Wie risikobasiertes Schwachstellenmanagement die Sicherheit Ihrer modernen IT-Umgebung erhöht

Schwachstellenbewertung und Schwachstellen-Management mögen ähnlich klingen – aber das sind sie nicht. Wie ein neues Whitepaper der Enterprise Strategy Group (ESG) erklärt, ist es wichtig, die Unterschiede zwischen beiden zu verstehen und von Ad-hoc-Schwachstellenbewertungen zu einem kontinuierlichen, risikobasierten Schwachstellen-Management (Risk-based Vulnerability Management, RBVM) überzugehen. Lesen Sie die Highlights dieser von Tenable in Auftrag gegebenen Studie und erfahren Sie, wie risikobasiertes Schwachstellen-Management Unternehmen dabei unterstützt, in komplexen Hybrid- und Multi-Cloud-Umgebungen eine solide Sicherheits- und Risikolage zu erzielen.

Verwechseln Sie Schwachstellenbewertungen nicht mit Schwachstellen-Management.

Um Sicherheitsrisiken effektiv zu verwalten, benötigen Sie ein kontinuierliches und umfassendes Schwachstellen-Management – und nicht bloß punktuelle Schwachstellenbewertungen, die in regelmäßigen Abständen oder auf Ad-hoc-Basis durchgeführt werden. Schwachstellenbewertungen sind zwar wichtig, aber sie sind lediglich Teil eines umfassenderen Schwachstellen-Management-Programms zur Reduzierung von Risiken und zur Verbesserung der Sicherheit in modernen IT-Umgebungen. 

Dies ist der Schwerpunkt eines neuen, von Tenable in Auftrag gegebenen Whitepapers der Enterprise Strategy Group (ESG) mit dem Titel „Elevating Security with Risk-based Vulnerability Management“ (Optimierung Ihres Sicherheitsprogramms mit risikobasiertem Schwachstellen-Management). Der Bericht zeigt detailliert auf, warum ein Programm für risikobasiertes Schwachstellen-Management erforderlich ist, bei dem nicht nur Schwachstellen bewertet werden, sondern das auch Priorisierung, Behebungsmaßnahmen sowie Neubewertungen und die Umsetzung von Verbesserungen beinhaltet. In diesem Blog-Beitrag gehen wir auf einige der wichtigsten Erkenntnisse aus dem Bericht ein. 

Was sind Schwachstellenbewertungen und welche Einschränkungen haben sie? 

ESG definiert Schwachstellenbewertungen als „punktuelle Netzwerk-Scans, die dazu dienen, IT-Assets, Anwendungen und die damit verbundenen Schwachstellen zu ermitteln“. Unternehmen, die sich auf diese periodischen Bewertungen verlassen, haben Schwierigkeiten, den Erfolg ihres Programms vollständig nachzuverfolgen und zu messen. Sie sind oftmals nicht in der Lage, wichtige Fragen wie diese zu beantworten: 

• „Haben wir 100 % der Assets in der Umgebung gescannt?“ 
• „Haben wir alle kritischen Schwachstellen zeitnah behoben?“ 
• „Reduzieren wir unser Gesamtrisiko?“

Ohne Antworten auf Fragen wie diese können Unternehmen die langfristigen Auswirkungen ihrer Bemühungen nicht feststellen. 

Die Einführung von Cloud-Services, IoT-Geräten, OT-Systemen (Operational Technology), mobilen Endgeräten und anderen Technologien hat dazu geführt, dass Unternehmen hochkomplexe hybride Multi-Cloud-Umgebungen verwalten und absichern müssen. Da Tools für die Schwachstellenbewertung darauf ausgelegt sind, jeweils eine IT-Umgebung zu scannen, müssen Unternehmen, die solche älteren Tools verwenden, oft mehrere einzelne Scans durchführen, um alle Umgebungen abzudecken. Selbst dann ist es immer noch eine Herausforderung, vollständige Asset-Sichtbarkeit mit Legacy-Tools zu erreichen, die nicht dafür konzipiert sind, moderne Assets wie virtuelle Maschinen, Container, Cloud-Infrastrukturen und kurzlebige Workloads zu erkennen und abzusichern. 

Scan-Ergebnisse müssen anschließend an einem zentralen Ort zusammengeführt werden, um eine Priorisierung und Behebung zu ermöglichen. Legacy-Tools zur Schwachstellenbewertung haben Probleme, wenn es um die Automatisierung von Workflows geht, was sich für Unternehmen als recht kostspielig erweisen kann. Wie im ESG-Whitepaper ausgeführt: „Die Legacy-Tools selbst mögen preiswerter sein, aber die zusätzlichen personellen Arbeitsstunden, die erforderlich sind, um die Ergebnisse in produktive Maßnahmen umzusetzen, sind am Ende teurer als die Software-Einsparungen.“ (eigene Übersetzung)

Größte Herausforderungen bei Schwachstellen-Management-Programmen

Laut der ESG-Umfrage unter 383 IT- und Cybersecurity-Fachkräften sind dies die drei größten Herausforderungen, denen Unternehmen bei ihren derzeitigen Schwachstellenmanagement-Prozessen und -Tools gegenüberstehen:

• Automatisierung von Prozessen wie Aufdeckung von Schwachstellen, Priorisierung und Risikominderung
• Nachverfolgung von Schwachstellen, für die Patches fehlen oder die nicht gepatcht werden können
• Schwierigkeiten bei der Koordinierung von Schwachstellen-Management-Prozessen über verschiedene Tools hinweg

Diese Daten zeigen, dass eine Schwachstellen-Management-Lösung benötigt wird, die über eine herkömmliche Schwachstellenbewertung hinausgeht und starke Funktionen zur Workflow-Automatisierung sowie eine effektive und effiziente risikobasierte Priorisierung bietet und zudem in der Lage ist, die Kluft zwischen Sicherheits- und Behebungsteams zu überbrücken. 

Die Vorteile von kontinuierlichem, risikobasiertem Schwachstellen-Management 

Die Einführung eines kontinuierlichen, risikobasierten Schwachstellen-Management-Programms ist für eine effektivere Risikominderung und eine verbesserte Sicherheitslage von entscheidender Bedeutung.

Zur Umsetzung eines risikobasierten Ansatzes für das Schwachstellen-Management hebt ESG drei zentrale Elemente hervor, die notwendig sind, um Schwachstellen zu kontextualisieren und Risiken effektiv und effizient zu priorisieren:

1. Auswirkungen: Sollte eine Schwachstelle erfolgreich ausgenutzt werden, müssen Sie die Auswirkungen auf das betroffene Asset und auf das Unternehmen insgesamt kennen.
2. Wahrscheinlichkeit einer Ausnutzung: Zu wissen, welche Schwachstellen aktiv („in freier Wildbahn“) ausgenutzt werden und welche Schwachstellen leicht ausgenutzt werden können, spielt bei der Priorisierung eine wichtige Rolle. 
3. Asset-Wert: Dieser Faktor hat in den letzten Jahren an Komplexität gewonnen, da es beim Asset-Wert nicht mehr nur darum geht, zu bestimmen, auf welchen Systemen kritische Software läuft. Beim Asset-Wert geht es auch um Identitätsdaten und die Rollen und Berechtigungen, die den Benutzern eines Systems gewährt wurden.

Indem Sie Ihr Schwachstellen-Management-Programm zu einem proaktiven, umfassenden Programm für die effektive Reduzierung von Risken weiterentwickeln, werden Sie in die Lage versetzt, den Anforderungen moderner Workloads besser gerecht zu werden. Wenn Sie mehr über die Ergebnisse von ESG erfahren möchten, laden Sie jetzt das vollständige Whitepaper herunter. 

Wie Tenable Vulnerability Management helfen kann

Tenable Vulnerability Management ist eine Plattform für risikobasiertes Schwachstellen-Management, die einen effektiven, innovativen Ansatz bietet, um die schwierigsten Herausforderungen des modernen Schwachstellen-Managements zu lösen. 

Tenable Vulnerability Management wird in der Cloud verwaltet und von Tenable Nessus unterstützt. Es bietet die branchenweit umfassendste Abdeckung von Schwachstellen – mit kontinuierlicher Echtzeit-Bewertung des Unternehmens und vollständiger Sichtbarkeit des Ökosystems, um Angriffe vorhersagen und schnell auf kritische Schwachstellen reagieren zu können. 

Um mehr über Tenable Vulnerability Management zu erfahren, starten Sie noch heute Ihre kostenlose Testversion und laden Sie das Whitepaper „Elevating Security with Risk-based Vulnerability Management“ herunter.