Anmerkung der Redaktion: Dieser Gastbeitrag von Julia Grunewald, Senior Director, Product Management bei Tanium, wurde ursprünglich unter dem Titel „ “ auf in SC Media veröffentlicht.
Das Expositionsmanagement hat sich aus gutem Grund als leistungsstarke Alternative zum herkömmlichen Schwachstellenmanagement etabliert. Ein proaktiver, stets aktiver Sicherheitsansatz, der die Schwachstellen eines Unternehmens kontinuierlich ermittelt und diese anhand des Risikos priorisiert, hilft uns zu erkennen, wo wir unsere begrenzten Ressourcen am besten einsetzen sollten.
Dennoch stehen wir bereits an der Schwelle zur nächsten Reifestufe des Risikomanagements für „ “ , das durch zeitnahe, automatisierte Abhilfemaßnahmen vorangetrieben wird. Hier kommt das „Remediation-First“-Konzept im Expositionsmanagement ins Spiel.
Was bedeutet „Sanierung zuerst“ eigentlich?
Viele Programme zum Risikomanagement beginnen mit der Transparenz. Sie identifizieren Schwachstellen, Fehlkonfigurationen und andere Risiken. Anschließend ordnen sie diese Risiken nach Priorität und leiten sie an die für die Behebung zuständigen Teams weiter. Dieser Prozess hat jedoch auch seine Nachteile: Die Betriebsteams wissen möglicherweise nicht, wie sie die einzelnen Risiken beheben sollen, und für einige Feststellungen sind möglicherweise bereits Abhilfemaßnahmen geplant, was den Behebungsprozess zeitlich verlängert und zu Frustrationen führt.
Was wäre, wenn wir diesen Vorgang umkehren würden? Indem wir mit Abhilfemaßnahmen wie Patches oder Anwendungsupdates beginnen, die nach den jeweiligen Befunden gruppiert sind, auf die sie abzielen, können wir schnell eine Checkliste mit Schritten erstellen, die wir zwischen Sicherheits- und Betriebsteams austauschen können, um eine einfache und einheitliche Risikominderung zu erreichen. Indem wir Kontextinformationen wie bestehende Patch-Zeitpläne und die Sicherheit von Patches einbeziehen, können wir fundierte, risikobasierte Entscheidungen darüber treffen, welche Maßnahmen zuerst ergriffen werden sollten, sodass es nicht mehr erforderlich ist, eine Tabelle mit Befunden Zeile für Zeile durchzugehen.
Nutzung der Transparenz zur Quantifizierung der Risikominderung
Es gibt einige grundlegende Elemente, die erforderlich sind, um die Vision „Sanierung an erster Stelle“ in die Realität umzusetzen, angefangen bei einer einheitlichen Sichtweise auf Risiken. Der Versuch, sich mithilfe verschiedener Tools einen Überblick über das Risikoengagement zu verschaffen und Daten aus unterschiedlichen Tools und Tabellenkalkulationen miteinander zu verknüpfen, führt zu Frustration und dazu, dass Entscheidungen auf der Grundlage unvollständiger Daten getroffen werden. Zu den Herausforderungen dieses Ansatzes zählen:
- Durch die Verwendung unterschiedlicher Tools geht beim Wechsel zwischen diesen der Kontext verloren, und jedes Tool verfügt über eine eigene Methode zur Priorisierung.
- Es liegt keine eindeutige Quantifizierung der Risikominderung durch eine Sanierungsmaßnahme vor.
- Die Berichterstellung über verschiedene Tools hinweg erfolgt manuell, ist zeitaufwendig und fehleranfällig.
- Unterschiedliche Tools können zu mehreren Informationsquellen und potenziellen Lücken führen.
- Es ist schwierig, die Auswirkungen von Patches auf das Gesamtrisikoprofil zu messen.
- Tool-Wildwuchs, Integrationsschulden und Alarmmüdigkeit.
Fast 50 000 CVEs wurden im vergangenen Jahr gemeldet verschärft diese Herausforderungen nur noch weiter. Und CVEs sind nicht die einzigen Risiken, auf die Teams achten müssen. Um ein vollständiges Risikobild zu erhalten, müssen wir nicht nur Schwachstellendaten verstehen, sondern auch über eine Pipeline verfügen, die kontinuierlich aktualisierte Informationen zu externen Angriffsflächen, unsicheren TLS/SSL-Zertifikaten, Fehlkonfigurationen, unerwünschten Containern sowie weiteren Kontextdaten wie dem Risiko lateraler Bewegungen und der Kritikalität von Ressourcen bereitstellt. Wir benötigen all dies an einem einzigen, zentralen Ort, der als verlässliche Informationsquelle dient und klare Zusammenhänge zwischen den identifizierten Risiken und den Abhilfemaßnahmen aufzeigt.
Maßnahmen auf der Grundlage einer zuverlässigen Risikobewertung vorantreiben
Als Nächstes müssen wir uns mit einer präzisen Risikobewertung befassen. Branchenübliche Bewertungssysteme wie das Common Vulnerability Scoring System (CVSS) bilden zwar einen Ausgangspunkt, doch die Priorisierung in der Praxis erfordert mehr. Durch die Kombination von CVSS mit der Kritikalität der Ressourcen, dem Reifegrad von Exploits sowie den entsprechenden Erkenntnissen und dem Risiko lateraler Bewegungen stellen wir sicher, dass wir uns auf die derzeit wichtigsten Sicherheitslücken konzentrieren. Die einheitliche Bewertung ermöglicht Folgendes:
- Sofortige Erkennung von Expositionen mit erheblichen Auswirkungen.
- Direkte Anbindung an Abhilfemaßnahmen-Workflows, die das Installieren von Patches, die Durchsetzung von Konfigurationen und Anwendungsupdates umfassen.
- Eine präzise Priorisierung auf der Grundlage des Kontexts und nicht nur der theoretischen Schwere.
Viele Instrumente zum Risikomanagement konzentrieren sich auf die Erfassung, Analyse und Priorisierung. Beim „Remediation-First“-Ansatz zum Schwachstellenmanagement werden priorisierte Risiken direkt mit den im Produkt integrierten Behebungswerkzeugen verknüpft, darunter Patches, Anwendungsaktualisierungen, Zertifikatskorrekturen und Konfigurationsänderungen. Diese enge Verknüpfung zwischen Bewertung und Maßnahmen beschleunigt die Risikominderung und stellt sicher, dass identifizierte Risiken tatsächlich beseitigt werden.
Wie KI helfen kann
Neue Funktionen wie KI-gestützte Empfehlungen und automatisierte Workflows zur Behebung von Sicherheitslücken versprechen, viele seit langem bestehende Herausforderungen im Bereich des Schwachstellenmanagements zu beseitigen. Sie ermöglichen es uns, unsere Sanierungspläne so anzupassen, dass sie sich an unterschiedliche Umgebungen, Compliance-Anforderungen und betriebliche Einschränkungen anpassen lassen. Wir können Patches, Anwendungsupdates, die proaktive Durchsetzung von Richtlinien und weitere Kontrollmaßnahmen automatisieren, je nachdem, was für die jeweilige Ressource und die Art der Schwachstelle am besten geeignet ist.
Das Risikomanagement muss zudem eine stetig wachsende Liste externer Ressourcen abdecken: Betriebstechnologie (OT), das Internet der Dinge (IoT) und Cloud-Workloads. Auch hier gelten dieselben Bewertungen hinsichtlich der Kritikalität von Ressourcen, des Risikos lateraler Bewegung und der Bedrohungsinformationen. Angesichts einer derart großen Anzahl von Endgeräten kann uns die KI-gestützte Automatisierung dabei helfen, unsere Technologieumgebung in den Griff zu bekommen. Es kann Betriebssysteme und Anwendungen aktualisieren, Richtlinien durchsetzen und/oder aktualisieren, bevor Korrekturmaßnahmen validiert werden, sowie die Infrastruktur erneut scannen und Berichte erstellen.
Sanierungsabläufe können künstliche Intelligenz auf die folgenden fünf Arten einsetzen, um den gesamten Lebenszyklus zu unterstützen:
- Passen Sie die Kritikalität der Ressourcen unter automatisch an, sobald ein System extern zugänglich wird.
- Erstellen Sie intelligentere Patch-Pläne auf der Grundlage des Einsatzkontexts.
- Aktualisieren Sie im Rahmen der automatisierten Fehlerbehebung die Betriebssysteme, Anwendungen und Richtlinien von „ “ .
- - -Korrekturmaßnahmen, erneutes Scannen und Berichterstellung als kontinuierliche, in sich geschlossene Prozesse validieren.
- Reduzieren Sie das Risiko von „“ in vielfältigen, modernen Umgebungen mit der erforderlichen Geschwindigkeit
Bei einem „Remediation-first“-Ansatz im Bereich des Expositionsmanagements steht die sofortige Behebung von Sicherheitslücken im Vordergrund, sobald diese identifiziert werden, anstatt sich lediglich auf die Bewertung oder Berichterstattung zu beschränken. Eine umfassende Plattform für das Risikomanagement, deren zentraler Grundsatz die automatisierte Behebung von Schwachstellen ist, verbindet die kontinuierliche Erkennung von Schwachstellen und die Risikobewertung mit integrierten, automatisierten Workflows zur Behebung dieser Schwachstellen.
Dieser Ansatz ermöglicht es uns, die Angriffsfläche kontinuierlich zu verringern, was eine Verringerung des Risikos kostspieliger Cyberangriffe und des Handlungsspielraums für Angreifer sowie eine Verbesserung der Widerstandsfähigkeit bedeutet. Aus diesen Gründen sollte jeder, der sein Cyber-Risikomanagement und seine Compliance-Ziele verbessern sowie die allgemeine Sicherheitslage seines Unternehmens stärken möchte, sein Risikomanagement so ausrichten, dass die Behebung von Schwachstellen im Vordergrund steht.
