Exploit-Intelligence zur Identifizierung gefährdeter erkannter Produkte nutzen – Tanium Tech Talks #153

Das Management von Sicherheitslücken auf Unternehmensebene stellt eine der operativ anspruchsvollsten Herausforderungen im Bereich der IT-Sicherheit dar. Viele Unternehmen sehen sich mit Tausenden – in manchen Fällen sogar mit Millionen – von Sicherheitslücken konfrontiert, und der herkömmliche Ansatz, sich ausschließlich auf CVSS-Werte zu stützen, entzieht den Teams den Kontext, den sie benötigen, um fundierte Entscheidungen zur Priorisierung zu treffen. Die Tatsache, dass eine Sicherheitslücke 5,5 von 10 Punkten erreicht, sagt kaum etwas darüber aus, ob Angreifer sie derzeit aktiv ausnutzen, ob sie im Rahmen von Ransomware-Kampagnen genutzt wird oder ob der betroffene Endpunkt ein Domänencontroller ist. Julia Grunewald, Leiterin des Tanium-Produktportfolios, ist in dieser Folge zu Gast, um wichtige neue Verbesserungen an „ “ und „Tanium Comply“ vorzustellen, die genau diese Lücke schließen.

Julia erläutert drei miteinander verknüpfte Funktionen, die nun in Comply verfügbar sind: die Auswertung von Exploit-Intelligence-Daten (einschließlich EPSS-Werte, Reifegrade von Exploits und Zuordnungen zu Ransomware-Kampagnen), die Kritikalität von Endgeräten sowie ein neues Feld „Erkannte Produkte“, das die Abhilfemaßnahmen von einer Liste mit 80 potenziell betroffenen Produkten auf die einzelne Anwendung eingrenzt, die tatsächlich auf dem Endgerät gefunden wurde. Zusammen bieten diese Ergänzungen den Teams das von Julia beschriebene dreiteilige Rahmenwerk zur Priorisierung: Wie schwerwiegend ist die Sicherheitslücke, wie wahrscheinlich ist es, dass sie ausgenutzt wird, und wie geschäftskritisch ist die betroffene Ressource?

Julia stellt außerdem das neue „Exploitability Dashboard“ vor, das CVSS- und EPSS-Overlays, den CISA-Feed zu bekannten ausgenutzten Schwachstellen sowie die Zuordnungen von MITRE ATT&CK-Techniken zu den CWE-Kategorien in einer einzigen Ansicht vereint, die sowohl für die tägliche Triage als auch für die Berichterstattung auf Führungsebene konzipiert ist.

Falls Ihr Team nach wie vor mit Tabellenkalkulationen arbeitet oder Schwierigkeiten hat, Schwachstellenbefunde mit konkreten Abhilfemaßnahmen zu verknüpfen, sollten Sie dieser Folge Ihre volle Aufmerksamkeit widmen. Sehen Sie sich das folgende Video an, um alle Funktionen live in der Comply-Konsole vorgeführt zu bekommen.

Wichtige Erkenntnisse

• CVSS allein reicht nicht aus: Kunden, die Tausende oder sogar Millionen von Sicherheitslücken verwalten, benötigen mehr als nur einen CVSS-Wert, um Entscheidungen zur Priorisierung zu treffen. Sie müssen wissen, ob eine Sicherheitslücke aktiv ausgenutzt wird, ob bestimmte Angreifer sie nutzen und ob Ransomware-Kampagnen damit in Verbindung stehen.

„: Viele Kunden weisen Tausende von Sicherheitslücken auf.“ In manchen Fällen sind es Millionen von Sicherheitslücken. Und die Verwaltung eines solchen Nachlasses ist eine Herausforderung, nicht wahr? Sie müssen verstehen, was Priorität hat, was sofort behoben werden muss und was im Rahmen eines normalen Patch-Zyklus behoben werden kann, was einige Wochen oder vielleicht einen Monat dauern könnte.”

Julia Grunewald, Leiterin des Tanium-Produktportfolios

• EPSS-Wert und Informationen zu Exploits: Comply zeigt nun den EPSS-Wert an – eine Kennzahl zur Ausnutzungswahrscheinlichkeit mit einem Höchstwert von 1 – sowie ein neues Informationsfeld zu Exploits, das die Anzahl der einzelnen Exploits im Zusammenhang mit einer Schwachstelle und die Anzahl der Ransomware-Kampagnen, die diese ausnutzen, anzeigt.
• Feld „Max Maturity“: Eines der aussagekräftigsten neuen Felder ist „Max Maturity“, das zwischen einem von einem Forscher identifizierten Proof-of-Concept-Exploit und einem Exploit unterscheidet, der in der Praxis tatsächlich als Angriffswerkzeug eingesetzt wird – eine Unterscheidung, die allein anhand des CVSS-Werts niemals zutage treten würde.

„Diese Sicherheitslücke ist für mich derzeit tatsächlich sehr wichtig zu beheben – und das wäre mir niemals bewusst geworden, wenn ich mich bei der Priorisierung lediglich auf CVSS verlassen hätte.“

Julia Grunewald, Leiterin des Tanium-Produktportfolios

• Endpunktkritikalität als dritte Säule: Comply berücksichtigt nun neben CVSS und EPSS auch die Endpunktkritikalität gemäß , ein Maß für die geschäftlichen Auswirkungen. Tanium wird mit drei Standardregeln ausgeliefert (alle Domänencontroller sind „kritisch“, alle Server sind „hoch“, alle Arbeitsstationen sind „mittel“), und Teams können ihre eigenen dynamischen Regeln auf der Grundlage beliebiger Daten definieren, auf die Tanium Zugriff hat, darunter das Vorhandensein von Anwendungen, die Benutzeridentität oder benutzerdefinierte Tags.
• Eingeschränkte Behebung anhand der erkannten Produkte: Anstatt alle Produkte aufzulisten, die von einer Sicherheitslücke betroffen sein könnten – deren Anzahl bis zu 80 betragen kann –, zeigt das neue Feld „Erkannte Produkte“ nur die spezifische Anwendung an, die tatsächlich auf dem Endgerät gefunden wurde, das die Erkennung der Sicherheitslücke ausgelöst hat. Dadurch erhalten die Teams ein präzises und umsetzbares Ziel für die Behebung.

„Wir möchten Ihnen dabei helfen, Probleme schneller zu finden, Ihnen alle Daten zur Verfügung zu stellen, die Sie für die Priorisierung benötigen, und Ihnen dann wirklich klare Schritte sowie, wo immer möglich, direkte Links zu Abhilfemaßnahmen anbieten, um die Zeit bis zur Behebung zu verkürzen und den Status Ihrer Sicherheitslücken besser handhabbar zu machen.“

Julia Grunewald, Leiterin des Tanium-Produktportfolios

• Dashboard zur Ausnutzbarkeit: Ein neues, verwaltetes Dashboard, das zusammen mit den Daten zur Ausnutzbarkeit in Comply veröffentlicht wurde, zeigt eine Überlagerung der CVSS- und EPSS-Werte, die 10 am häufigsten ausnutzbaren CVEs mit Befunden in Ihrer Umgebung, Daten aus dem CISA-Feed zu bekanntermaßen ausgenutzten Schwachstellen sowie MITRE ATT&CK-Technikzuordnungen über CWEs an – alles anklickbar und kopierbar für teamspezifische Berichtsanforderungen.

Weitere Ressourcen

• zu Schwachstellen- und Compliance-Scans mit Tanium Comply: Erfahren Sie, wie Tanium Comply Schwachstellen- und Compliance-Scans in Ihrer gesamten Endpunktumgebung durchführt, und entdecken Sie die in dieser Folge vorgestellten Funktionen zur Exploit-Analyse und Priorisierung.
• So verbessern Sie Ihren Prozess zur Schwachstellenanalyse: Ein genauerer Blick darauf, warum CVSS allein für die moderne Priorisierung von Schwachstellen nicht ausreicht und wie Exploit-Intelligence-Daten Sicherheitsteams dabei helfen, sich auf das Wesentliche zu konzentrieren.
• Durchführung von Schwachstellenanalysen und Überprüfung der Ergebnisse in Tanium Comply (Cloud): Technische Dokumentation zur Konfiguration von Schwachstellenanalysen, zu den Details der Ergebnisse sowie zum Exploit-Intel-Panel in Tanium Comply in der cloudverwalteten Umgebung.