Was ist Schwachstellenmanagement?

Schwachstellenmanagement ist der Prozess der Identifizierung, Bewertung, Priorisierung, Behebung und Berichterstattung über Sicherheitslücken in Webanwendungen, Computern, mobilen Geräten und Software.

Kontinuierliches Schwachstellenmanagement ist ein integraler Bestandteil der Cybersicherheit und Netzwerksicherheit und steht auf der Liste der grundlegenden Sicherheitskontrollen des Center for Internet Security (CIS), in der es heißt, dass Unternehmen "kontinuierlich neue Informationen erfassen, bewerten und Maßnahmen ergreifen müssen, um Schwachstellen zu identifizieren und das Zeitfenster für Angreifer zu beheben und zu minimieren. ”

Kurz gesagt, Vulnerability Management bietet Unternehmen einen Prozess, um mögliche Angriffsvektoren zu identifizieren, zu priorisieren und zu beheben und ihre Angriffsfläche zu minimieren.

Was ist eine Schwachstelle?

Eine Schwachstelle ist eine Schwachstelle, die durch einen Cyberangriff ausgenutzt werden kann, um sich unbefugten Zugriff auf ein Computersystem zu verschaffen oder unbefugte Aktionen darauf durchzuführen. Schwachstellen können es Angreifern ermöglichen, Code auszuführen, auf den Speicher eines Systems zuzugreifen, Malware zu installieren und sensible Daten zu stehlen, zu zerstören oder zu modifizieren.

Die besorgniserregendsten Schwachstellen für Sicherheitsteams sind wurmfähige Schwachstellen wie der WannaCry-Kryptowurm-Ransomware-Angriff. Computerwürmer sind eine Art von bösartiger Software, die sich selbst repliziert und andere Computer infiziert, während sie auf infizierten Systemen aktiv bleibt.

Würmer verlassen sich oft auf Aktionen und die Ausnutzung von Schwachstellen in Netzwerkprotokollen, Betriebssystemen oder Hintertüren, um sich ohne Wissen des Benutzers zu verbreiten.

Ein frühes Beispiel ist der Morris-Wurm. Der Morris-Wurm war einer der ersten Internet-Würmer und wurde geschrieben, um Sicherheitslücken hervorzuheben, anstatt Schaden anzurichten.

Es verbreitete sich durch Ausnutzung bekannter Schwachstellen, wie sie jetzt auf CVE aufgelistet wären, in Unix sendmail finger, rsh/rexec, sowie durch schwache Passwörter. Auf seinem Höhepunkt lief der Morris-Wurm auf fast 10 Prozent aller internetfähigen Computer zu dieser Zeit.

Der Morris-Wurm unterstreicht den Bedarf an Schwachstellenmanagement-Software und warum Sicherheitsteams ihre Systeme auf dem neuesten Stand halten sollten.

Die gefährlichsten Schwachstellen sind jedoch als Zero-Day-Schwachstellen bekannt. Zero-Day-Schwachstellen sind ungepatchte Schwachstellen, die den Software-, Hardware- oder Firmware-Entwicklern unbekannt sind und daher keinen Patch haben.

BlueKeep (CVE-2019-0708) ist ein Beispiel für einen Fehler bei der Remotecodeausführung, der etwa eine Million Systeme (Stand: 29. Mai 2019) betrifft, auf denen ältere Versionen von Microsoft-Betriebssystemen ausgeführt werden.

Diese Zero-Day-Schwachstelle machte während des Patch-Dienstags von Microsoft im Mai 2019 aufgrund ihrer Wurmfähigkeit Schlagzeilen.

Das bedeutet, dass sich erfolgreiche Cyberangriffe mit BlueKeep auf ähnliche Weise verbreiten können wie der EternalBlue-Exploit von WannaCry.

Microsoft sah in BlueKeep eine so große Cyberbedrohung für die Informationssicherheit und Cybersicherheit, dass sie Patches für nicht mehr unterstützte und ausgediente Betriebssysteme wie Windows 2003 und Windows XP veröffentlichten.

Warum ist Vulnerability Management erforderlich?

Die zunehmende Zunahme der Cyberkriminalität und die zunehmende behördliche Kontrolle zwingen Unternehmen dazu, der Informationssicherheit mehr Aufmerksamkeit zu schenken. Ein Schwachstellenmanagementprozess sollte Teil der allgemeinen Strategie eines Unternehmens für das Informationsrisikomanagement sein.

Dieser Prozess ermöglicht es Unternehmen, einen kontinuierlichen Überblick über Schwachstellen in ihrer IT-Umgebung und die damit verbundenen Risiken zu erhalten.

Nur durch die Identifizierung und Minderung von Schwachstellen können Unternehmen das Risiko verringern, dass Angreifer neue Schwachstellen ausnutzen. Das Patchen identifizierter Schwachstellen, wie sie in CVE und anderen Schwachstellendatenbanken aufgeführt sind, ist eine effektive Risikomanagementstrategie, die das Cybersicherheitsrisiko reduziert.

Lernen Sie die wichtigsten Funktionen einer effektiven Software zur Risikobehebung kennen >

Was ist der Schwachstellenmanagement-Prozess?

Der Prozess des Schwachstellenmanagements ist eine zyklische Praxis zur Identifizierung, Klassifizierung, Behebung und Minderung von Sicherheitslücken. Die wesentlichen Elemente eines jeden Schwachstellenmanagementprogramms sind die Erkennung von Schwachstellen, die Bewertung von Schwachstellen und die Berichterstattung.

Lesen Sie hier unseren vollständigen Beitrag zur Schwachstellenbewertung.

Wie werden Schwachstellen erkannt?

Das Herzstück eines typischen Schwachstellenmanagement-Tools ist ein Schwachstellenscanner.

Ein Schwachstellenscanner ist eine Software, die entwickelt wurde, um Computer, Netzwerke oder Anwendungen auf bekannte Schwachstellen zu untersuchen, wie sie in CVE aufgeführt sind. Schwachstellen-Scans können Schwachstellen identifizieren und erkennen, die sich aus Fehlkonfigurationen und fehlerhafter Programmierung innerhalb eines Netzwerks ergeben, und authentifizierte und nicht authentifizierte Scans durchführen:

• Authentifizierte Scans: Erlauben Sie Schwachstellen-Scannern den Zugriff auf Netzwerkressourcen mithilfe von Remote-Verwaltungsprotokollen wie Secure Shell (SSH) oder Remote Desktop Protocol (RDP) und authentifizieren Sie sich mit den bereitgestellten Systemanmeldeinformationen. Der Vorteil authentifizierter Scans besteht darin, dass sie Zugriff auf Low-Level-Daten wie spezifische Dienste, Konfigurationsdetails und genaue Informationen über Betriebssysteme, installierte Software, Konfigurationsprobleme, Zugriffskontrolle, Sicherheitskontrollen und Patch-Management bieten.
• Nicht authentifizierte Scans: Gewähren Sie keinen Zugriff auf Netzwerkressourcen, was zu falsch positiven Ergebnissen und unzuverlässigen Informationen über Betriebssysteme und installierte Software führen kann. Diese Art von Scan wird in der Regel von Cyber-Angreifern und IT-Sicherheitsanalysten verwendet, um zu versuchen, die Sicherheitslage von extern ausgerichteten Assets und Drittanbietern zu bestimmen und mögliche Datenlecks zu finden.

Wie jeder Sicherheitsdienst sind auch Schwachstellenscanner nicht perfekt, weshalb andere Techniken wie Penetrationstests und Google-Hacking von Unternehmen eingesetzt werden.

Penetrationstests sind die Praxis des Testens eines IT-Assets, um ausnutzbare Schwachstellen zu finden, und können mit Software automatisiert oder manuell durchgeführt werden.

Ob automatisiert oder manuell, Pen-Tests sammeln Informationen über ihr Ziel, identifizieren mögliche Angriffsvektoren und versuchen dann, diese auszunutzen. Die Pen-Tester berichten dann über ihre Ergebnisse. Es kann auch verwendet werden, um Sicherheitskontrollen vor Ort, die Einhaltung von Informationssicherheitsrichtlinien, die Anfälligkeit der Mitarbeiter für Social-Engineering-Angriffe wie Phishing oder Spear-Phishing sowie die Prüfung von Incident-Response-Plänen zu testen.

Unter Google-Hacking versteht man die Verwendung einer Suchmaschine, um Sicherheitslücken zu lokalisieren. IT-Teams und Angreifer können sowohl erweiterte Suchoperatoren in Abfragen verwenden, die schwer zu findende Informationen oder Informationen finden, die versehentlich durch Fehlkonfiguration von Sicherheitstools und Cloud-Diensten offengelegt werden. Diese Schwachstellen lassen sich in der Regel in zwei Kategorien einteilen, nämlich Software-Schwachstellen und Fehlkonfigurationen.

Was ist der Prozess der Schwachstellenbewertung?

Der Prozess der Schwachstellenbewertung kann in fünf Schritte unterteilt werden:

1. Identifizieren von Schwachstellen: Analysieren Sie Netzwerkscans, Pen-Test-Ergebnisse, Firewall-Protokolle und Schwachstellen-Scan-Ergebnisse, um Anomalien zu finden, die darauf hindeuten, dass ein Cyberangriff eine Schwachstelle ausnutzen könnte.
2. Überprüfen von Schwachstellen: Entscheiden Sie, ob die identifizierte Schwachstelle ausgenutzt werden könnte, und klassifizieren Sie den Schweregrad des Exploits, um das Sicherheitsrisiko zu verstehen.
3. Priorisierung von Schwachstellen: Bewerten Sie, welche Schwachstellen aufgrund ihrer Wurmfähigkeit und anderer Risiken zuerst entschärft oder behoben werden.
4. Schwachstellen mindern: Entscheiden Sie sich für Gegenmaßnahmen und wie deren Wirksamkeit gemessen werden kann, falls ein Patch nicht verfügbar ist.
5. Behebung von Schwachstellen: Entfernen und Beheben bekannter Schwachstellen, um weitere Ausnutzung zu verhindern.

Nachdem Schwachstellen identifiziert wurden, müssen sie bewertet werden, um zu verstehen, welche Risiken sie darstellen, welche Sicherheitslösungen möglich sind und wie sie in Übereinstimmung mit der Risikomanagementstrategie Ihres Unternehmens behandelt werden.

Lösungen für das Schwachstellenmanagement können Sicherheitsbewertungen bereitstellen, wie z. B. CVSS-Bewertungen (Common Vulnerability Scoring System), die Unternehmen dabei helfen können, zu verstehen, auf welche Schwachstellen sie sich zuerst konzentrieren sollten.

Zu den zusätzlichen Dingen, die Sie beachten sollten, gehören:

• Handelt es sich bei der Schwachstelle um ein Fehlalarm?
• Ist diese Schwachstelle über das Internet ausnutzbar oder benötigt ein Angreifer physischen Zugriff?
• Wie schwierig ist es, diese Schwachstelle auszunutzen?
• Gibt es öffentlich zugänglichen Exploit-Code für diese Sicherheitsanfälligkeit?
• Welche Auswirkungen hat die Ausnutzung dieser Schwachstelle auf das Geschäft?
• Wendet Ihr Unternehmen eine Defense-in-Depth-Strategie an, die die Wahrscheinlichkeit und/oder die Auswirkungen der Ausnutzung dieser Schwachstelle verringert?
• Wie alt ist die Schwachstelle?
• Hat Ihr Unternehmen regulatorische Anforderungen wie CCPA, FISMA, GLBA, PIPEDA oder das NIST Cybersecurity Framework?
• Wie hoch sind die durchschnittlichen Kosten einer Datenschutzverletzung in Ihrer Branche?

Sobald eine Schwachstelle als akzeptables Cybersicherheitsrisiko eingestuft wurde, besteht der nächste Schritt darin, Prioritäten zu setzen, wie sie behandelt wird:

• Behebung: Die Schwachstelle ist gepatcht und kann nicht ausgenutzt werden.
• Risikominderung: Die Wahrscheinlichkeit oder Auswirkung, dass die Sicherheitsanfälligkeit ausgenutzt werden kann, wird minimiert.
• Akzeptanz: Es werden keine Maßnahmen ergriffen, da die Schwachstelle als geringes Risiko eingestuft wird oder die Kosten erheblich höher sind als die Kosten, die Ihrer Organisation entstehen, wenn sie ausgenutzt wird.

Viele Schwachstellenmanagementsysteme bieten empfohlene Behebungstechniken für häufige Schwachstellen, die so einfach sein können wie die Installation von sofort verfügbaren Sicherheitspatches oder so komplex wie das Ersetzen von Hardware.

Sollten Schwachstellen öffentlich gemeldet werden?

Es gibt eine anhaltende Debatte darüber, ob neue Schwachstellen von Organisationen gemeldet werden sollten, die sie finden, aber es bleibt ein umstrittenes Thema mit zwei gegensätzlichen Seiten:

1. Sofortige vollständige Offenlegung: Einige Cybersicherheitsexperten plädieren für eine sofortige Offenlegung, einschließlich spezifischer Informationen darüber, wie die Schwachstelle ausgenutzt werden kann. Befürworter einer sofortigen Offenlegung glauben, dass dies zu sicherer Software und schnellerem Patching führt, um die Softwaresicherheit, die Anwendungssicherheit, die Computersicherheit, die Betriebssystemsicherheit und die Informationssicherheit zu verbessern.
2. Beschränkte bis keine Offenlegung: Andere sind gegen die Offenlegung von Schwachstellen, weil sie glauben, dass die Schwachstelle ausgenutzt wird. Befürworter einer begrenzten Offenlegung glauben, dass die Beschränkung von Informationen auf ausgewählte Gruppen das Risiko der Ausbeutung verringert.

Wie bei den meisten Argumenten haben beide Seiten stichhaltige Punkte.

Erfahren Sie hier mehr über Programme zur Offenlegung von Schwachstellen >

Muss ich mir Sorgen um die Schwachstellen meiner Drittanbieter machen?

Vendor Risk Management (VRM) ist ein oft übersehener Teil des Schwachstellenmanagements. Es reicht nicht mehr aus, sich nur auf Ihre interne Cybersicherheit zu konzentrieren. Wenn Ihre Drittanbieter nicht über die gleichen Sicherheitslösungen und Sicherheitsstandards verfügen, sind Sie und die sensiblen Daten Ihrer Kunden gefährdet.

Ja, Outsourcing kann strategische Vorteile mit sich bringen (niedrigere Kosten, Zugang zu Know-how und organisatorische Ausrichtung). Allerdings kann es auch zusätzliche Schwachstellen einführen, die nicht in Ihrer unmittelbaren Kontrolle liegen und Cyberangriffe und Unternehmensspionage ermöglichen.

Drittanbieter mit schlechter Informationssicherheit führen zu erheblichen Cybersicherheitsrisiken in Form von Third-Party-Risiken und Fourth-Party-Risiken.

Hier kann VRM helfen. VRM-Programme befassen sich mit dem Management und der Überwachung von Risiken durch Dritte und Dritte sowie mit der Sicherstellung, dass Kundendaten und Unternehmensdaten nicht durch Datenschutzverletzungen und Datenlecks von Drittanbietern oder Drittanbietern offengelegt werden.

Die zunehmende behördliche Kontrolle bedeutet, dass die Risikomanagementteams der Anbieter dünn gesät sind und sich um die größtmögliche Automatisierung kümmern müssen, einschließlich der Lieferantenfragebögen.

Machen Sie nicht den Fehler, nur Service-Level-Agreements mit potenziellen Anbietern auszuhandeln, überwachen Sie Anbieter in Echtzeit und fordern Sie die Behebung hochriskanter Schwachstellen an oder wechseln Sie den Anbieter.

Die Informationssicherheitsrichtlinie Ihres Unternehmens muss sich sowohl auf die Sicherheitslage von Erst-, Dritt- und Viertanbietern konzentrieren, was bedeutet, dass Sie Zeit investieren müssen, um ein robustes Framework für das Risikomanagement von Drittanbietern zu entwickeln. Und fragen Sie nach dem SOC 2-Bericht Ihres Anbieters.

Je nach Branche können Sie sogar rechtlich für Datenschutzverletzungen von Drittanbietern haftbar gemacht werden, die auf ein schlechtes Schwachstellenmanagement zurückzuführen sind.

Unternehmen wie Intercontinental Exchange, Taylor Fry, The New York Stock Exchange, IAG, First State Super, Akamai, Morningstar und NASA nutzen UpGuard, um ihre Daten zu schützen, Datenschutzverletzungen zu verhindern, auf Schwachstellen zu überwachen und Malware zu vermeiden.

Wir sind Experten für Datenschutzverletzungen und Datenlecks, unsere Forschung wurde in der New York Times, dem Wall Street Journal, Bloomberg, der Washington Post, Forbes, Reuters und Techcrunch veröffentlicht.

UpGuard Vendor Risk kann den Zeitaufwand Ihres Unternehmens für die Verwaltung von Beziehungen zu Drittanbietern minimieren, indem es Lieferantenfragebögen automatisiert und die Sicherheitslage Ihrer Anbieter im Laufe der Zeit kontinuierlich überwacht, während sie mit ihrer Branche verglichen werden.

Jeder Anbieter wird anhand von 70+ Kriterien bewertet, wie z. B. dem Vorhandensein von SSL und DNSSEC sowie dem Risiko von Domain-Hijacking, Man-in-the-Middle-Angriffen und E-Mail-Spoofing für Phishing.

Jeden Tag bewertet unsere Plattform Ihre Anbieter mit einem Cyber Security Rating von 950. Wir benachrichtigen Sie, wenn ihre Punktzahl sinkt.

UpGuard BreachSight kann dabei helfen, DMARC zu überwachen, Typosquatting zu bekämpfen, Datenschutzverletzungen und Datenlecks zu verhindern, behördliche Bußgelder zu vermeiden und das Vertrauen Ihrer Kunden durch Cybersicherheitsbewertungen und kontinuierliche Erkennung von Gefährdungen zu schützen.