cirosec – Verwundbarkeits- und Risikomanagement

Verwundbarkeiten sind die Türen, durch die Hacker oder Würmer in Systeme und Netze eindringen. Sie entstehen meist durch schlechte Konfiguration oder Fehler in Betriebssystemen, Netzwerkdiensten oder Applikationen.

Um die eigene IT-Infrastruktur vor Angriffen zu schützen, bauen viele Organisationen Firewalls, Verschlüsselung, Content Security, Intrusion-Prevention-Systeme oder ähnliches auf. Auf diesem Weg wollen sie verhindern, dass Verwundbarkeiten ausgenutzt werden. Entfernt werden die Verwundbarkeiten dadurch jedoch nicht.

Um die Verwundbarkeiten oder Fehler zu beheben und damit an den eigentlichen technischen Wurzeln der Sicherheitsprobleme anzusetzen, werden beispielsweise Service Packs, Patches oder Hotfixes der Hersteller eingespielt. Dies ist jedoch bei größeren Organisationen keine einfache Aufgabe, da man Updates nicht einfach so einspielen kann. Seiteneffekte, die zu Inkompatibilitäten mit kritischen Applikationen führen können, sind oft schlimmer als die ursprünglich behobenen Fehler.

In der Praxis muss man oft zwischen dem Risiko eines möglichen Schadens aufgrund der Verwundbarkeit und dem Risiko eines möglichen Schadens aufgrund einer unausgereiften Behebung abwägen. Blindes Einspielen von Service Packs oder Patches muss durch bewusstes und gezieltes Beheben der Schwachstellen ersetzt werden. Dies geschieht durch systematisches Erfassen der tatsächlich vorhandenen Verwundbarkeiten und durch Bewerten dieser Verwundbarkeiten unter Berücksichtigung der tatsächlichen Infrastruktur, der Applikationen und der Business-Prozesse.

Verwundbarkeits-Management ist ein von geeigneten Werkzeugen unterstützter Prozess, der Informationen über Verwundbarkeiten sammelt, aufbereitet, bewertet und weiter verteilt sowie ihre Behebung steuert.

Zusätzlich können die Information über Verwundbarkeiten in verschiedenen anderen Bereichen der IT-Sicherheit zu einer Qualitätsverbesserung verwendet werden. Informationen über Verwundbarkeiten und Systeme zum Sammeln und Weiterverarbeiten dieser Informationen sind damit ein wichtiger, grundlegender Baustein für ein vorausschauendes Sicherheits-Management.