Was ist eine Schwachstellenbewertung? Und wie man eine durchführt

Bei der Schwachstellenbewertung handelt es sich um den Prozess der Identifizierung, Klassifizierung und Priorisierung von Sicherheitslücken in der IT-Infrastruktur. Eine umfassende Schwachstellenbewertung bewertet, ob ein IT-System bekannten Schwachstellen ausgesetzt ist, ordnet identifizierten Schwachstellen Schweregrade zu und empfiehlt bei Bedarf Abhilfe- oder Entschärfungsschritte.

Schwachstellenbewertungen sind ein gängiges Sicherheitsverfahren, da sie einen detaillierten Überblick über die Sicherheitsrisiken bieten, denen ein Unternehmen ausgesetzt sein kann, und es ihm ermöglichen, seine Informationstechnologie und sensible Daten besser vor Cyberbedrohungen zu schützen.

Schwachstellen können in Anwendungen gefunden werden, die von Drittanbietern oder intern erstellter Software verwaltet werden, und viele Fehler lassen sich leicht beheben, sobald sie identifiziert sind.

Warum ist eine Schwachstellenbewertung wichtig?

Die Sicherheitsrisikobewertung ist wichtig, da sie Ihnen Informationen über die Sicherheitslücken in Ihrer Umgebung liefert und Anweisungen gibt, wie die Probleme behoben oder gemildert werden können, bevor sie ausgenutzt werden können.

Dieser Prozess verschafft Ihnen ein besseres Verständnis Ihrer IT-Infrastruktur, Ihrer Sicherheitslücken und Ihres Gesamtrisikos, was die Informationssicherheit und die Anwendungssicherheitsstandards erheblich verbessert und gleichzeitig die Wahrscheinlichkeit verringert, dass ein Cyberkrimineller unbefugten Zugriff auf Ihr Unternehmen erhält.

Welche verschiedenen Arten der Schwachstellenbewertung gibt es?

Es gibt verschiedene Arten der Schwachstellenbewertung:

Netzwerkbasierte Bewertung: Wird verwendet, um mögliche Netzwerksicherheitsprobleme zu identifizieren und kann anfällige Systeme in kabelgebundenen und drahtlosen Netzwerken erkennen.
Hostbasierte Bewertung: Wird verwendet, um Schwachstellen in Servern, Workstations und anderen Netzwerk-Hosts zu lokalisieren und zu identifizieren. Dieser Scan untersucht in der Regel offene Ports und Dienste und kann Einblick in die Konfigurationseinstellungen und das Patch-Management der gescannten Systeme bieten.
Bewertung von drahtlosen Netzwerken: Wird verwendet, um Wi-Fi-Netzwerke und Angriffsvektoren in der drahtlosen Netzwerkinfrastruktur zu scannen. Es kann überprüfen, ob das Netzwerk Ihres Unternehmens sicher konfiguriert ist, um unbefugten Zugriff zu verhindern, und kann auch nicht autorisierte Access Points identifizieren.
Application Assessment: Die Identifizierung von Sicherheitslücken in Webanwendungen und deren Quellcode durch den Einsatz automatisierter Schwachstellen-Scanning-Tools am Frontend oder die statische/dynamische Analyse des Quellcodes.
Datenbankbewertung: Die Bewertung von Datenbanken oder Big-Data-Systemen auf Schwachstellen und Fehlkonfigurationen, die Identifizierung nicht autorisierter Datenbanken oder unsicherer Entwicklungs-/Testumgebungen und die Klassifizierung sensibler Daten zur Verbesserung der Datensicherheit.

Was ist der Prozess zur Bewertung von Sicherheitslücken?

Der Prozess zur Identifizierung von Sicherheitslücken besteht aus fünf Schritten:

Identifizierung von Schwachstellen: Analyse von Netzwerkscans, Penetrationstestergebnissen, Firewall-Protokollen und Ergebnissen von Schwachstellenscans, um Anomalien zu finden, die darauf hindeuten, dass ein Cyberangriff eine Schwachstelle ausnutzen könnte.
Schwachstellenanalyse: Entscheiden Sie, ob die identifizierte Schwachstelle ausgenutzt werden könnte, und klassifizieren Sie den Schweregrad des Exploits, um das Ausmaß des Sicherheitsrisikos zu verstehen.
Risikobewertung: Bewerten Sie, welche Schwachstellen auf der Grundlage ihrer Wurmfähigkeit und anderer Risiken zuerst entschärft oder behoben werden.
Behebung: Aktualisieren Sie nach Möglichkeit die betroffene Software oder Hardware.
Gegenmaßnahme: Entscheiden Sie sich für Gegenmaßnahmen und wie deren Wirksamkeit gemessen werden kann, falls ein Patch nicht verfügbar ist.

Der Prozess der Schwachstellenbewertung ist eine wichtige Komponente des Lebenszyklus des Schwachstellenmanagements und des IT-Risikomanagements und muss regelmäßig durchgeführt werden, um effektiv zu sein.

Weitere Informationen finden Sie in unserem Leitfaden zum Vulnerability Management.

1. Identifizierung von Schwachstellen

Bei der Identifizierung von Schwachstellen handelt es sich um die Entdeckung und Erstellung einer vollständigen Liste von Schwachstellen in Ihrer IT-Infrastruktur.

Dies wird in der Regel durch eine Kombination aus automatisiertem Schwachstellen-Scanning und manuellen Penetrationstests erreicht.

Ein Schwachstellenscanner kann Computer, Netzwerke oder Webanwendungen auf bekannte Schwachstellen untersuchen, wie sie in den Common Vulnerabilities and Exposures (CVE) aufgeführt sind.

Schwachstellentests können über authentifizierte oder nicht authentifizierte Scans durchgeführt werden:

Authentifizierte Scans: Erlauben Sie Schwachstellen-Scannern den Zugriff auf Netzwerkressourcen mithilfe von Remote-Verwaltungsprotokollen und authentifizieren Sie sich mit den bereitgestellten Systemanmeldeinformationen. Der Vorteil authentifizierter Scans besteht darin, dass sie Zugriff auf Low-Level-Daten wie spezifische Dienste, Konfigurationsdetails und genaue Informationen über Betriebssysteme, installierte Software, Konfigurationsprobleme, Zugriffskontrolle, Sicherheitskontrollen und Patch-Management bieten.
Nicht authentifizierte Scans: Bieten Sie keinen Zugriff auf Netzwerkressourcen, was zu falsch positiven Ergebnissen und unzuverlässigen Informationen über Betriebssysteme und installierte Software führen kann. Diese Art von Scan wird in der Regel von Cyber-Angreifern und IT-Sicherheitsanalysten verwendet, um zu versuchen, die Sicherheitslage von extern ausgerichteten Assets und Drittanbietern zu bestimmen und mögliche Datenlecks zu finden.

Erfahren Sie, wie Sie anfällige Software von Drittanbietern identifizieren >

Wie alle Sicherheitstests ist auch das Scannen von Schwachstellen nicht perfekt, weshalb andere Techniken wie Penetrationstests verwendet werden. Penetrationstests sind die Praxis des Testens eines IT-Assets, um ausnutzbare Schwachstellen zu finden, und können mit Software automatisiert oder manuell durchgeführt werden.

Unabhängig davon, ob sie automatisch oder manuell von einem Sicherheitsteam durchgeführt werden, können Penetrationstests Sicherheitslücken und mögliche Angriffsvektoren finden, die von Schwachstellen-Scanning-Tools übersehen werden. Es kann auch verwendet werden, um Sicherheitskontrollen vor Ort, die Einhaltung von Informationssicherheitsrichtlinien, die Anfälligkeit der Mitarbeiter für Social-Engineering-Angriffe wie Phishing oder Spear-Phishing sowie die Prüfung von Incident-Response-Plänen zu testen.

2. Schwachstellen-Analyse

Nachdem Schwachstellen identifiziert wurden, müssen Sie ermitteln, welche Komponenten für die einzelnen Schwachstellen verantwortlich sind, und die Ursache für die Sicherheitslücken. Die Ursache der Schwachstelle könnte beispielsweise eine veraltete Version einer Open-Source-Bibliothek sein.

In dieser Situation gibt es einen klaren Weg zur Behebung, d. h. zum Aktualisieren der Bibliothek. Es gibt jedoch nicht immer eine einfache Lösung, weshalb Unternehmen häufig jede Schwachstelle einem Sicherheitsbewertungsprozess unterziehen müssen, der den Schweregrad der Schwachstelle klassifiziert, mögliche Lösungen identifiziert und entscheidet, ob das identifizierte Risiko auf der Grundlage der Risikomanagementstrategie des Unternehmens akzeptiert, behoben oder gemindert werden soll.

3. Risikobewertung

Das Ziel dieses Schritts ist es, Schwachstellen zu priorisieren. Dies beinhaltet häufig die Verwendung eines Tools zur Schwachstellenbewertung, das jeder Schwachstelle einen Rang oder Schweregrad zuweist.

UpGuard BreachSight, ein Tool zur Verwaltung der Angriffsfläche, verwendet beispielsweise die CVSS-Bewertungen (Common Vulnerability Scoring System), um eine numerische Bewertung von 0 bis 10 basierend auf den Hauptmerkmalen und dem Schweregrad der Schwachstelle zuzuweisen.

Vor diesem Hintergrund wird jeder gute Bericht zur Schwachstellenbewertung zusätzliche Faktoren berücksichtigen, wie z. B.:

Welches System ist betroffen?
Welche sensiblen Daten auf dem System gespeichert sind, z. B. personenbezogene Daten (PII) oder geschützte Gesundheitsinformationen (PHI)
Welche Geschäftsfunktionen auf das System angewiesen sind?
Die Leichtigkeit von Angriffen oder Kompromittierungen
Die geschäftlichen Auswirkungen eines erfolgreichen Exploits
Gibt an, ob die Sicherheitsanfälligkeit über das Internet zugänglich ist oder physischen Zugriff erfordert
Wie alt ist die Schwachstelle?
Alle regulatorischen Anforderungen, die Ihr Unternehmen hat, z. B. CCPA, FISMA, GLBA, PIPEDA, LGPD, 23 NYCRR 500, FIPA, PCI DSS, HIPAA oder der SHIELD Act
Die Kosten einer Datenschutzverletzung in Ihrer Branche

Lesen Sie unseren Leitfaden zur Durchführung einer Risikobewertung der IT-Cybersicherheit >

4. Sanierung

Die Behebung von Sicherheitslücken umfasst die Behebung von Sicherheitsproblemen, die im Risikobewertungsprozess als inakzeptabel eingestuft wurden. Dabei handelt es sich in der Regel um eine gemeinsame Anstrengung von Entwicklungs-, Betriebs-, Compliance-, Risikomanagement- und Sicherheitsteams, die sich für einen kostengünstigen Weg zur Behebung jeder Schwachstelle entscheiden.

Viele Schwachstellenmanagementsysteme bieten empfohlene Behebungstechniken für häufige Schwachstellen, die so einfach sein können wie das Installieren sofort verfügbarer Sicherheitspatches oder so komplex wie das Ersetzen von Hardware.

Spezifische Abhilfemaßnahmen variieren je nach Sicherheitsanfälligkeit, umfassen jedoch häufig:

Aktualisierung der Betriebsabläufe
Entwicklung eines robusten Konfigurationsmanagementprozesses
Patchen von Software

5. Schadensbegrenzung

Nicht jede Schwachstelle kann behoben werden, und hier kommt die Risikominderung ins Spiel. Die Risikominderung konzentriert sich darauf, die Wahrscheinlichkeit zu verringern, dass eine Schwachstelle ausgenutzt werden kann, oder die Auswirkungen der Schwachstelle zu verringern.

Spezifische Maßnahmen zur Risikominderung variieren stark, abhängig von Ihrer Risikotoleranz und Ihrem Budget, umfassen jedoch oft:

Einführung neuer Sicherheitskontrollen
Austausch von Hardware oder Software
Verschlüsselung
Risikomanagement von Anbietern
Management der Angriffsfläche
Kontinuierliche Sicherheitsüberwachung

Welche potenziellen Bedrohungen können durch eine Schwachstellenbewertung verhindert werden?

Beispiele für Cyberangriffe, die durch eine Schwachstellenbewertung verhindert werden können, sind:

Privilege Escalation Attacks: Privilege Escalation ist die Ausnutzung eines Programmierfehlers, einer Schwachstelle, eines Designfehlers, eines Konfigurationsversehens oder einer Zugriffskontrolle in einem Betriebssystem oder einer Anwendung, um unbefugten Zugriff auf Ressourcen zu erhalten, die normalerweise für die Anwendung oder den Benutzer eingeschränkt sind. Lesen Sie hier mehr über die Rechteausweitung.
SQL-Injections: SQL-Injection-Angriffe treten auf, wenn ungültige oder nicht vertrauenswürdige Daten über eine Formulareingabe oder ein anderes Datenübermittlungsfeld in einer Webanwendung an einen Codeinterpreter gesendet werden. Erfolgreiche Injektionsangriffe können zu Datenlecks, Datenbeschädigung, Datenschutzverletzungen, Verlust der Verantwortlichkeit und Verweigerung des Zugriffs führen.
XSS-Angriffe: Cross-Site-Scripting (XSS) ist eine Art von Sicherheitslücke, die typischerweise in Webanwendungen zu finden ist. XSS ermöglicht es Angreifern, clientseitige Skripte in Webseiten einzuschleusen, die von anderen Benutzern angezeigt werden, und kann verwendet werden, um die Zugriffskontrolle zu umgehen, z. B. die Richtlinie für denselben Ursprung. Die Auswirkungen von XSS können von einem kleinen Ärgernis bis hin zu einem erheblichen Cybersicherheitsrisiko reichen, abhängig von der Sensibilität der Daten, die von der anfälligen Website verarbeitet werden, und der Art der implementierten Gegenmaßnahmen. Lesen Sie hier mehr über Cross-Site-Scripting.
Unsichere Standardeinstellungen: Es kommt häufig vor, dass Software und Hardware mit unsicheren Einstellungen ausgeliefert werden, z. B. leicht zu erratende Kennwörter, um das Onboarding zu erleichtern. Dies ist zwar aus Sicht der Benutzerfreundlichkeit gut, aber viele Leute lassen diese Standardkonfigurationen intakt, wodurch sie ungeschützt bleiben können.

Welche verschiedenen Arten von Tools zur Schwachstellenbewertung gibt es?

Tools zur Schwachstellenbewertung sind so konzipiert, dass sie automatisch nach neuen und bestehenden Bedrohungen in Ihrer IT-Infrastruktur suchen. Zu den Arten von Tools gehören:

Webanwendungsscanner, die die Angriffsfläche abbilden und bekannte Angriffsvektoren simulieren
Protokollscanner, die nach anfälligen Protokollen, Ports und anderen Diensten suchen
Netzwerkscanner, die bei der Visualisierung von Netzwerken helfen und Netzwerkschwachstellen wie verirrte IP-Adressen, gefälschte Pakete und verdächtige Paketgenerierung entdecken

Es empfiehlt sich, regelmäßige, automatisierte Scans der gesamten Infrastruktur zu planen und die Ergebnisse als Teil Ihres laufenden Schwachstellenbewertungsprozesses zu verwenden.

UpGuard BreachSight scannt Ihre Angriffsfläche täglich automatisch auf Schwachstellen.

Was ist der Unterschied zwischen Schwachstellenbewertung und Penetrationstests?

Wie bereits erwähnt, umfasst eine Schwachstellenbewertung häufig Penetrationstests, um Schwachstellen zu identifizieren, die durch automatisierte Scans möglicherweise nicht erkannt werden. Dieser Prozess wird allgemein als Vulnerability Assessment/Penetration Testing (VAPT) bezeichnet.

Allerdings reichen Penetrationstests allein als vollständige Schwachstellenbewertung nicht aus. Die Schwachstellenbewertung zielt darauf ab, Schwachstellen aufzudecken und geeignete Maßnahmen zur Risikominderung oder -behebung zu empfehlen, um das identifizierte Risiko zu verringern oder zu beseitigen.

Im Gegensatz dazu geht es bei Penetrationstests darum, Schwachstellen zu identifizieren und zu versuchen, diese auszunutzen, um ein System anzugreifen, eine Datenschutzverletzung zu verursachen oder sensible Daten preiszugeben. Dies kann zwar im Rahmen eines Vulnerability Assessments durchgeführt werden, aber das primäre Ziel von Penetrationstests besteht darin, zu prüfen, ob eine Schwachstelle existiert, die ausgenutzt werden kann.

Lesen Sie unseren vollständigen Beitrag über Penetrationstests, um weitere Informationen zu erhalten.

Unternehmen wie Intercontinental Exchange, Taylor Fry, The New York Stock Exchange, IAG, First State Super, Akamai, Morningstar und NASA nutzen die Sicherheitsbewertungen von UpGuard, um ihre Daten zu schützen, Datenschutzverletzungen zu verhindern und ihre Sicherheitsmaßnahmen zu bewerten.

Für die Bewertung Ihrer Informationssicherheitskontrollen kann UpGuard BreachSight Ihr Unternehmen auf 70+ Sicherheitskontrollen überwachen, eine einfache, leicht verständliche Cybersicherheitsbewertung bieten und automatisch kompromittierte Anmeldeinformationen und Datenoffenlegungen in S3-Buckets, Rsync-Servern, GitHub-Repos und mehr erkennen.

Das Schwachstellen-Modul von UpGuard BreachSight listet veröffentlichte Schwachstellen auf, die in der Software, die auf Ihrer IT-Infrastruktur ausgeführt wird, ausgenutzt werden können. Diese Schwachstellen werden automatisch durch Informationen identifiziert, die in HTTP-Headern und Website-Inhalten offengelegt werden.

Jede identifizierte Schwachstelle erhält ein CVSS, einen veröffentlichten Standard, der entwickelt wurde, um die Hauptmerkmale einer Schwachstelle zu erfassen, und der eine numerische Punktzahl zwischen 0 und 10 erzeugt, die den Schweregrad widerspiegelt.

UpGuard Vendor Risk kann den Zeitaufwand Ihres Unternehmens für die Bewertung der damit verbundenen Informationssicherheitskontrollen und der Informationssicherheitskontrollen von Drittanbietern minimieren, indem es Lieferantenfragebögen automatisiert und Vorlagen für Lieferantenfragebögen bereitstellt.

Unsere Expertise wurde unter anderem in der New York Times, dem Wall Street Journal, Bloomberg, der Washington Post, Forbes, Reuters und TechCrunch veröffentlicht.

Lesen Sie mehr darüber, was unsere Kunden in den Gartner-Bewertungen sagen.