Schwachstellen-Management via Cloud

Das Absichern moderner Unternehmensnetzwerke setzt einen umfassenden Überblick über die gesamte IT-In­frastruktur voraus. Dabei geht es nicht nur um die Netzwerk­umgebung, die Server, Desktops und mobilen Geräte. Auch genaue Kenntnisse über die eingesetzte Software und die Cloud-Nutzung gehören dazu. Einige Firmen nutzen bereits Security-Software für die Client-Server-Umgebung sowie Patch-Management-Software. Auch diese Bemühungen adressieren aber nur einen Teil des Problems, es bleiben immer wieder Lücken, etwa veraltete Systemprotokolle, die nur spezialisierte Schwachstellen-Tools zuverlässig finden und eliminieren.

Eine solche Lösung für das Schwachstellen-Management arbeitet rund um die Uhr, analysiert dabei – teils automatisiert – die Risiken und gibt diese Analysen an die verantwortlichen Sicherheits-Teams weiter. Diese können die vorhandenen Risiken schnell einschätzen und entsprechend der Klassifizierung abarbeiten.

Auch die Experten der EU kennen die Gefahren, die Unternehmen bedrohen. Sie haben daher in der Datenschutz-Grundverordnung festgelegt, dass vertrauliche Informationen ausreichend zu schützen sind. Die Firmen müssen Daten- und IT-Sicherheit gewährleisten. Die Vorschriften sehen auch vor, dass Unternehmen die Eintrittswahrscheinlichkeit und Schwere eines Risikos beurteilen müssen. Sie müssen also Risikoanalysen durchführen, um mögliche Schwachstellen zu identifizieren. Sie müssen sogar nachweisen, dass sie diese Analysen im Vorfeld durchgeführt und dokumentiert haben. Auch in diesem schwierigen Bereich kann ein gutes Schwachstellen-Management helfen, denn Risikoanalysen und -bewertungen sowie deren Dokumentation sind damit möglich.

Nicht umsonst schwimmen viele Dienstleister mit Angeboten für das Schwachstellen-Management auf einer Erfolgswelle. Die grössten Akteure in diesem Feld zeigt die Forrester Wave „Vulnerability Risk Management Q1 2018“. Dort führen Qualys, Rapid7 und BeyondTrust das Feld an. Als weitere grosse Anbieter werden Symantec und Tenable genannt. Obwohl in der Forrester Wave nicht aufgeführt, sind auch F-Secure und Baramundi interessant. Deren Produkte lassen sich mit vorhandenen Systemen, etwa einem Patch-Management, kombinieren. Die meisten verfügbaren Lösungen werten die gesamte IT-Struktur, den Netzwerkverkehr und alle vorhandenen Geräte aus sowie auch Industrie- oder IoT-Systeme. Ebenfalls mit einigen Lösungen möglich ist der Scan von virtuellen Umgebungen oder Cloud-Plattformen. Die zur Auswertung genutzten Hintergrunddaten stammen aus vielen Quellen. Die erste ist dabei immer die Mitre-Datenbank für CVE (Common Vulnerabilities and Exposures) mit bekannten Schwachstellen und deren Gefährdungsgrad. Dort finden sich auch Angaben zu Lösungen und Fixes.

Darüber hinaus stellen gut gepflegte Patch-Management-Systeme die nötigen Updates für das Schliessen der Lücken bereit. Für alles Weitere muss das Schwachstellen-Management andere Lösungen finden. Das können durch eigene Forschung entwickelte Plug-ins sein oder eigene Block-Programme für den Notfall, die Lücken schliessen, für die es noch keine Updates oder Patches gibt.

Viele weitere Schwachstellen sind schlicht Fehlkonfigurationen, Schatten-IT oder einfach nur falsches IT-Management. Diese Lücken lassen sich mit Hilfe von IT-Regeln schliessen. Je nach Lösung ist das Angebot an Policies aber sehr unterschiedlich. Sie sind zum Teil vorgefertigt und lassen sich übernehmen oder anpassen. Dann dienen sie etwa zur Steuerung von mobilen Geräten, Malware-Scannern oder Ports. Auch der Check auf neue Hardware-Bedrohungen wie Spectre oder Meltdown lässt sich gesteuert ausführen. So werden zum Beispiel neue Server mit anfälliger Hardware entdeckt.

Im Folgenden werden die aktuellen Lösungen wichtiger Anbieter für das Schwachstellen-Management näher vorgestellt.