahmen zur Schwachstellenbeseitigung den Kontext berücksichtigen; wenn Sie eine Strategie auf Basis der Spieltheorie verfolgen, anstatt das Schwachstellenmanagement als reines Zahlenspiel zu behandeln; und wenn Sie ein System zur kontinuierlichen Überwachung auf Schwachstellen etablieren – dann können Sie die Angriffsfläche verringern und Ihr Sicherheitsniveau erhöhen.

Über den Autor: Prateek Bhajanka ist Vice President Product Management, Vulnerability Management, Detection and Response (VMDR) bei Qualys.

(ID:46667828)