Was ist eine Schwachstellenbewertung? {Leitfaden zum Testen von Sicherheitslücken}

Cyberkriminelle greifen Unternehmen häufig über Schwachstellen an, die das Sicherheitspersonal nicht rechtzeitig entdeckt und behoben hat. Obwohl diese Schwachstellen normalerweise klein und leicht zu übersehen sind, bieten sie eine Hintertür, die es einem Hacker ermöglicht, sich unbemerkt einzuschleichen und einen kostspieligen Verstoß zu verursachen.

Dieser Artikel ist eine Einführung in die Schwachstellenbewertung, eine der effektivsten und kostengünstigsten Techniken zur Erkennung von Systemfehlern. Lesen Sie weiter, um zu erfahren, wie eine Schwachstellenbewertung dabei hilft, Systemfehler zu erkennen, Risiken zu bewerten und die allgemeine Cybersicherheit zu verbessern.

Was ist eine Schwachstellenbewertung?

Eine Schwachstellenbewertung ist eine systematische Überprüfung eines IT-Systems, bei der Sicherheitslücken entdeckt, klassifiziert und priorisiert werden. Diese Art der Analyse hat drei Ziele:

• Bewerten Sie das System auf ausnutzbare Fehler.
• Weisen Sie jeder Schwachstelle eine Risikostufe zu.
• Empfehlen Sie Maßnahmen, um zu verhindern, dass Hacker die Schwachstellen ausnutzen.

Andere gebräuchliche Bezeichnungen für eine Schwachstellenbewertung sind Schwachstellenanalyse und Schwachstellentests.

Das Hauptziel dieses Tests besteht darin, ausnutzbare Fehler und Schwachstellen zu entdecken, bevor Hacker in das System eindringen. Daher gilt es als Kernkomponente eines eisernen Informationssicherheits-Risikomanagementsystems. Die meisten Fehler sind Fehler im Code, Mängel in der Softwarearchitektur und Fehler in Sicherheitsverfahren. Beispiele für häufige Schwachstellen sind:

• Fehlkonfigurationen des Systems.
• Eine Datenbankschwäche, die SQL-Injections ermöglicht.
• Mangel an sorgfältigem Verhalten des Personals.
• Fehler bei der Nichteinhaltung von Richtlinien.
• Unverschlüsselte Daten, die durch Netzwerke übertragen werden.
• Ein Fehler in der Software oder den Programmierschnittstellen.
• Ein bösartiges Backdoor-Programm, das es Hackern ermöglicht, einen APT-Angriff zu verwalten oder Ransomware zu installieren.
• Automatische Ausführung von Skripten ohne Viren- und Malware-Prüfungen.
• Ein Fehler in den Kontoprivilegien.
• Ein ausnutzbarer Authentifizierungsmechanismus.
• Ungepatchte Betriebssysteme und Anwendungen.
• Schwache Passwörter.
• Zero-Day-Exploits.

Sowohl Unternehmen als auch KMU können von einem Schwachstellentest profitieren. Unternehmen führen Bewertungen in der Regel jährlich oder immer dann durch, wenn das Team eine wesentliche Änderung vornimmt, wie zum Beispiel:

• Neue Dienste hinzufügen.
• Eröffnung neuer Häfen.
• Einbau eines neuen Gerätes.
• Eröffnung eines Büros an einem neuen Standort.
• Umzug in die Cloud.

Ein Unternehmen, das einen Schwachstellentest organisieren möchte, hat zwei Möglichkeiten: Den Test von internen Mitarbeitern durchführen zu lassen oder einen Dritten mit der Bewertung des Systems zu beauftragen. Die Zusammenarbeit mit dem hauseigenen Team ist zwar die günstigere Wahl, die besten Ergebnisse werden jedoch von Testern erzielt, die mit dem betreffenden System und seinen Protokollen nicht vertraut sind.

Arten von Schwachstellenbewertungen

Unternehmen verlassen sich auf verschiedene Arten von Schwachstellentests, um Systemfehler aufzudecken. Abhängig vom Bereich der untersuchten Infrastruktur gibt es drei Arten von Tests:

• Externe Scans: Inspektion von Komponenten, die direkt mit dem Internet verbunden sind und externen Benutzern zur Verfügung stehen (Anschlüsse, Netzwerke, Websites, Apps usw.).
• Interne Scans: Untersuchung interner Netzwerke und Systeme, die nur für Mitarbeiter zugänglich sind.
• Umgebungsscans: Diese Tests konzentrieren sich auf bestimmte Betriebstechnologien wie Cloud-Bereitstellungen, IoT oder mobile Geräte.

Nachfolgend sind die vier häufigsten Arten von Schwachstellenbewertungen aufgeführt.

Netzwerkbewertungen

Netzwerkbewertungsscans identifizieren mögliche Bedrohungen für die Netzwerksicherheit. Tester prüfen Hubs, Switches, Router, Cluster und Server, um sicherzustellen, dass über das Netzwerk zugängliche Ressourcen vor böswilligen Akteuren geschützt sind.

Ein Netzwerktest ist die häufigste Art der Schwachstellenüberprüfung. Dieser Scan gewährleistet die Sicherheit von Netzwerken, Kommunikationskanälen und allen Netzwerkgeräten.

Eine Netzwerkanalyse deckt auch Schwachstellen in drahtlosen Netzwerken auf. Diese Scans konzentrieren sich typischerweise auf potenzielle Angriffspunkte, Konfigurationsfehler und schlechte Firewall-Setups.

Gastgeberbewertung

Diese Analyse lokalisiert und klassifiziert Schwachstellen in Workstations, Laptops und anderen Hosts. Host-Scans untersuchen:

• Host-Konfigurationen.
• Benutzerverzeichnisse.
• Dateisysteme.
• Speichereinstellungen.

Eine Host-Bewertung stellt sicher, dass eine Fehlkonfiguration innerhalb eines Endpunkts es einem Angreifer nicht ermöglicht, den Perimeter zu passieren und in das System einzudringen.

Anwendungsscans

Anwendungsscans erkennen Softwarefehler und falsche Konfigurationen von Web-Apps und deren Quellcode. Es gibt zwei gängige Formen von Anwendungsscans:

• Dynamic Application Security Testing (DAST): Diese Testtechnik führt eine Anwendung aus und erkennt Fehler in Echtzeit.
• Statischer Anwendungssicherheitstest (SAST): Diese Analyse identifiziert App-Fehler, ohne das Programm auszuführen.

Die beiden Methoden testen Anwendungen unterschiedlich und sind in verschiedenen Phasen des Softwareentwicklungslebenszyklus (SDLC) effektiver. SAST erkennt beispielsweise Fehler wie Cross-Site-Scripting (XSS) früher im SDLC, während DAST nützlicher ist, wenn eine Anwendung in Produktion geht.

Datenbankscans

Datenbankscans identifizieren potenzielle Exploits in einer Datenbank. Diese Tests decken Fehlkonfigurationen, betrügerische Datenbanken sowie unsichere Entwicklungs- und Testumgebungen auf. Datenbankscans sind von entscheidender Bedeutung, um SQL-Injections zu verhindern.

Wie führt man eine Schwachstellenbewertung durch?

Ein typischer Schwachstellentest besteht aus fünf Schritten, in denen das Team das System untersucht, Risiken bewertet und Verbesserungen vorschlägt.

Schritt 1: Erste Vorbereitung

Dieser Schritt ist die Planungsphase. Das Team entscheidet über den Umfang und das Ziel des bevorstehenden Tests. Sobald der Plan fertig ist, untersuchen die Tester die Hardware und Software in der Testumgebung. Das Team nimmt folgende Aufgaben wahr:

• Identifizieren Sie alle betroffenen Vermögenswerte und kritischen Geräte.
• Definieren Sie den Wert, die Zugriffskontrollen und die Funktionen aller Subjektsysteme.
• Stellen Sie fest, wo sich sensible Daten befinden und wie Daten zwischen Systemen übertragen werden.
• Zeichnen Sie alle Dienste, Prozesse und offenen Ports der betreffenden Geräte auf.
• Ordnen Sie alle Endpunkte zu.
• Untersuchen Sie Betriebssysteme (OS).
• Lernen Sie Praktiken und Richtlinien zur Risikominderung für jede Umgebung kennen.

Die Informationen aus diesem Schritt helfen dem Team, sowohl Angriffsszenarien zu entwickeln als auch eine solide Abhilfestrategie zu entwickeln. Das Testteam erstellt in diesem Schritt oft ein zentrales Dokument, um den Prozess zu strukturieren.

Schritt 2: Testen der Schwachstellenbewertung

Das Team beginnt mit der Durchführung von Scans auf den betroffenen Geräten und Umgebungen. Analysten verwenden sowohl automatisierte als auch manuelle Tools, um den Sicherheitszustand von Systemen zu testen. Zur genauen Fehleridentifizierung verlassen sich die Teams außerdem auf die folgenden Ressourcen:

• Schwachstellendatenbanken.
• Ankündigungen von Anbietern zu Sicherheitslücken.
• Asset-Management-Systeme.
• Bedrohungsinformationen.
• Netzwerksicherheitsaudits.

Tester müssen die Grundursache jeder entdeckten Schwachstelle identifizieren. Die Ermittlung der Grundursache des Fehlers ermöglicht es Testern, den Umfang der Schwachstelle zu verstehen und die beste Methode zur Behebung des Problems zu finden.

Abhängig von der Größe des Zielsystems und der Art des Scans kann ein einzelner Test zwischen einer Minute und einigen Stunden dauern.

Schritt 3: Priorisieren Sie Systemfehler

Das Team priorisiert Fehler entsprechend der Bedrohungsstufe. Die meisten Tester bestimmen das Risiko, indem sie einen Schweregrad zuweisen. Einige Faktoren, die die Punktzahl beeinflussen, sind:

• Die Folgen eines möglichen Angriffs.
• Wie einfach ist es, die Schwäche auszunutzen.
• Das Alter des Problems.
• Ob der Fehler ein häufiges Problem oder eine Seltenheit ist.
• Der Raum für seitliche Bewegung.
• Die Geschäftsfunktionen und sensiblen Daten sind gefährdet.
• Patch-Verfügbarkeit.
• Ob der Fehler öffentlich bekannt ist.

Das Team muss bei diesem Schritt auch sicherstellen, dass Fehlalarme herausgefiltert werden. Ein falsch positives Ergebnis tritt auf, wenn ein Scan-Tool fälschlicherweise einen Sicherheitsmangel meldet, was zu unnötigen Korrekturarbeiten führt.

Schritt 4: Erstellen Sie einen Bericht zur Schwachstellenbewertung

Tester erstellen einen Analysebericht, der die aufgedeckten Fehler beschreibt und Anweisungen zur Behebung der Probleme gibt. Während kleinere Probleme keiner ausführlichen Erklärung bedürfen, sollte ein Tester für jede Schwachstelle mit mittlerem bis hohem Risiko die folgenden Informationen bereitstellen:

• Der Name der Verletzlichkeit.
• Das Datum der Entdeckung.
• Die Methode, mit der das Team die Bedrohung entdeckt hat.
• Eine detaillierte Beschreibung des Fehlers.
• Details zu den betroffenen Systemen.
• Der potenzielle Schaden, den ein Angreifer durch die Ausnutzung des Fehlers anrichten kann.
• Anweisungen zur Behebung der Sicherheitslücke.

Die Quantifizierung der Bedrohung gibt einen klaren Eindruck von der Dringlichkeit, die hinter jedem Fehler steckt. Wenn möglich, sollte das Team auch einen Proof of Concept (PoC) für jede signifikante Schwachstelle vorlegen.

Schritt 5: Implementieren Sie Änderungen gemäß dem Bericht

Das Unternehmen nutzt die Informationen aus dem Bericht, um Sicherheitslücken in IT-Systemen zu schließen. Die Implementierung von Änderungen ist in der Regel eine gemeinsame Anstrengung von Sicherheitspersonal, Entwicklungs- und Betriebsteams.

Die Risikoeinstufung ermöglicht es dem Unternehmen, den Sanierungsprozess zu priorisieren und dringende Bedrohungen zuerst zu behandeln. Schwachstellen mit geringem Risiko werden ebenfalls häufig ignoriert, da einige Bedrohungen so geringe Auswirkungen haben, dass ihre Behebung weder die Kosten noch die erforderliche Ausfallzeit wert ist.

Die häufigsten Sanierungsmaßnahmen sind:

• Einführung neuer Verfahren und Maßnahmen.
• Installation neuer Sicherheitstools.
• Software-Updates.
• Benutzerdefinierte Patches.
• Hinzufügung von Zero-Trust-Sicherheit.
• Betriebs- und Konfigurationsänderungen.
• Netzwerksegmentierung.
• Firewall-Updates.
• Verbesserungen an der Cyber-Kill-Chain.

Je nach Vereinbarung kann das beauftragte Team, das den Schwachstellentest durchgeführt hat, an diesem Schritt teilnehmen.

Wenn das Team wesentliche Änderungen am System vornimmt, ist ein anschließender Test dringend anzuraten. Wenn das Team nur kleinere Updates hinzufügt, kann die nächste reguläre Testrunde den Zustand des verbesserten Systems bewerten.

Tools zur Schwachstellenbewertung

Eine Schwachstellenbewertung umfasst den Einsatz sowohl automatisierter als auch manueller Testtechniken. Zu den gängigen Arten von Werkzeugen gehören:

• Webanwendungsscanner, die verschiedene Angriffsmuster simulieren, um die Cyberabwehr zu testen.
• Protokollscanner, die nach unsicheren Prozessen, Ports und Diensten suchen.
• Netzwerkscanner, die Schwachstellen wie verstreute IP-Adressen, verdächtige Paketgenerierung und gefälschte Pakete erkennen.

Warum ist die Schwachstellenbewertung wichtig?

Mithilfe von Schwachstellenscans kann ein Unternehmen eine konsistente und umfassende Strategie zur Identifizierung und Lösung von Cyber-Bedrohungen sicherstellen. Gründliche und regelmäßige Sicherheitskontrollen bieten einem Unternehmen erhebliche Vorteile, darunter:

• Frühzeitiges Erkennen von IT-Schwachstellen.
• Schutz sensibler Daten und Vermögenswerte.
• Sicherstellung der Einhaltung von Vorschriften wie HIPPA, PCI und DSGVO.
• Verhinderung unbefugten Zugriffs.
• Präzise Geschäftsplanung, die sorgfältige Sicherheitsinvestitionen ermöglicht.

Bewertungen verringern die Wahrscheinlichkeit erfolgreicher Datenschutzverletzungen und sind für den Schutz vor allen wichtigen Arten von Cyberangriffen von entscheidender Bedeutung.

Schwachstellenbewertungen vs. Penetrationstests

Sowohl Schwachstellenanalysen als auch Penetrationstests erkennen Schwachstellen innerhalb eines IT-Systems und verbessern das allgemeine Sicherheitsniveau. Ein Penetrationstest umfasst in der Regel auch standardmäßig einen Schwachstellenscan.

Es gibt jedoch einen Unterschied zwischen den beiden Testverfahren. Während bei einem Schwachstellenscan versucht wird, Systemfehler zu erkennen und zu beheben, handelt es sich bei einem Pentest um tatsächliche Versuche, Schwachstellen auszunutzen. Penetrationstester (oder ethische Hacker) versuchen aktiv, in ein System einzudringen, indem sie in einer kontrollierten Umgebung einen echten Cyberangriff simulieren. Das Ziel besteht darin, Folgendes zu beweisen:

• Ein System weist eine ausnutzbare Schwachstelle auf.
• Ein Angreifer kann die Sicherheitslücke ausnutzen, um das System zu beschädigen.

Schwachstellenscans können auch kleine Pen-Tests umfassen. Analysten verwenden Penetrationstest-Tools, um bestimmte Schwachstellen zu erkennen, die für Standard-Netzwerk- oder Systemscans unsichtbar sind.

Schwachstellenbewertung vs. Risikobewertung?

Eine Schwachstellenbewertung entdeckt, quantifiziert und priorisiert Schwachstellen in einer IT-Umgebung. Im Gegensatz dazu bewertet eine Risikobewertung die Wahrscheinlichkeit, dass bestimmte Schwachstellen und Bedrohungsakteure zu einer Gefährdung oder einem Datenverlust führen.

Ein Schwachstellenscan hat einen größeren Umfang als eine Risikobewertung. Eine vollständige Analyse bewertet nicht nur die Wahrscheinlichkeit eines Verstoßes, sondern befasst sich auch mit möglichen Konsequenzen und Strategien zur Vermeidung zukünftiger Vorfälle.

Sorgen Sie für eine hohe Systemstabilität

Schwachstellentests sind ein wesentlicher Bestandteil jeder soliden IT-Sicherheitsstrategie. Planen Sie regelmäßige Scans aller kritischen Systeme, um das Risiko kostspieliger Sicherheitsverletzungen zu minimieren und ein ununterbrochenes Geschäftswachstum sicherzustellen.

Erwägen Sie zur Sicherheit auch die Migration sensibler Arbeitslasten auf die sicherste Cloud-Plattform. Data Security Cloud ist eine mehrmandantenfähige, sicher gehostete Cloud-Infrastrukturplattform, die in Zusammenarbeit mit Intel^® und VMware^® entwickelt wurde.