IT-Sicherheit: Schwachstelle ist nicht gleich Schwachstelle

Nicht jede Schwachstelle hat das gleiche Bedrohungspotential – Kontextbezug ist essentiell für die Einschätzung des Bedrohungspotentials. Ein Kommentar von Dr. Chris Brennan, Regional Director DACH bei Skybox Security.

Sicherheitslücke ist nicht gleich Sicherheitslücke. Per se sind natürlich alle eine Bedrohung für die Sicherheit von Unternehmen, doch kann durch die Betrachtung des jeweiligen Kontextes einer Schwachstelle die aktuelle Bedrohungslage sehr viel genauer beschrieben und bewertet werden. Die Schwachstellenbehebung verändert sich damit deutlich, da sie systematisch priorisiert vorgenommen werden kann.

Dr. Chris Brennan, Regional Director DACH bei Skybox Security, kommentiert dies wie folgt: „Lange Zeit haben Unternehmen das Patchen von Sicherheitslücken in Abhängigkeit des relativen Schweregrads jeder Schwachstelle durchgeführt. Potenzielle Auswirkungen auf Vertraulichkeit, Integrität oder Verfügbarkeit der betroffenen Assets waren dafür ausschlaggebend. Das reicht de facto nicht aus, um zu wissen, wo schnelles Handeln am dringlichsten ist.

So kann beispielsweise eine Schwachstelle mit einem hohen CVSS-Wert in einem bestimmten Netzwerk nicht wirklich angegriffen werden, wenn Netzwerkarchitektur und -Sicherheitsrichtlinien sie ausreichend schützen. Auch muss vielleicht eine Schwachstelle mit hohem Risiko, die einen geringwertigen Asset bedroht, weniger dringend behoben werden, als eine Schwachstelle mit mittlerem Risiko bei einem hochwertigen Asset. Dafür ist ein kontextbezogener Schwachstellen-Management-Ansatz nötig, der nicht nur die Eigenschaften von Unternehmensschwachstellen, -Assets, und -Topologie berücksichtigt, sondern auch den Kontext. Dieser liefert eine Analyse von Schwachstellen mit verfügbaren und aktiven Exploits und korreliert sie mit der Unternehmensumgebung. Kontextbezogenes Schwachstellen-Management betrachtet auch die Merkmale früherer Attacken gegen ein Unternehmen. Dies gibt ein viel genaueres Bild zu den Schwachstellen, die sofort behoben werden müssen und zu denen, die später angegangen werden können.“

Das kontextbezogene Schwachstellen-Management basiert auf fünf Schritten:

• Bewertung/Entdeckung: Im ersten Schritt werden die Daten zu aktuellen Schwachstellen im Unternehmenssystem erfasst. Aus diesen wird dann ein vollständiges und interaktives Modell des jeweiligen Netzwerks und dessen Assets erstellt.
   
• Schwachstellen- und Bedrohungsinformation: Anschließend nutzt man Intelligence Feeds und die Recherche von Sicherheitsanalysten, um zu verstehen, welche Schwachstellen im Feld angegriffen werden, welche bereits als Ransomware, Malware oder Exploit Kits im Darknet verkauft werden, oder welche verbreitet wurden, zu denen es aber nur inaktive Exploits gibt.
   
• Priorisierung: In einem dritten Schritt beginnt man mit dem Modell und aktuellen Informationen zu Exploits und früheren Attacken. Angriffsvektoren-Analysen und Simulationen werden genutzt, um zu verstehen, wie sich Angriffe abspielen könnten und um eine Beurteilung des tatsächlichen Risikos jeder Schwachstelle in der jeweiligen Umgebung vorzunehmen. Darauf basiert die Priorisierung der Behebung.
   
• Behebung: Dann werden Patches oder andere kompensierende Kontrollen (IPS, Firewall-Regeln, Segmentierungen etc.) verwendet, um ein Ausnutzen zu verhindern. Die Dringlichkeit der Behebung ist ausgerichtet auf die Gefahr, die jede Schwachstelle darstellt.
   
• Übersicht: In einem letzten Schritt kontrolliert man den Status der Behebung, um sicherzustellen, dass Gefahren neutralisiert und Fortschritte beim Reduzieren des Gesamtrisikos gemacht werden; unbehandelte Schwachstellen werden weiterhin beobachtet, falls ihr Gefahrenniveau steigt.

Hat man diesen Regelkreis des Schwachstellenmanagements im Blick, reduziert man die Gefahr, von Angriffen überrascht zu werden, signifikant.

www.skyboxsecurity.com/dach