Die meisten Programme zum Schwachstellenmanagement beschränken sich auf die Feststellung „Wir haben die Schwachstelle gefunden“ und „Wir haben sie behoben“. CTEM fügt den Schritt hinzu, den die meisten Programme überspringen: die Überprüfung, ob die Exposition tatsächlich geschlossen ist und ob die Steuerelemente wie vorgesehen funktionieren.
In diesem Artikel wird erläutert, welche Anforderungen die einzelnen Phasen auf Unternehmensebene stellen, an welchen Stellen Programme typischerweise ins Stocken geraten und wie Sie messen können, ob Ihre CTEM-Maßnahmen tatsächlich Risiken mindern oder lediglich zu mehr Aktivität führen.
CTEM erklärt
Das „Continuous Threat Exposure Management“ ist ein fünfstufiges Rahmenkonzept . Gartner hat das „ “ eingeführt, um Unternehmen dabei zu unterstützen, Sicherheitsrisiken systematisch zu reduzieren. Die fünf Phasen sind: Umfangsbestimmung, Erkundung, Priorisierung, Validierung und Mobilisierung.
Im Gegensatz zu periodischen Schwachstellenanalysen ( ), die in erster Linie Listen mit Befunden liefern, legt CTEM den Schwerpunkt darauf, ob die Risikobedingungen erreichbar und realistisch umsetzbar sind und ob die Behebung von Schwachstellen ( ) sowie Kontrollmaßnahmen diese Realität messbar verändern. CTEM berücksichtigt bei der Priorisierung die Durchführbarkeit von Angriffen in der Praxis, Ausgleichsmaßnahmen, die Kritikalität von Ressourcen sowie die Erreichbarkeit von Angriffspfaden – also Kontextinformationen, die CVSS-Werte allein nicht liefern.
CTEM stellt das Betriebsmodell auf einen proaktiven Ansatz um, indem es von regelmäßigen Bewertungen und der Erfassung von Mängeln zu einem kontinuierlichen Zyklus übergeht, in dem der Fokus auf den wesentlichen Aspekten liegt, überprüft wird, ob Sicherheitslücken ausgenutzt werden können oder eine laterale Bewegung ermöglichen, die Wirksamkeit der Kontrollmaßnahmen bestätigt wird und Abhilfemaßnahmen unter Festlegung der Verantwortlichkeiten eingeleitet werden.
Beim herkömmlichen Schwachstellenmanagement werden CVEs ermittelt und anhand des CVSS-Schweregrads eingestuft. Dadurch lassen sich zwar Erkenntnisse gewinnen, doch die Frage, die Sicherheitsverantwortlichen tatsächlich beschäftigt, bleibt unbeantwortet: Welche Schwachstellen kann ein Angreifer realistisch ausnutzen, um an kritische Ressourcen zu gelangen?
CTEM erweitert die Definition des Begriffs „Sicherheitsrisiko“ über Schwachstellen hinaus und umfasst damit jede Lücke, die einer Behebung bedarf. Eine umfassende Risikobewertung berücksichtigt nicht nur ungepatchte CVEs, sondern auch Fehlkonfigurationen, Identitätsrisiken, übermäßige Berechtigungen, nach außen gerichtete Ressourcen, Schatten-IT sowie alle anderen Umstände, die ein Angreifer ausnutzen könnte. Das Ziel besteht nicht darin, weitere Probleme aufzudecken. Dabei werden die Abhilfemaßnahmen auf die Sicherheitslücken konzentriert, die für Ihre spezifische Umgebung am wichtigsten sind.
[Erfahren Sie, wie sich das Expositionsmanagement in eine umfassendere Sicherheitsstrategie einfügt]
CTEM ist kein Ersatz für das Schwachstellenmanagement. Es handelt sich um ein strukturiertes Programm, das Ihre bestehenden Workflows für die Überprüfung, Priorisierung und Behebung von Sicherheitslücken in den geschäftlichen Kontext einbindet, um deren Effektivität zu steigern. Das Ergebnis: weniger offene Sicherheitslücken, eine schnellere Behebung sowie Sicherheitsinvestitionen, die gezielt dort getätigt werden, wo das Risiko am höchsten ist.
Um zu verstehen, welchen Mehrwert CTEM bietet, muss man zunächst erkennen, wo herkömmliche Ansätze an ihre Grenzen stoßen.
Warum das herkömmliche Schwachstellenmanagement nicht ausreicht
Die Lücke betrifft nicht die Prozessabdeckung. Es handelt sich um eine Überprüfung. Zwar verfügen viele ausgereifte Programme zum Schwachstellenmanagement in der Regel über Workflows für das Scannen, die Priorisierung und die Behebung von Schwachstellen, doch betrachten einige die Behebung nach wie vor als abgeschlossen, sobald eine Korrekturmaßnahme umgesetzt wurde – oft ohne zu überprüfen, ob die Sicherheitslücke tatsächlich geschlossen wurde.
Dadurch entsteht ein entscheidender blinder Fleck zwischen Handlung und Ergebnis. Ohne kontinuierliche Validierung könnten Teams davon ausgehen, dass das Risiko verringert wurde, obwohl die zugrunde liegende Sicherheitslücke aufgrund fehlgeschlagener Bereitstellungen, Konfigurationsabweichungen oder unvollständiger Korrekturen weiterhin besteht.
Modelle zur regelmäßigen Bewertung vergrößern diese Kluft noch weiter. In vielen Umgebungen können durch geplante Scans Lücken entstehen, in denen neue oder geänderte Sicherheitsrisiken bis zum nächsten Erfassungszyklus bestehen bleiben, insbesondere in sich schnell verändernden Cloud-, SaaS- und Identitätsumgebungen. Angreifer warten nicht auf Ihren Scan-Zeitplan.
Isolierte Werkzeuge zerreißen den Kontext. Scanner, Penetrationstestberichte, Bestandsverzeichnisse und Ticketingsysteme tauschen häufig keine Daten untereinander aus. Sicherheitsteams versuchen letztendlich manuell, die Ergebnisse aus voneinander getrennten Tools miteinander in Zusammenhang zu bringen, um sich ein schlüssiges Bild davon zu verschaffen, was tatsächlich gefährdet ist.
Eine Priorisierung ausschließlich nach Schweregrad führt zu unüberschaubaren Backlogs. Ein CVSS-Wert gibt Aufschluss darüber, wie schwerwiegend eine Sicherheitslücke theoretisch sein könnte. Es geht daraus nicht hervor, ob diese Sicherheitslücke auf einem System besteht, das Zugriff auf Ihre Domänencontroller hat, oder ob derzeit ein Exploit im Umlauf ist.
Es gibt keine Überprüfung, ob die Steuerelemente tatsächlich funktionieren. Die meisten Programme erfassen, ob ein Patch bereitgestellt wurde. Nur wenige bestätigen, ob das Engagement tatsächlich geschlossen ist. Eine behobene CVE auf einem falsch konfigurierten System kann möglicherweise weiterhin über einen anderen Pfad erreichbar sein.
Im CTEM-Kontext kann der Begriff „Validierung“ Folgendes umfassen: die Überprüfung, ob eine Schwachstelle in der Umgebung tatsächlich ausgenutzt werden kann, die Bestätigung der Abdeckung durch Kontrollmaßnahmen gegenüber relevanten Angriffstechniken sowie die erneute Überprüfung des jeweiligen Assets bzw. Zustands nach der Behebung.
Die organisatorische Lücke. Sicherheitsteams ermitteln Ergebnisse. Die IT-Betriebsteams sind für die Behebung der Probleme verantwortlich. Ohne gemeinsame Arbeitsabläufe und Steuerungsmechanismen verbleiben validierte Sicherheitslücken in einer Warteschlange und warten auf ein Änderungsfenster, in das die Sicherheitsabteilung keinen Einblick hat.
Für CISOs stellt diese organisatorische Lücke oft das am schwierigsten zu lösende Problem dar. Dies ist ebenso sehr eine Herausforderung in den Bereichen Unternehmensführung, Risikomanagement und Rechenschaftspflicht wie eine technische Herausforderung.
CTEM geht auf jede dieser Lücken ein, indem es die e Risikobewertung als kontinuierliches, integriertes Programm betrachtet. Im folgenden Abschnitt wird erläutert, wie die einzelnen Phasen ablaufen.
[Erfahren Sie mehr über die Methodik des Bedrohungs- und Schwachstellenmanagements]
Die fünf Phasen von CTEM
Die fünf Phasen des CTEM-Prozesses bilden einen kontinuierlichen Kreislauf. Jede Phase fließt in die nächste ein, und der Zyklus wiederholt sich, wenn sich Ihr Umfeld verändert und neu auftretende Bedrohungen eine Anpassung der Prioritäten bei der Erfassung, Ermittlung und Validierung erfordern.
Das Verständnis des gesamten Lebenszyklus eines CTEM-Zyklus – von der anfänglichen Bestimmung des Umfangs bis hin zur validierten Behebung – ist unerlässlich für die Konzeption eines Programms, das eine messbare Risikominderung bewirkt und nicht lediglich wiederkehrende Aktivitäten darstellt.
1. Umfangbestimmung
Im Rahmen der Scoping-Phase wird festgelegt, welche Teile der Umgebung bewertet werden und wie die Exposition gemessen wird. Dies ist nicht nur eine technische Übung. Dies erfordert eine Einigung zwischen den Verantwortlichen aus den Bereichen Sicherheit und Geschäftstätigkeit darüber, welche Vermögensklassen für jeden Zyklus in den Geltungsbereich fallen, wobei sowohl geschäftliche Ziele als auch technische Risiken zu berücksichtigen sind.
Entscheidungen zum Projektumfang sollten regelmäßig überprüft werden, da sich die geschäftlichen Prioritäten weiterentwickeln. Eine Fusion, die Einführung eines neuen Produkts oder die Umstellung auf Remote-Arbeit können dazu führen, dass sich ändert, welche Vermögenswerte am wichtigsten sind und welche Risiken daher die dringendste Aufmerksamkeit erfordern.
Das kontinuierliche Scannen aller Komponenten in verteilten Umgebungen bringt Kompromisse mit sich, darunter Auswirkungen auf das Netzwerk und das Ausmaß der Warnmeldungen. Die Festlegung des Umfangs erfordert eine einvernehmliche Vereinbarung darüber, welche Anlageklassen kontinuierlich erfasst werden, welche einer regelmäßigen Bewertung unterzogen werden und wer befugt ist, den Umfang anzupassen, wenn sich die Rahmenbedingungen ändern.
Was bedeutet „kontinuierlich“ in betrieblicher Hinsicht?
Nicht jedes Signal in einem CTEM-Programm wird mit derselben Frequenz aktualisiert. Einige Datenquellen, wie beispielsweise der Endpunktstatus und Telemetriedaten, können nahezu in Echtzeit vorliegen, während andere (wie die Schwachstellenscans von ) weiterhin in regelmäßigen Abständen erfolgen. Unternehmen müssen für jede Asset-Ebene akzeptable Schwellenwerte für die Datenaktualität festlegen. Sollte eine Datenquelle regelmäßig veraltet sein, sollten ihre Ergebnisse bis zur erneuten Validierung als weniger zuverlässig eingestuft werden.
CTEM-Programme scheitern häufig, wenn die Teams davon ausgehen, dass alle Eingabedaten gleichermaßen aktuell sind. In der Praxis erfordert die Gewährleistung der Genauigkeit eine kontinuierliche Aktualisierung der Bestandsdaten sowie die Überprüfung der Eigentumsverhältnisse und des Kontextes der Vermögenswerte.
Informationen aus dem Bereich der Bedrohungsanalyse fließen in Entscheidungen zur Festlegung des Untersuchungsumfangs ein, indem sie aufzeigen, welche Arten von Ressourcen aktiv ins Visier genommen werden. Wenn sich die Bedrohungslage verändert (beispielsweise wenn Angreifer beginnen, VPN-Geräte gezielt anzugreifen), rücken diese Asset-Typen im aktuellen Zyklus in der Prioritätenliste nach oben.
Ein häufiger Fehler in der Anfangsphase besteht darin, die Bereichsbestimmung als „alles aufzuzählen“ zu betrachten. Bei CTEM wird im Rahmen des Scoping-Prozesses definiert , worauf es ankommt und wie der Erfolg gemessen wird; im Discovery-Prozess wird erfasst, was innerhalb dieses Rahmens vorhanden ist.
2. Entdeckung
Die Erfassung von Systemen im Rahmen von CTEM erfasst die Angriffsfläche über die herkömmliche Bestandsaufnahme von Systemen hinaus und umfasst Schwachstellen, Fehlkonfigurationen, nach außen gerichtete Systeme, Schatten-IT sowie Identitätsrisiken.
In großen, komplexen Umgebungen erfordert die Bestandsaufnahme von mehr als 50.000 Endpunkten in der Regel die Kombination mehrerer Erfassungsmethoden, darunter Endpunkt-Telemetrie (sofern verwaltet), Netzwerk- und Scannerdaten sowie Quellen aus der Cloud- oder SaaS-Steuerungsebene (APIs). Sowohl agentenbasierte als auch agentenlose Ansätze weisen jeweils Vor- und Nachteile auf, und unterschiedliche Umgebungen – lokal, in der Cloud und hybrid – bringen jeweils eigene Herausforderungen mit sich. Jede Methode unterscheidet sich zudem hinsichtlich Abdeckung, Aktualität und Zuverlässigkeit, insbesondere bei kurzlebigen Vermögenswerten.
Schatten-IT und nicht verwaltete Geräte stellen häufig die größten Lücken in der Transparenz dar, da sie vollständig außerhalb des Umfangs der Standard-Scans liegen und daher am ehesten unentdeckte Sicherheitsrisiken bergen.
SaaS-Anwendungen stellen eine ähnliche Herausforderung dar. Geschäftsbereiche führen häufig cloudbasierte Tools ein, ohne die IT- oder Sicherheitsabteilung einzubeziehen, wodurch Sicherheitsrisiken entstehen, die in herkömmlichen Bestandsaufnahmen der IT-Ressourcen nicht erfasst werden.
Die Identifizierung und die Eigentumsverhältnisse von Vermögenswerten gehören zu Ihren wichtigsten Ergebnissen der Ermittlung. Befunde zur Exposition, die nicht mit einem Eigentümer in Verbindung gebracht werden können, führen regelmäßig zu Verzögerungen bei der Mobilisierung. Pflegen Sie eine verbindliche Zuordnung zwischen technischen Identifikatoren (Hostname, Instanz-ID, Konto, App-Mandant) und den dafür zuständigen Geschäftsteams.
Aus diesem Grund ist das Management der externen Angriffsfläche (EASM) zu einem wichtigen Bestandteil der Erkundungsphase geworden. EASM-Tools bieten einen kontinuierlichen Überblick über internetgestützte Ressourcen, einschließlich solcher, die möglicherweise nicht in internen Bestandslisten aufgeführt sind.
Um Identitätsrisiken zu erkennen, ist eine Integration mit den Daten des Identitätsanbieters erforderlich – nicht nur das Scannen von Endgeräten. Ein Dienstkonto mit Domänenadministratorrechten, das seit 18 Monaten nicht mehr verwendet wurde, kann ein Sicherheitsrisiko darstellen, auch wenn es bei einem Schwachstellenscan nicht auftaucht.
3. Priorisierung
Bei der Priorisierung werden Risiken anhand der Ausnutzbarkeit, der potenziellen Auswirkungen und der Relevanz für Angreifer eingestuft und nicht allein anhand des CVSS-Schweregrads.
Große, aus dem Kontext gerissene Datenmengen lassen sich oft nur schwer in die Praxis umsetzen; zur Priorisierung müssen die Kritikalität der Ressourcen, Anzeichen für Missbrauch, der Kontrollkontext sowie die Relevanz erreichbarer Pfade berücksichtigt werden, um die Bemühungen gezielt auszurichten. Eine effektive Priorisierung in der Praxis erfordert:
- Kritikalitätsstufen für Assets: Diese werden von der Organisation festgelegt, nicht vom Scanner.
- Signale zur Verfügbarkeit von Exploits: , wie beispielsweise das EPSS (Exploit Prediction Scoring System) und der CISA-Katalog „Known Exploited Vulnerabilities“
- Analyse des Angriffspfads: Hier wird ermittelt, welche Sicherheitslücken eine laterale Bewegung von zu den wichtigsten Unternehmensressourcen ermöglichen
Ein praktischer Schritt zur Priorisierung besteht darin, über das Internet erreichbare Schwachstellen von intern erreichbaren Schwachstellen zu trennen, die eine laterale Bewegung ermöglichen.
Risiken im Zusammenhang mit dem Internet finden in der Regel sofort Beachtung. Interne Sicherheitslücken wie Identitätsrisiken, übermäßige Zugriffsrechte oder falsch konfigurierte Vertrauensbeziehungen können jedoch Angriffswege mit schwerwiegenden Folgen für kritische Ressourcen darstellen.
Eine effektive Priorisierung berücksichtigt beides. Die Schwachstellen werden anhand ihrer Erreichbarkeit und ihrer Rolle bei der Ermöglichung des weiteren Vorgehens eines Angreifers gewichtet, nicht nur anhand einer abstrakten Schweregradbewertung.
Die Analyse von Angriffspfaden ist der Prozess, bei dem dargestellt wird, wie ein Angreifer mehrere Schwachstellen miteinander verknüpfen könnte, um an hochrangige Ziele zu gelangen. Dieser Kontext ist für die Entscheidungsfindung von entscheidender Bedeutung: Er verlagert die Priorisierung von einer mechanischen Bewertung hin zu einer risikobewussten Beurteilung, welche Risiken die glaubwürdigste Bedrohung für kritische Unternehmensressourcen darstellen. Eine CVE mit einem CVSS-Wert von 6 auf einem System, das sich in unmittelbarer Nähe eines Domänencontrollers unter befindet ( ), könnte eine höhere Priorität rechtfertigen als eine CVE mit einem CVSS-Wert von 9 auf einem isolierten Entwicklungsrechner.
4. Validierung
Im Rahmen der Validierung wird geprüft, ob Sicherheitsmaßnahmen die mit den priorisierten Schwachstellen verbundenen Techniken erkennen oder blockieren, und es wird bestätigt, ob diese Schwachstellen ein tatsächliches Angriffsrisiko in der Umgebung darstellen. Zudem wird ermittelt, ob diese Risiken durch Kontrollmaßnahmen wirksam gemindert werden, wobei Ansätze wie „Purple Teaming“, gezielte Tests oder die Simulation von Sicherheitsverletzungen und Angriffen (BAS) zum Einsatz kommen.
Zwei Validierungsmodi dienen auf Unternehmensebene unterschiedlichen Zwecken:
- Adversarische Validierung: Red-Teaming und BAS testen spezifische Angriffsszenarien gegen kritische Ressourcen, indem sie realistisches Angreiferverhalten simulieren. Der Vorgang erfolgt in regelmäßigen Abständen, ist ressourcenintensiv und liefert Ergebnisse mit hoher Zuverlässigkeit.
- Laufende Überprüfung der Behebung (erneute Überprüfung von Objekten/Zuständen): Bestätigt, dass ein bestimmtes Risiko bei einem bestimmten Objekt behoben wurde. Es kann nach der Behebung automatisch ausgeführt werden (sofern dies durch Telemetriedaten und Workflows unterstützt wird) und bietet eine kontinuierliche Sicherheit.
In der Praxis legen Organisationen in der Regel den Schwerpunkt eher auf die eine Vorgehensweise als auf die andere, anstatt beide zu kombinieren. Die adversarische Validierung erfolgt in der Regel in regelmäßigen Abständen (bei Szenarien mit hohem Wert häufig jährlich oder vierteljährlich), ist ressourcenintensiv und liefert Ergebnisse mit hoher Zuverlässigkeit, während die kontinuierliche Überprüfung der Abhilfemaßnahmen weniger konsequent umgesetzt wird.
Ein gängiges Beispiel sind Penetrationstests: Sie liefern wertvolle Erkenntnisse darüber, wie ein Angreifer Schwachstellen zu einem bestimmten Zeitpunkt ausnutzen könnte, bestätigen jedoch nicht, ob diese Schwachstellen auch dann noch geschlossen bleiben, wenn sich die Umgebung verändert. Ein im Jahr Q1 durchgeführter Penetrationstest gilt nicht als Nachweis für den Zustand der Kontrollmaßnahmen im Jahr Q3.
Aus diesem Grund müssen bei der Validierung zwei Bedingungen erfüllt sein:
- Ob die Sicherheitslücke unter den derzeitigen Rahmenbedingungen tatsächlich ausgenutzt werden kann oder ob entsprechende Kontrollmaßnahmen die Angriffstechnik verhindern
- Ob die Sicherheitslücke im Laufe der Zeit geschlossen bleibt, unter Berücksichtigung von Konfigurationsabweichungen, Neuimplementierungen oder Richtlinienänderungen, die möglicherweise erneut Risiken mit sich bringen
Ohne diese beiden Überprüfungen kann der Behebungsprozess zwar als abgeschlossen erscheinen, während die Risikobedingungen jedoch unbemerkt wiederkehren.
[Verstehen Sie, inwiefern sich die Bedrohungssuche von der Validierung unterscheidet]
5. Mobilisierung
Die Mobilisierung koordiniert die Abhilfemaßnahmen zwischen den Sicherheits- und IT-Teams. Die Ergebnisse werden in konkrete Maßnahmen umgesetzt, wobei die Zuständigkeiten und Zeitpläne klar festgelegt sind.
Die Prioritäten bei der Sanierung sollten die Unternehmensziele widerspiegeln. Eine bestätigte Sicherheitslücke in einem umsatzkritischen System erfordert einen anderen Zeitplan für die Reaktion als dieselbe Sicherheitslücke in einem internen Tool mit geringer Kritikalität.
In dieser Phase kommen die meisten CTEM-Programme in Unternehmen ins Stocken. Im nächsten Abschnitt wird darauf ausführlich eingegangen.
Die Mobilisierungslücke
Die Mobilisierung scheitert, wenn die Sicherheitsabteilung für die Feststellungen und der IT-Betrieb für die Behebung zuständig ist, jedoch keine der beiden Abteilungen für die Übergabe verantwortlich ist.
Das Muster ist bekannt: Die Sicherheitsabteilung identifiziert eine bestätigte Sicherheitslücke, erstellt ein Ticket und wartet, während der IT-Betrieb diese in den Arbeitsrückstand aufnimmt und für ein zukünftiges Änderungsfenster im Rahmen des „ “ einplant. In der Zwischenzeit bleibt die Position offen.
Eine effektive Mobilisierung erfordert zudem explizite Ausnahmepfade. Nicht alle validierten Expositionen können auf die üblichen Zeitfenster für Änderungen warten.
Unternehmen sollten Kriterien festlegen, unter welchen Umständen Befunde mit hohem Risiko die üblichen Bereitstellungszyklen umgehen dürfen, sowie klare Genehmigungs- und Rücknahmeverfahren festlegen. Ohne diese Ausnahmeprozesse konkurrieren validierte Expositionen mit der routinemäßigen operativen Arbeit und bleiben oft ungeklärt, obwohl ihnen Priorität eingeräumt wurde.
Anforderungen an die Unternehmensführung im Hinblick auf die automatisierte Fehlerbehebung. Nicht jeder Befund kann eine automatisierte Korrekturmaßnahme von „ “ auslösen. Unternehmen benötigen klare Richtlinien dazu, welche Arten von Befunden automatisch behoben werden können und welche einer Überprüfung durch das Änderungsmanagement bedürfen.
Eine schrittweise, ringbasierte Reihenfolge der Bereitstellung trägt dazu bei, den Auswirkungsbereich zu begrenzen. Bei einer progressiven, ringbasierten Bereitstellung durchlaufen Änderungen verschiedene Bereitstellungsringe: zunächst den Testring, dann den Ring mit hoher Priorität und schließlich die flächendeckende Einführung. Jeder Ring überprüft die Stabilität, bevor der nächste beginnt.
Die ITSM-Integration entscheidet darüber, ob die Mobilisierung funktioniert. Die CTEM-Ergebnisse müssen in Ihr bestehendes Ticket-System (ein gängiges Beispiel hierfür ist ServiceNow Vulnerability Response) einfließen, und zwar mit ausreichendem Kontext, damit der IT-Betrieb ohne einen zweiten Triage-Schritt handeln kann.
Der Eintrag muss die konkrete Gefährdung und die betroffenen Ressourcen, den geschäftlichen Kontext und die Kritikalität der Ressourcen, die empfohlenen Abhilfemaßnahmen sowie die auf der Grundlage des validierten Risikos festgelegte SLA enthalten.
| Metrisch | Was damit gemessen wird |
|---|---|
Durchschnittliche Zeit bis zur Behebung (MTTR) bei validierten kritischen Befunden | Zeitraum von der Validierung bis zur bestätigten Behebung |
| Quote der Eigentumsübertragungen | Prozentsatz der validierten Befunde, denen innerhalb der SLA ein Verantwortlicher zugewiesen wurde |
| Erfolgsquote bei der Erneuerungsprüfung | Befunde, bei denen die Behebung abgeschlossen und die erneute Validierung bestanden wurde, im Vergleich zu Befunden, die ohne erneute Validierung abgeschlossen wurden |
Unter Mobilisierung versteht man die koordinierte Durchführung von Abhilfemaßnahmen, die durch einen validierten Befund ausgelöst werden. Es handelt sich nicht um eine durch eine aktive Bedrohung ausgelöste Reaktion auf einen Vorfall. Diese Unterscheidung ist für die Unternehmensführung und die Gestaltung von Arbeitsabläufen von Bedeutung.
Dennoch sollten validierte CTEM-Ergebnisse in die Reaktionspläne einfließen. Unternehmen, die ihre größten Risikopositionen kennen, sind besser in der Lage, Vorfälle einzudämmen und sich davon zu erholen, falls diese Risikopositionen jemals ausgenutzt werden sollten, bevor die Abhilfemaßnahmen abgeschlossen sind.
Um die Mobilisierungslücke zu schließen, bedarf es mehr als nur Prozessänderungen. Dies erfordert zudem ein Umdenken hinsichtlich der Funktionsweise der Validierung.
Validierung tatsächlicher Expositionen
Gerade in dieser Validierungslücke wecken die meisten Programme ein trügerisches Vertrauen. Die Nachverfolgung der Anbringung von Pflastern ist nicht gleichbedeutend mit der Bestätigung, dass die Exposition beendet ist. Ein gepatchtes System kann möglicherweise weiterhin über einen anderen Angriffspfad erreichbar sein, wenn die zugrunde liegenden Konfigurationen oder Zugriffspfade unverändert bleiben.
Eine Firewall-Regel, die dazu gedacht ist, eine Angriffstechnik zu blockieren, kann diese in der Praxis möglicherweise nicht tatsächlich blockieren. Aus diesem Grund muss die Validierung über die bloße Bestätigung hinausgehen, dass Sicherheitsmaßnahmen implementiert sind. Es muss bestätigt werden, dass diese Maßnahmen gegen die spezifischen Techniken wirksam sind, die ein Angreifer einsetzen würde, um eine bestimmte Sicherheitslücke auszunutzen. Die Validierung bestätigt das tatsächliche Risiko und nicht nur den theoretischen Schweregrad.
Zwei Validierungsmodi dienen unterschiedlichen Zwecken:
- Adversarische Validierung: Im Rahmen von Red-Team-Tests und BAS-Tests wird geprüft, ob bestimmte Angriffspfade gegen kritische Ressourcen erfolgreich sind. Der Prozess ist ressourcenintensiv und wird in der Regel vierteljährlich oder jährlich durchgeführt.
- Laufende Überprüfung der Behebung (erneute Überprüfung von Objekten/Zuständen): Bestätigt, dass ein bestimmtes Risiko bei einem bestimmten Objekt behoben wurde. Es wird nach der Behebung automatisch ausgeführt und gewährleistet eine kontinuierliche Überwachung.
Die Analyse des Angriffspfads stellt eine Verbindung zwischen beiden her. Es wird dargestellt, welche Exposures – sofern sie miteinander verknüpft werden – den Zugriff auf die wichtigsten Vermögenswerte von „ “ ermöglichen:. Dieser Kontext führt zu einer veränderten Prioritätensetzung. Eine Schwachstelle mittlerer Schweregrad an einem System, das einen Zugriffsweg zu Ihren Domänencontrollern bietet, ist dringlicher als eine kritische Schwachstelle an einem isolierten System.
Messung der Wirksamkeit von Kontrollmaßnahmen. Blockiert die Sicherheitsmaßnahme (Firewall-Regel, EDR-Richtlinie, Patch) tatsächlich die mit der Sicherheitslücke verbundene Angriffstechnik? Oder blockiert es eine andere Technik, während die relevante offen bleibt?
Nachdem die Validierung abgeschlossen ist, stellt sich als Nächstes die Frage, wie sich CTEM in die von Ihnen bereits genutzten Tools und Arbeitsabläufe einbinden lässt.
Einbindung von CTEM in bestehende Arbeitsabläufe
Die Durchführung von CTEM als paralleles Projekt ist der schnellste Weg, um Prioritätskonflikte im IT-Betrieb zu verursachen. Die Sicherheitsabteilung drängt auf eine sofortige Behebung; die IT-Abteilung arbeitet mit zweiwöchigen Änderungszyklen. Das Ziel ist die Integration in bestehende Arbeitsabläufe, nicht die Schaffung eines neuen, parallel dazu verlaufenden Prozesses.
Bei richtiger Umsetzung trägt CTEM zur Optimierung der Abläufe bei, indem es manuelle Übergaben reduziert, doppelte Triage-Schritte vermeidet und validierte Befunde schneller an die Abhilfemaßnahmen weiterleitet.
- ITSM-Integration: Die Ergebnisse von „ “ (CTEM) werden in Ihr bestehendes Ticketingsystem übernommen. Die Struktur des Tickets ist entscheidend: Es muss genügend Kontextinformationen enthalten (Kritikalität der Ressource, validiertes Risiko, empfohlene Maßnahme, SLA), damit der IT-Betrieb ohne weitere Weiterleitung handeln kann.
- SIEM als Grundlage für die Festlegung des Untersuchungsumfangs und die Erkundung: SIEM-Daten decken aktive Bedrohungsaktivitäten sowie anomales Verhalten auf, anhand dessen ermittelt wird, welche Ressourcen in den Untersuchungsumfang des aktuellen CTEM-Zyklus fallen. Es handelt sich um eine Ergänzung zum Programm, nicht um einen Ersatz dafür.
- Das Problem paralleler Prozesse vermeiden: Unternehmen, die CTEM als eigenständiges Sicherheitsprogramm betreiben, führen zu widersprüchlichen Prioritäten im IT-Betrieb. Die Sicherheitsabteilung erwartet eine unverzügliche Behebung des Problems. Die IT arbeitet mit zweiwöchigen Änderungszyklen. Ohne Maßnahmen zur Bewältigung kritischer, validierter Befunde ist der Konflikt struktureller Natur.
- Kompatibilität mit dem IT-Änderungsmanagement: Eine schrittweise, ringbasierte Bereitstellung und Änderungsfenster sind mit der CTEM-Mobilisierung kompatibel, sofern das Governance-Modell entsprechend ausgelegt ist. Entscheidend ist die Einrichtung von Ausnahmeprozessen für kritische, validierte Befunde, bei denen nicht bis zum nächsten geplanten Zeitfenster gewartet werden kann.
CTEM ist am effektivsten, wenn es als verbindende Schicht in Ihrem Sicherheitsstack fungiert: Es bezieht Daten aus SIEM-Systemen, Schwachstellenscannern, Identitätsanbietern und Asset-Management-Systemen und leitet anschließend priorisierte, validierte Ergebnisse an das ITSM weiter, um koordinierte Abhilfemaßnahmen zu ermöglichen.
Diese Entwicklung hin zu integrierten Arbeitsabläufen spiegelt allgemeine Markttrends wider. Unternehmen wenden sich von fragmentierten Einzelanwendungen ab und setzen stattdessen auf Plattformen, die die Erkennung, Priorisierung, Validierung und Behebung von Problemen vereinen. Das Ziel besteht darin, bestätigte Risiken in koordinierte Maßnahmen umzusetzen und so eine Kultur der proaktiven Sicherheit zu fördern.
Sobald CTEM in die bestehenden Arbeitsabläufe integriert ist, besteht der nächste Schritt darin, zu beurteilen, wo Ihr Programm derzeit steht.
Reifegrad des CTEM-Programms
Wie ist der aktuelle Stand Ihres Programms? Drei Reifegrade bilden den Rahmen für eine Selbsteinschätzung.
Stufe 1: Ad-hoc/reaktiv
Es werden regelmäßig Schwachstellen-Scans durchgeführt. Die Befunde werden ausschließlich anhand des CVSS-Werts priorisiert. Die Zuständigkeit für die Sanierung ist unklar. Es liegt keine formelle Validierung vor, die bestätigt, dass die Korrekturen funktionieren. Auf dieser Ebene werden Sicherheitsrisiken reaktiv angegangen, in der Regel erst nach einem Vorfall oder einem Prüfungsbefund, und nicht im Rahmen eines strukturierten, kontinuierlichen Programms. Die Bereiche Sicherheit und IT arbeiten mit getrennten Systemen, wobei die Übergabe manuell erfolgt.
Stufe 2: Periodisch/strukturiert
Festgelegte Scan-Zeitpläne sind an die Kritikalitätsstufen der Anlagen gekoppelt. , das auf einer risikobasierten Priorisierung beruht, berücksichtigt den Kontext der Vermögenswerte. Zwischen dem Sicherheitsdienst und der IT-Abteilung besteht ein formeller Ticket-Workflow. Mindestens einmal jährlich werden Penetrationstests oder BAS durchgeführt. Die MTTR wird für kritische Befunde erfasst.
Stufe 3: Kontinuierlich / automatisiert
Auf Stufe 3 läuft das Programm als kontinuierliches, sich selbst verstärkendes System: Echtzeit-Transparenz über die gesamte Endgerätepopulation, automatisierte Priorisierung unter Verwendung von EPSS- und CISA-KEV-Daten, ITSM-Integration mit automatisierter Ticketerstellung und SLA-Nachverfolgung, kontinuierliche Überprüfung der Fehlerbehebung, ringbasierte Steuerung der Bereitstellung sowie auf Programmebene ausgewiesene Mobilitätskennzahlen. Das Ergebnis ist ein Sicherheitskonzept, bei dem die Risikominderung messbar ist und nicht nur angenommen wird.
Was eine Organisation von Stufe 1 auf Stufe 2 bringt, ist in der Regel eine Entscheidung auf Führungsebene und keine Entscheidung bezüglich der eingesetzten Werkzeuge. Die Festlegung von Kritikalitätsstufen für Anlagen, die Einführung von Zuständigkeitsmodellen und die Erstellung formeller Übergabeabläufe erfordern keine neue Technologie.
Was ein Unternehmen von Stufe 2 auf Stufe 3 bringt, ist in der Regel eine Entscheidung hinsichtlich der Werkzeuge und der Integration. Echtzeit-Transparenz, automatisierte Priorisierung und kontinuierliche Validierung erfordern Plattformfunktionen, die von Tools für periodische -Scans nicht bereitgestellt werden.
Unabhängig vom Reifegrad ist das Ziel dasselbe: die Sicherheitsmaßnahmen auf jene Schwachstellen zu konzentrieren, die das größte tatsächliche Risiko für das Unternehmen darstellen, anstatt Maßnahmen zu ergreifen, die nicht zu einer messbaren Risikominderung führen.
Reifegrade bieten einen Rahmen für die Selbsteinschätzung. Kennzahlen bieten eine Möglichkeit, den Fortschritt zu verfolgen.
Wie lässt sich der Erfolg von CTEM messen?
Entscheidend sind Ergebnisindikatoren, nicht Aktivitätsindikatoren. Anhand des Ticketvolumens und der Scan-Häufigkeit lässt sich erkennen, wie stark das Programm ausgelastet ist. Die MTTR bei validierten kritischen Befunden gibt Aufschluss darüber, ob das System funktioniert.
| Metrisch | Was damit gemessen wird | Reifegrad |
|---|---|---|
| MTTR bei validierten kritischen Befunden | Zeitraum von der Validierung bis zur bestätigten Behebung | Stufe 2+ |
| Dauer des Belichtungsfensters | Wie lange Risiken mit hoher Priorität unberücksichtigt bleiben | Stufe 2+ |
| Validierungsabdeckung | Prozentualer Anteil der im aktuellen Zyklus validierten kritischen Ressourcen und Angriffspfade | Stufe 3 |
| Senkung der Falsch-Positiv-Rate | Rückgang bei Befunden, bei denen die Validierung bestätigt, dass sie nicht wirklich verwertbar sind | Stufe 3 |
| Entwicklungen bei den Risikobewertungen | Entwicklung der Sicherheitslage einer Organisation im Zeitverlauf unter Verwendung einer einheitlichen Bewertungsmethodik | Stufe 2+ |
Unternehmen der Stufe 2 verfolgen in der Regel die Entwicklung der MTTR-Werte und der Risikobewertung. Organisationen der Stufe 3 führen die Validierungsabdeckung und die Dauer des Expositionsfensters als primäre Indikatoren ein.
Da nun klar ist, welche Anforderungen CTEM stellt und wie sich der Fortschritt messen lässt, stellt sich abschließend die Frage, inwiefern bestimmte Plattformen dieses Rahmenwerk unterstützen.
Wie Tanium das kontinuierliche Management von Sicherheitsrisiken unterstützt
Viele CTEM-Programme kommen ins Stocken, weil die Instrumente, mit denen Schwachstellen aufgedeckt werden, nicht dieselben sind wie die, mit denen sie behoben werden. Tanium trägt dazu bei, diese Lücke zu schließen.
Die autonome IT-Plattform „ “ von Tanium bietet Sicherheits- und IT-Teams eine einzige, einheitliche Plattform für die Erfassung, Priorisierung, Behebung und Validierung nach der Behebung, sodass der Zyklus ohne Übergabe an isolierte Systeme oder Wartezeiten auf die Aktualisierung veralteter Scandaten abläuft.
Kontinuierliche Erfassung mit Endpunkt-Informationen in Echtzeit
Tanium bietet Echtzeit-Einblick in den Status der verwalteten Endgeräte, sodass Teams Ressourcen und Änderungen unmittelbar bei deren Auftreten erkennen können, anstatt sich ausschließlich auf regelmäßige Scans zu verlassen. Tanium kann den Schutz auf nicht verwaltete Geräte in lokalen, Remote- und Cloud-Umgebungen ausweiten und so dazu beitragen, die für Schatten-IT typischen blinden Flecken zu reduzieren.
Kontextbezogene, risikobasierte Priorisierung
Tanium unterstützt die risikoorientierte Priorisierung durch verschiedene Funktionen. Beispielsweise kann der Tanium-Benchmark unter Risikobewertungen in Echtzeit ermitteln und die Kennzahlen eines Kunden mit denen von Branchenkollegen vergleichen, wodurch Teams dabei unterstützt werden, Abhilfemaßnahmen gezielt dort zu ergreifen, wo das Risiko im Verhältnis zu ihrer Umgebung am höchsten ist. Tanium Guardian kann Unternehmen dabei unterstützen, Zero-Day-Schwachstellen und zeitkritische Sicherheitslücken zu beheben, indem es Endpunktanalysen in Echtzeit mit sorgfältig zusammengestellten Analysen und Behebungsmaßnahmen der Sicherheitsexperten von Tanium kombiniert.
Von der Analyse bis zur Umsetzung – alles auf einer einzigen Plattform
Mit Tanium können Teams von der Erkennung von Sicherheitsrisiken direkt zum Ergreifen von Maßnahmen übergehen, ohne dabei die verwendeten Tools oder Datenquellen wechseln zu müssen. Auf die Ergebnisse kann direkt innerhalb derselben Plattform reagiert werden, einschließlich , Patch-Management oder Konfigurationsänderungen, wodurch Verzögerungen zwischen der Erkennung und der Behebung verringert werden.
Kontinuierliche Überprüfung der Risikominderung
Anstatt einfach davon auszugehen, dass die Behebung wirksam ist, bietet Tanium den Teams die Möglichkeit, Änderungen am Endpunktstatus nach der Durchführung von Maßnahmen anhand derselben Echtzeitdaten zu überprüfen, die auch für die Erkennung verwendet werden. Dies ermöglicht eine kontinuierliche Überprüfung, ob die Belastungen tatsächlich reduziert wurden, und nicht nur, ob Sanierungsmaßnahmen als abgeschlossen protokolliert wurden.
Häufig gestellte Fragen zu CTEM
Der Aufbau eines CTEM-Programms wirft konkrete Fragen auf: Welche Vorteile bietet CTEM? Wie lässt es sich mit Ihren bestehenden Systemen vergleichen? Was ist tatsächlich erforderlich, um ein solches Programm zu betreiben? Und führt die Investition zu einer messbaren Risikominderung? Hier erfahren Sie, was Sie wissen müssen.
Worin besteht der Unterschied zwischen CTEM und herkömmlichem Schwachstellenmanagement?
Das Schwachstellenmanagement konzentriert sich darauf, bekannte Schwachstellen (häufig CVEs) planmäßig zu identifizieren und zu beheben.
CTEM ist ein umfassendes Betriebsmodell, das kontinuierlich ermittelt, was von Bedeutung ist, Schwachstellen entlang der gesamten Angriffsfläche aufdeckt, Prioritäten auf der Grundlage der realen Angriffswahrscheinlichkeit und der geschäftlichen Auswirkungen setzt, die Ausnutzbarkeit bzw. die Wirksamkeit von Kontrollmaßnahmen überprüft und Abhilfemaßnahmen unter klarer Zuständigkeit einleitet.
Worin besteht der Unterschied zwischen ASM und CTEM?
Das Attack Surface Management (ASM) konzentriert sich auf die Erkennung und Bestandsaufnahme von nach außen gerichteten Ressourcen und Schwachstellen, während CTEM als umfassendes Programm fungiert, das sowohl interne als auch externe Risiken einbezieht, prüft, ob diese ein tatsächliches Risiko darstellen, und die Behebung dieser Risiken über bestehende IT-Arbeitsabläufe koordiniert.
Welche Instrumente unterstützen ein CTEM-Programm?
CTEM ist keine Produktkategorie, sondern ein Programm, das sich über mehrere Werkzeugtypen erstreckt und mit jeder der fünf Phasen des Zyklus verknüpft ist:
- Die Festlegung des Untersuchungsumfangs bei „ “ stützt sich auf Threat-Intelligence-Plattformen, CMDB- und „“-Asset-Inventarisierungssysteme sowie SIEM-Daten, um zu bestimmen, welche Asset-Ebenen für jeden Zyklus in den Untersuchungsumfang fallen und welche am stärksten ins Visier genommen werden.
- Für die Erkennung werden Schwachstellenscanner, agentenbasierte Endpunktplattformen, EASM-Tools sowie Daten von Identitätsanbietern benötigt.
- Tools zur Priorisierung von Sicherheits en müssen neben der Analyse von Angriffspfaden auch EPSS und den CISA-KEV-Katalog einbeziehen – nicht nur CVSS-Werte.
- Die Validierung von „ “ (die häufigste Sicherheitslücke) erfordert Tools zur Simulation von Sicherheitsverletzungen und Angriffen (BAS) oder Funktionen zur kontinuierlichen Überprüfung der Behebung, die bestätigen, dass eine bestimmte Korrektur eine bestimmte Sicherheitslücke geschlossen hat – und nicht nur, dass ein Patch bereitgestellt wurde.
- Die Mobilisierung hängt von der ITSM-Integration ab (; ServiceNow ist ein gängiger Ansatz in Unternehmen), wobei jedes Ticket genügend Kontextinformationen enthalten muss, damit der IT-Betrieb ohne einen zweiten Triage-Schritt handeln kann.
Und genau diese letzte Funktion – die Bestätigung, dass die Exposition tatsächlich geschlossen ist – wird von den meisten Tool-Stacks nach wie vor nicht durchgängig bereitgestellt.
Inwiefern trägt ein kontinuierliches Management der Bedrohungslage zur Stärkung der Cybersicherheitsresilienz bei?
CTEM zielt darauf ab, die Widerstandsfähigkeit zu verbessern, indem der Zeitraum zwischen dem Auftreten einer risikoreichen Exposition und der Bestätigung, dass diese beendet ist, verkürzt wird. Kontinuierliche Zyklen ersetzen periodische Scan-Zeitpläne, bei denen neue Sicherheitslücken tagelang oder wochenlang unentdeckt bleiben. Eine risikobasierte Priorisierung, die die Kritikalität der Ressourcen, die Verfügbarkeit von Exploits und die Analyse der Angriffspfade berücksichtigt, konzentriert die Abhilfemaßnahmen auf Schwachstellen, die tatsächlich kritische Ressourcen erreichen können, anstatt einen Rückstand zu erzeugen, der nach abstrakten Schweregraden geordnet ist.
Ein weniger offensichtlicher Vorteil der Cyberresilienz im Rahmen des „ “ ist die nachgewiesene Wirksamkeit der Kontrollmaßnahmen. Ein gepatchtes System auf einem falsch konfigurierten Host kann möglicherweise dennoch über einen anderen Angriffsweg ausgenutzt werden. In der Validierungsphase des CTEM wird überprüft, ob die Kontrollmaßnahmen gegen die spezifischen Techniken, die mit einer bestimmten Exposition verbunden sind, wirksam sind – und nicht nur, ob eine Sanierungsmaßnahme als abgeschlossen protokolliert wurde.
Unternehmen, die kontinuierlich Validierungen durchführen, sind bei der Reaktion auf Vorfälle besser aufgestellt, da sie bereits im Vorfeld festgestellt haben, welche Sicherheitsmaßnahmen unter realistischen Bedingungen wirksam sind, anstatt dies erst dann herauszufinden, wenn es darauf ankommt.
Erfahren Sie, wie Endpunkt-Informationen in Echtzeit Ihr CTEM-Programm unterstützen. Vereinbaren Sie eine Demo unter , um zu erfahren, wie Tanium Unternehmen dabei unterstützt, Risiken durch kontinuierliche Transparenz und integrierte Abhilfemaßnahmen zu minimieren.
