Best Practices für das Schwachstellenmanagement
Je mehr Schwachstellen in den Systemen eines Unternehmens vorhanden sind, desto mehr Möglichkeiten hat ein Angreifer, sich Zugang zu verschaffen und dem Unternehmen, seinen Mitarbeitern und Kunden Schaden zuzufügen.
Berücksichtigen Sie bei der Konzeption und Implementierung eines Schwachstellen-Managementprozesses die folgenden Best Practices.
#1. Führen Sie regelmäßige Schwachstellen-Scans durch
Schwachstellen-Scanner sind automatisierte Werkzeuge , die verwendet werden, um potenzielle Schwachstellen und andere Sicherheitsrisiken innerhalb einer Anwendung zu identifizieren. Da Scans automatisiert sind und geplant werden können, verursachen sie nur minimalen zusätzlichen Aufwand für ein Sicherheitsteam.
Organisationen sollten Schwachstellen-Scans durchführen:
- In regelmäßigen Abständen: Sicherheitsteams sollten Schwachstellen-Scans in einem festen Rhythmus (täglich, wöchentlich usw.) planen. Dies hilft dabei, neue Schwachstellen zu identifizieren, die entdeckt oder in ihre Umgebungen eingeführt wurden.
- Von neuer Software: Vor und nach dem Deployment einer neuen Anwendung sollte die Software auf Schwachstelle gescannt werden. Dadurch wird sichergestellt, dass keine neuen Sicherheitsrisiken in die Umgebung eines Unternehmens eingeführt werden.
- Wenn neue Schwachstellen angekündigt werden: Einige Schwachstellen – wie z.B. Log4J – erfordern sofortiges Handeln. Wenn eine neue große Schwachstelle angekündigt wird, sollte ein Unternehmen einen Ad-hoc-Schwachstellen-Scan durchführen, um seine Risikoexposition zu bestimmen.
Bei der Gestaltung eines Schwachstellen-Bewertungsprogramms ist es auch wichtig, die Sichtbarkeit verschiedener Schwachstellen zu berücksichtigen. Idealerweise werden Schwachstellen-Scans sowohl von außerhalb als auch innerhalb des Unternehmensnetzwerks und mit unterschiedlichen Privilegien (nicht authentifiziert, authentifizierter Benutzer, Administrator) durchgeführt.
#2. Patches sofort anwenden
Wenn ein Softwarehersteller auf eine neue Schwachstelle in einem seiner Produkte aufmerksam wird, entwickelt er einen Patch und gibt einen Patch heraus, um diese zu beheben. Sobald ein Patch angekündigt und veröffentlicht wurde, können Cyberkriminelle innerhalb weniger Stunden damit beginnen, ihn zu scannen und auszunutzen.
Unternehmen sollten planen, Patches so schnell wie möglich anzuwenden. Zu den wichtigsten Elementen einer Patching-Strategie gehören:
- Patch-Priorisierung: Einige Patches beheben kritische Schwachstellen, andere können hochwertige IT-Assets betreffen. Das Patchen sollte priorisiert werden, um die potenziellen Auswirkungen auf die Cyberrisiken eines Unternehmens zu maximieren.
- Patch-Tests: Im Idealfall testen Administratoren einen Patch in einer realistischen Umgebung, bevor sie ihn auf Produktionssystemen einführen. Dies hilft dabei, die Wirksamkeit des Patches zu validieren und stellt sicher, dass er keine neuen Sicherheitsprobleme mit sich bringt.
- Automatisierte Rollouts: Unternehmen müssen in der Regel viele Patches anwenden, von denen einige zahlreiche Systeme betreffen können. Automatisierte Patching-Workflows sind unerlässlich, um Patches schnell und effektiv in großem Umfang anzuwenden.
- Update-Validierung: Nachdem ein Update eingespielt wurde, sollte das gepatchte System erneut mit einem Schwachstellen-Scanner evaluiert werden. Dadurch wird bestätigt, dass der Patch erfolgreich angewendet wurde und keine neuen Sicherheitsrisiken eingeführt wurden.
#3. Durchführung einer Risikopriorisierung
Fast alle Anwendungen enthalten mindestens eine Schwachstelle, was bedeutet, dass Unternehmen in der Regel mehr verwundbare Systeme haben, als sie effektiv patchen können. Bei der Entscheidung, wo sie ihre Ressourcen und ihren Aufwand einsetzen sollen, sollten Sicherheitsteams eine Patch-Priorisierung durchführen.
Wenn ein Sicherheitsteam überlegt, wann/ob es einen Patch anwendet, sollten Sie Folgendes beachten:
- Bewertungen des Schweregrads: Viele Schwachstellen haben zugeordnete CVSS-Bewertungen (Schwachstelle Scoring System), die beschreiben, wie schwerwiegend das Problem ist. Wenn alles andere gleich ist, sollte eine kritische Schwachstelle vor einer hohen, mittleren oder niedrigen Schwachstelle gepatcht werden.
- Kritikalität des Systems: Patches können Schwachstellen in Systemen mit unterschiedlicher Bedeutung für die Organisation beheben. Beispielsweise kann eine Schwachstelle in der "Kronjuwelen"-Datenbank des Unternehmens weitaus schwerwiegender sein, wenn sie ausgenutzt wird, als eine Schwachstelle mit höherem Schweregrad in einem weniger wichtigen System.
- Umfang der Auswirkungen: Einige Schwachstellen können in einem einzelnen System existieren, während andere die gesamte Organisation betreffen können. Bei Schwachstellen mit einer größeren Anzahl betroffener Systeme kann es erforderlich sein, vor denjenigen gepatcht zu werden, die nur wenige Geräte betreffen.
- Anforderungen an die Ressourcen: Einige Patches, z. B. Updates für die Windows- OS, sind so konzipiert, dass sie automatisiert werden können, während andere manuelle Geschäftsvorgänge erfordern. Die Wirkung eines Pflasters sollte auch gegen den Aufwand abgewogen werden, der für das Anbringen erforderlich ist.
Am Ende des Tages wird ein Unternehmen nicht jede Schwachstelle patchen (und sollte es wahrscheinlich auch nicht), da jede einzelne Ressourcen verbraucht, die an anderer Stelle gewinnbringender eingesetzt werden könnten. Die Entscheidung, was und wann gepatcht werden soll, sollte auf der Bedrohung basieren, die von Folgendem ausgeht:
- Eine besondere Schwachstelle
- Die Risikotoleranz eines Unternehmens
#4. Verwalten von Systemkonfigurationen
Einige Schwachstellen entstehen durch Fehler im Anwendungscode. Zum Beispiel werden SQL-Injection und Pufferüberlauf-Schwachstelle durch die Nichtbeachtung von Best Practices für sichere Codierung verursacht. Andere Schwachstellen werden jedoch eingeführt, wenn eine Anwendung bereitgestellt und konfiguriert wird.
Neue Sicherheitsschwachstellen können eingeführt werden durch:
- Schwache Passwörter
- Die Verwendung von Standardeinstellungen
Unternehmen können dies verwalten, indem sie die Verwendung einer sicheren Basiskonfiguration für alle Unternehmensanwendungen und -systeme definieren und durchsetzen. Die Verwendung dieser Baseline sollte durch regelmäßige Audits und Konfigurationsmanagementsysteme durchgesetzt werden.
#5. Leverage Bedrohungsinformationen
Bedrohungsinformationen bietet Einblick in die Bedrohungen und Cyberangriffskampagnen, mit denen ein Unternehmen am wahrscheinlichsten konfrontiert ist. Wenn andere Unternehmen in der gleichen Branche, Gerichtsbarkeit oder Größe von einer bestimmten Bedrohung betroffen sind, ist es wahrscheinlich, dass dies auch für Ihr Unternehmen der Fall ist.
Bedrohungsinformationen können von unschätzbarem Wert sein, um die Behebung und Eindämmung von Schwachstellen zu priorisieren. Schwachstellen, die aktiv ausgenutzt werden, sollten nach Möglichkeit sofort gepatcht werden.
Wenn kein Patch angewendet werden kann, sollte das Unternehmen eine Überwachung und alle verfügbaren vorbeugenden Maßnahmen ergreifen, um das Risiko einer Ausnutzung zu verringern.
#6. Integration mit Incident Response
Schwachstellenmanagement und Incident Response sind verwandte und sich ergänzende Bemühungen.
Im Idealfall macht das Schwachstellenmanagement die Notwendigkeit einer Incident Response überflüssig, indem Sicherheitsrisiken eliminiert werden, bevor sie ausgenutzt werden können. Dies ist jedoch nicht immer der Fall.
Für den Fall, dass ein Unternehmen Opfer eines Cyberangriffs wird, kann der Zugriff auf die Managementdaten der Schwachstelle den Incident-Response-Prozess beschleunigen. Wenn das Incident Response Team (IRT) weiß, dass eine bestimmte Schwachstelle in den Systemen eines Unternehmens vorhanden ist, kann dies die Ursachenanalyse und -behebung beschleunigen.
Auf der anderen Seite können Erkenntnisse aus der Reaktion auf Vorfälle auch in die Abhilfemaßnahmen der Schwachstelle einfließen.
Incident Responder können unbekannte Schwachstellen identifizieren oder feststellen, dass eine nicht verwaltete Schwachstelle aktiv ausgenutzt wird. Diese Daten können dem Sicherheitsteam helfen, hochriskante Schwachstellen zu beheben und seine Risikopriorisierung zu aktualisieren, um ähnliche Vorfälle in Zukunft zu verhindern.
#7. Kontinuierliche Verbesserung
Das Schwachstellenmanagement ist für die meisten Unternehmen ein fortlaufender Prozess. Jeden Tag werden neue Schwachstellen entdeckt und offengelegt, so dass die meisten Sicherheitsteams einen ständigen Rückstand an Schwachstellen haben, die bewertet werden müssen, und Patches, die angewendet werden müssen.
Da die Beseitigung von Schwachstellen wahrscheinlich keine Option ist, sollten sich Sicherheitsteams darauf konzentrieren, ihre Schwachstellen-Managementprogramme im Laufe der Zeit zu verbessern.
Zu den zu berücksichtigenden Kennzahlen gehören:
- Anzahl der Schwachstellen, die Produktivsysteme erreichen.
- Durchschnittliche Zeit bis zur Identifizierung einer neuen Schwachstelle.
- Durchschnittliche Zeit zum Patchen einer Schwachstelle.
- Durchschnittliche Zeit zum Patchen einer kritischen oder schwerwiegenden Schwachstelle.
- Gesamtzahl der Schwachstellen in Produktivsystemen.
#8. Berücksichtigen Sie Compliance-Anforderungen
Unternehmen müssen bei der Entwicklung ihrer Sicherheits- und Schwachstellenmanagementprogramme eine Reihe von Vorschriften und Standards berücksichtigen. Ausgenutzte Schwachstellen sind eine häufige Art und Weise, wie sensible Daten verletzt werden, und Unternehmen müssen diese Risiken managen.
Bei der Definition von Patch-Management-Plänen und -Prozessen sollten Sicherheitsteams die Arten von Daten berücksichtigen, die von verschiedenen Systemen verarbeitet werden, und deren regulatorische Auswirkungen.
Beispielsweise kann es sein, dass einige Systeme aufgrund von Compliance-Anforderungen im Patching-Prozess priorisiert werden müssen.
Feedback