Schwachstellen

Schwachstellen laufend steuern

Fast jede Organisation scannt. Wenige können sagen, welcher Anteil ihrer kritischen Schwachstellen innerhalb der selbst gesetzten Frist behoben wurde. Genau diese Lücke — zwischen Berichte erzeugen und Exposition senken — behandelt dieser Fall.

Die Herausforderung

Der Bericht ist nicht das Ergebnis

Ein punktueller Scan hat zwei Mängel: Er sieht nur, worauf man ihn gerichtet hat, und er fotografiert einen Augenblick. Was im Inventar fehlt, existiert für ihn nicht — und gerade in den vergessenen Assets sitzen fast immer die ältesten Schwachstellen.

Die zweite Falle ist die Priorisierung allein nach Punktzahl. Tausende « kritischer » Schwachstellen überlasten die Teams, obwohl nur ein Bruchteil in Ihrem Umfeld tatsächlich ausnutzbar ist: von aussen erreichbar, ohne ausgleichende Massnahme und mit kursierendem Exploit-Code. Danach zu sortieren, ändert die Reihenfolge vollständig.

Die dritte ist die fehlende verbindliche Frist. Ohne Behebungszusage je Schweregrad hängt die Korrektur an der Verfügbarkeit der Einzelnen, und die Schuld wächst, ohne dass es jemand feststellen kann. Unsere Aufgabe ist es, diesen Zyklus einzurichten und messbar zu machen.

Was auf dem Spiel steht

Assets fehlen im Inventar und werden daher nie geprüft
Tausende undifferenzierter Alarme, überlastete Teams
Im Internet exponierte Schwachstellen zuletzt behoben
Keine zugesagte und verfolgte Behebungsfrist
Beherrschung bei einem Audit nicht belegbar

Schema

Ein Zyklus, keine Kampagne

Das Inventar bestimmt, was erkannt wird, die Ausnutzbarkeit bestimmt die Reihenfolge, die Frist bestimmt das Ergebnis. Die Steuerung schliesst den Kreis und speist das Inventar.

Unser Vorgehen

Wie wir vorgehen

Wir beginnen beim exponierten Perimeter, wo das Risiko am unmittelbarsten und der Gewinn am schnellsten ist.

Inventar und Umfang

Erhebung der Assets — im Internet exponiert, intern, Cloud — und ihrer verantwortlichen Person. Ohne benannte Verantwortung hat eine Schwachstelle niemanden, der sie behebt.

Laufende Erkennung

Aufbau der Abdeckung: regelmässige Erfassung des exponierten Perimeters, authentisierte Prüfung im Innern und Einbindung der bereits vorhandenen Quellen statt eines weiteren Werkzeugs.

Priorisierungsregel

Festlegung der auf Ihr Umfeld zugeschnittenen Sortierregel: Exposition, Kritikalität des Assets, vorhandener Exploit-Code, ausgleichende Massnahmen. Sie erzeugt eine kurze, vertretbare Reihenfolge statt einer Rangliste nach Punktzahl.

Fristen und Behebung

Zusage von Fristen je Schweregrad, Bearbeitungsweg mit den behebenden Teams und dokumentiertes Ausnahmeverfahren für das, was nicht behoben werden kann.

Messung und Steuerung

Verfolgung der Schuld und der Fristeneinhaltung, Bestätigung der eingespielten Korrekturen durch Nachtest und ein Dashboard, das Geschäftsleitung wie Prüfer lesen können.

Eingesetzte Leistungen

Mehrere Disziplinen, eine Ansprechperson

Die offensive Prüfung qualifiziert, was wirklich ausnutzbar ist, die Integration baut die Kette, die Überwachung hält sie am Leben.

Penetrationstest Cybersecurity-Lösungen SOC Audit & Advisory GRC

Ergebnisse

Inventar der Assets und ihrer Verantwortlichen
Dokumentierte Erkennungsabdeckung
Auf Ihr Umfeld zugeschnittene Priorisierungsregel
Zugesagte Behebungsfristen und Ausnahmeverfahren
Dashboard der Schuld und Bericht des Nachtests

Häufige Fragen

Beide beantworten verschiedene Fragen. Der Penetrationstest zeigt in der Tiefe, was ein Angreifer zu einem Zeitpunkt erreichen kann; das Schwachstellenmanagement hält eine breite Abdeckung über die Zeit. Das eine ohne das andere lässt einen blinden Fleck.

Nein, und das Gegenteil zu behaupten sichert das Scheitern. Ziel ist, dass das tatsächlich Ausnutzbare in der vereinbarten Frist behoben wird und der Rest bekannt, verantwortet und verfolgt ist. Eine dokumentierte Ausnahme ist mehr wert als eine ignorierte Zeile.

Indem man die Exposition vor die Punktzahl stellt. Eine mittlere Schwachstelle auf einem aus dem Internet erreichbaren Server geht einer kritischen auf einem isolierten Arbeitsplatz vor. Die Regel wird einmal mit Ihnen festgelegt und danach automatisch angewendet.

ISO 27001, der IKT-Minimalstandard und DORA verlangen alle ein dokumentiertes und belegbares Schwachstellenmanagement. Das Dashboard und die Nachweise der Nachtests sind unmittelbar das, was der Prüfer erwartet.

Welcher Anteil Ihrer kritischen Schwachstellen ist fristgerecht behoben?

Kommt die Antwort nicht sofort, ist eine Bestandsaufnahme des exponierten Perimeters der richtige Anfang.

Kontakt aufnehmen