Vulnerability Management

Was ist Vulnerability Management?

Vulnerability Management ist die englische Bezeichnung für Schwachstellenmanagement und meint alle technischen und organisatorischen Maßnahmen, mit denen Sicherheitslücken in Netzwerken, Servern und Anwendungen aufgedeckt, bewertet und geschlossen werden. Der Begriff hat sich im deutschsprachigen Raum vor allem für die werkzeuggestützte Seite dieses Vorgehens eingebürgert.

Den Ausgangspunkt bildet ein vollständiges Verzeichnis der eigenen Systeme. Was nicht inventarisiert ist, wird auch nicht geprüft, weshalb ein lückenhaftes Asset-Inventar der häufigste stille Fehler in diesem Bereich ist. Eingeordnet ist die Aufgabe im IT-Sicherheitsmanagement, das den organisatorischen Rahmen setzt.

Was ein Schwachstellenscanner leistet

Das Werkzeug erhebt Versionsstände, offene Dienste und Konfigurationen und gleicht sie gegen Verzeichnisse bekannter Sicherheitslücken ab, allen voran die CVE-Einträge. Zu jedem Fund liefert es eine Kennung, eine Schweregradbewertung und meist einen Hinweis auf die Behebung. Geprüft wird je nach Aufstellung von außen, aus dem internen Netz oder mit Zugangsdaten auf dem System selbst.

Die Grenzen des Verfahrens liegen in seiner Arbeitsweise. Ein Scanner findet nur Bekanntes, also Lücken, die bereits veröffentlicht und in die Datenbank aufgenommen wurden. Fehler in selbst entwickelter Software, unsichere Geschäftslogik und Fehlkonfigurationen im Zusammenspiel mehrerer Systeme bleiben ihm verborgen. Auch die Zahl der Fehlalarme ist erheblich, weshalb jeder Fund vor der Behebung gegengeprüft wird.

Assessment und Penetrationstest

Vulnerability Management unterscheidet dafür zwei Prüfarten. Ein Vulnerability Assessment ist eine breit angelegte Bestandsaufnahme. Es prüft möglichst viele Systeme in kurzer Zeit auf bekannte Lücken und liefert eine priorisierte Übersicht, ohne die Funde auszunutzen.

Ein Penetrationstest geht den umgekehrten Weg. Er nimmt sich wenige Systeme vor und versucht, eine Lücke tatsächlich auszunutzen, um zu klären, ob sie unter realen Bedingungen ausreicht. Beide Verfahren ersetzen einander nicht, das Assessment liefert die Breite, der Test die Tiefe.

Einordnung in den laufenden Betrieb

Ein einzelner Scan ist eine Momentaufnahme und verliert mit jedem Tag an Aussagekraft. Wirksam wird das Verfahren erst als Kreislauf mit festen Intervallen, verbindlichen Behebungsfristen je Schweregrad und einer Anbindung an die Ticketprozesse, damit ein Fund nicht bei der Erfassung endet. Ohne diese Anbindung wächst der Rückstand unbehobener Funde von Durchlauf zu Durchlauf.

Nachweispflichten kommen hinzu. NIS-2 und der BSI-IT-Grundschutz verlangen von Behörden und KRITIS-Betreibern ein dokumentiertes Verfahren. Den vollständigen Zyklus samt CVSS-Bewertung und Checkliste behandelt der Leitfaden zum Schwachstellenmanagement.