Security Pilot Praxis Tipp - Schwachstellenmanagement

Informationen über Schwachstellen in genutzter Hard- und Software zu haben, kann der entscheidende Vorteil gegenüber Mitbewerbern sein, wenn es um das Thema Informations- /IT- und Cybersicherheit geht.

Sie lebt im Verborgenen, sie zeigt sich nur selten, aber wenn, dann schlägt sie zu wie ein Hammer - die Schwachstelle.

Jeder hat sie dann und wann, niemand möchte sie - und meistens wissen die Falschen zuerst davon.

Was sind denn Schwachstellen?

Schwachstellen in der Informationssicherheit sind Lücken in IT-Systemen, in der physischen Sicherheit oder in ganzheitlichen Sicherheitskonzepten.

Am häufigsten begegnen wir Schwachstellen im IT-Umfeld im Bereich der Software.

Nahezu täglich gibt es Mitteilungen, dass sich in einer Applikation ein schwerwiegender Fehlerteufel eingeschlichen hat, der missbraucht werden kann, um Dinge anzustellen, die man lieber nicht möchte.

Die Lösung für eine Schwachstelle ist dann der Patch.

Aber wie erfahre ich denn von einer Schwachstelle, bevor mir der Angreifer meine Firma verschlüsselt und mir freundlicherweise anbietet das gegen ein paar Bitcoin wieder rückgängig zu machen? Mit Garantie natürlich!

Es gibt eine Vielzahl an Möglichkeiten, sich zu informieren, dies hängt zum Teil auch von der genutzten Infrastruktur und Software ab.

Man findet Schwachstelleinformationen zum Beispiel in

• einigen Anti-Malware-Lösungen (sie können lokale Schwachstellen in Hard- und Software erkennen)

• einigen Mobile Device Management-Lösungen (können Schwachstellen der installierten Apps, Software und Hardware erkennen)

• Patch-Management-Systemen

• einigen Asset-Management-Tools (bieten zum Teil Schnittstellen zu Systemen, die die Schwachstellen managen und beheben können.)

• Schwachstellenscannern

• Software-Verwaltungs-Lösungen

• Speziellen Schwachstellenmanagement-Tools

• RSS-Feeds verschiedener Anbieter

Ich habe für mich folgenden praktischen Ansatz gewählt:

RSS-Feeds

Verschiedene Anbieter bieten sogenannten RSS-Feeds an, in denen sie über Schwachstellen in Hard- und Software informieren.

Diese abonniert man sich einfach und ist somit schon mal 100% besser informiert als zuvor.

Ich selbst nutze die RSS-Feeds

• des BSI (Cybersicherheitswarnungen des CERT-Bund)

• von Arctic Wolf (Security Bulletins - Arctic Wolf Blog)

• von heise.de (Security-Alert Meldungen)

wobei zuletzt genannter aus meiner Sicht die beste Quelle darstellt.

Die Links zu den Feeds kann man sich auf den Webseiten der Anbieter kopieren und dann z.B. in sein Mailprogramm einbinden oder als News-Feed im Browser anzeigen lassen.

Einziger Nachteil ist, dass man hier natürlich zu allen möglichen Schwachstellen informiert wird, die bekannt geworden sind, nicht nur für Tools, die man selbst einsetzt - und natürlich nur zu neuen. Aber hier könnte man mit Filtern arbeiten, sofern man möchte. Ich kann aber aus Erfahrung sagen, dass man am Tag keine Minute dafür braucht, die Meldungen zu lesen und zu prüfen, ob man betroffen ist.

Auf diese Weise ist man zumindest informierter.

Besser ist natürlich eine Lösung, die mir nur die Schwachstellen anzeigt, die mich konkret betreffen, eine kostenlose Lösung habe ich hierfür allerdings noch nicht gefunden.

Kennst Du eine?

Dann schreib es mir als Kommentar.

Im Optimalfall habe ich ein Asset Management, in der die gesamte Software meiner Infrastruktur inkl. Versionsstand enthalten ist, dann kann ich dies mit einer Lösung zum Schwachstellenmanagement verknüpfen (wenn dies nicht bereits enthalten ist) und habe absolut akkurate Informationen und sehe vor allem auch die Veränderung, nachdem Patches eingespielt worden sind.

Das könnte dann z.B. so aussehen:

Fazit

Schwachstellen für die eigene Infrastruktur im Auge zu haben ist wichtig, um nicht unvermittelt Opfer einer ausgenutzten Schwachstelle zu werden, nur weil man nichts davon wusste und demzufolge nicht hat darauf reagieren können.

Es gibt eine Vielzahl von Quellen für diese Informationen.

Jede ist besser als keine - und langfristig und bei entsprechender Unternehmensgröße macht es Sinn, über ein Tool nachzudenken, mit welchem diese Arbeit automatisiert und optimiert werden kann.

Dieser Beitrag kratzt natürlich nur an der Oberfläche, dennoch ist mir wichtig, dass die verantwortlichen Personen das Thema im Auge behalten.

Habt Ihr Fragen zu dem Thema oder benötigt Ihr Unterstützung?

Dann meldet Euch bei mir (Kontaktformular), ruft an oder hinterlasst einen Kommentar. Gerne bespreche ich mit Euch Eure individuellen Anforderungen unter Berücksichtigung Eurer Daten, Infrastruktur und Bedürfnisse.