CIS Control 7: Kontinuierliches Schwachstellenmanagement

Das Center for Internet Security (CIS) bietet Kritische Sicherheitskontrollen an, um Organisationen dabei zu helfen, die Cybersicherheit zu verbessern. Kontrolle 7 befasst sich mit kontinuierlichem Schwachstellenmanagement (dieses Thema wurde zuvor unter CIS Control 3) behandelt.

Das kontinuierliche Schwachstellenmanagement ist der Prozess der Identifizierung, Priorisierung, Dokumentation und Behebung von Schwachstellen in einer IT-Umgebung. Schwachstellenmanagement muss kontinuierlich sein, da sensible Daten in einem beispiellosen Tempo wachsen und Angriffe sowohl in Häufigkeit als auch in Raffinesse zunehmen.

Diese Kontrolle beschreibt 7 bewährte Methoden, die Organisationen dabei helfen können, Risiken für ihre kritischen IT-Ressourcen zu minimieren.

7.1. Etablieren und pflegen Sie einen Prozess für das Schwachstellenmanagement.

Die erste Schutzmaßnahme empfiehlt Organisationen, einen kontinuierlichen Prozess des Schwachstellenmanagements zu erstellen und diesen jährlich oder „bei signifikanten Unternehmensänderungen, die diesen Schutz beeinflussen könnten“, zu überprüfen.

Ein kontinuierlicher Prozess des Schwachstellenmanagements sollte aus 4 Komponenten bestehen:

• Identifikation. Organisationen müssen all ihren proprietären Code, Drittanbieteranwendungen, sensible Daten, Open-Source-Komponenten und andere digitale Vermögenswerte identifizieren und dann deren Schwachstellen erkennen. Bewertungstools und Scanner können bei diesem Prozess helfen, der je nach Risikotoleranz der Organisation, der Komplexität der IT-Umgebung und anderen Faktoren so selten wie einmal pro Woche oder so häufig wie mehrmals täglich wiederholt werden sollte.
• Bewertung. Alle entdeckten Schwachstellen sollten bewertet und priorisiert werden. Gängige Metriken für kontinuierliche Schwachstellenbewertungen umfassen NISTs Bewertung der Schwere Gemeinsamer Schwachstellen (CVSS), die Einfachheit der Ausnutzung durch einen Bedrohungsakteur, die Schwierigkeit der Behebung, die finanziellen Auswirkungen der Ausnutzung und damit verbundene regulatorische Anforderungen oder Branchenstandards.
• Behebung. Als Nächstes muss die Organisation die Schwachstellen entsprechend ihrer Priorität patchen oder auf andere Weise beheben. Die Behebung wird oft durch eine Kombination aus automatischen Updates von Anbietern, Patch-Management-Lösungen und manuellen Techniken verwaltet.
• Berichterstattung. Es ist wichtig, alle identifizierten Schwachstellen, die Ergebnisse der Bewertung und den Fortschritt bei der Behebung zu dokumentieren, sowie alle anfallenden Kosten. Eine ordnungsgemäße Berichterstattung wird zukünftige Behebungsmaßnahmen vereinfachen, Präsentationen für die Geschäftsleitung erleichtern und die Einhaltung von Compliance unterstützen.

7.2. Einen Sanierungsprozess einrichten und aufrechterhalten.

Sobald ein Prozess für das Schwachstellenmanagement eingerichtet wurde, muss ein Abhilfeverfahren festgelegt werden, um die Reaktion der Organisation zu spezifizieren, wenn sie einen Handlungsbedarf erkennt. Unterkontrolle 7.2 ist darauf ausgelegt, Organisationen dabei zu helfen, ihre IT-Prozesse zu priorisieren und zu sequenzieren, wobei das CIS dessen Zweck beschreibt als:

„Erstellen und pflegen Sie eine risikobasierte Sanierungsstrategie, die in einem Sanierungsprozess dokumentiert ist, mit monatlichen oder häufigeren Überprüfungen.“

Der Sanierungsprozess umfasst eine Reihe von Werkzeugen, um Schwachstellen zu beheben, sobald sie ins Visier genommen wurden. Zu den am häufigsten verwendeten Sanierungstaktiken gehören automatisierte oder manuelle Patches. Der Sanierungsprozess eines Unternehmens kann auch risikobasierte Schwachstellenverwaltung Software umfassen, um Unternehmen bei der Priorisierung der potenziellen Bedrohungen zu unterstützen, sowie fortschrittliche Datenwissenschaftsalgorithmen und prädiktive Analytiksoftware, um Bedrohungen zu stoppen, bevor sie aufgedeckt werden.

7.3. Führen Sie automatisiertes Patch-Management für Betriebssysteme durch.

Betriebssysteme sind grundlegende Software, und Anbieter veröffentlichen häufig Patches, die wichtige Schwachstellen beheben. Um sicherzustellen, dass kritische Updates rechtzeitig angewendet werden, sollten Organisationen ein automatisiertes System implementieren, das sie mindestens monatlich anwendet.

Im weiteren Sinne ist ein umfassendes Patch-Management-Framework erforderlich, um die folgenden Fähigkeiten zu haben:

• Informationssammlung. Durch regelmäßiges Scannen von Geräten können Organisationen feststellen, welche ein Update benötigen und können ihre Patches schneller ausrollen. Einige automatisierte Patch-Management-Software sammelt auch Hardware- und Benutzerdetails, um ein klareres Bild vom Status der Endpunkte zu erhalten.
• Patch-Download.Das Herunterladen eines Patches ist ein relativ unkomplizierter Prozess. Die Schwierigkeit tritt auf, wenn eine große Anzahl von Geräten unterschiedliche Updates benötigt oder die Organisation auf viele verschiedene Betriebssysteme angewiesen ist. Automatisierte Patch-Management-Software sollte in der Lage sein, beide Situationen problemlos zu bewältigen.
• Paket-Erstellung. Ein Paket besteht aus allen Komponenten, die benötigt werden, um einen Patch anzuwenden. Automatisierte Patch-Management-Software sollte in der Lage sein, Pakete unterschiedlicher Komplexitätsstufen und mit vielen verschiedenen Arten von Komponenten zu erstellen.
• Verteilung von Patches. Um Benutzer nicht zu frustrieren und Geschäftsprozesse nicht zu stören, sollte Patch-Management-Software so programmiert werden können, dass sie zu bestimmten Zeiten startet und im Hintergrund läuft.
• Sobald ein Patch angewendet wurde, sollten Organisationen Informationen darüber sammeln, welche Geräte aktualisiert wurden und welche Updates verwendet wurden. Automatisierte Patch-Management-Software sollte automatische Berichte erstellen, damit IT-Teams planen können, welche Schritte als Nächstes zu unternehmen sind.

7.4. Führen Sie automatisiertes Patch-Management für Anwendungen durch.

Wie Betriebssysteme müssen auch viele Anwendungen und Plattformen regelmäßig aktualisiert und mindestens monatlich gepatcht werden. Oft kann dieselbe Lösung verwendet werden, um das Patchen sowohl für Betriebssysteme als auch für Anwendungen zu implementieren.

7.5. Führen Sie automatisierte Schwachstellenscans interner Unternehmensressourcen durch.

Organisationen sollten ihre IT-Assets mindestens vierteljährlich auf Schwachstellen scannen. CIS empfiehlt, den Prozess mit einem SCAP-konformen Tool für Schwachstellenscans zu automatisieren. (SCAP stellt Standards für Scanner und Tools zur Behebung von Schwachstellen bereit.)

Zu den Arten von Scans gehören:

• Netzwerkbasierte Scans, die Schwachstellen in kabelgebundenen oder drahtlosen Netzwerken identifizieren. Dies geschieht durch das Auffinden nicht autorisierter Geräte und Server sowie durch die Überprüfung von Verbindungen zu Geschäftspartnern, um sicherzustellen, dass deren Systeme und Dienste sicher sind.
• Host-basierte Scans, die Endpunkte wie Hosts, Server und Arbeitsstationen bewerten. Diese Scans überprüfen auch Systemkonfigurationen und die jüngste Patch-Historie, um Schwachstellen zu finden.
• Anwendungsscans, die sicherstellen, dass Software-Tools korrekt konfiguriert und auf dem neuesten Stand sind.
• Drahtlos-Scans, die nicht autorisierte Zugangspunkte identifizieren und eine korrekte Konfiguration sicherstellen.
• Datenbank-Scans, die Datenbanken bewerten.

Schwachstellenscans können sowohl authentifiziert als auch nicht authentifiziert sein. Authentifizierte Scans ermöglichen es Testern, sich einzuloggen und als autorisierte Benutzer nach Schwächen zu suchen. Nicht authentifizierte Scans lassen Tester als Eindringlinge auftreten, die versuchen, ihr eigenes Netzwerk zu durchbrechen, und helfen ihnen, Schwachstellen zu entdecken, die ein Angreifer finden würde. Beide sind nützlich und sollten als Teil einer kontinuierlichen Strategie zur Schwachstellenverwaltung implementiert werden.

7.6. Führen Sie automatisierte Schwachstellenscans von extern zugänglichen Unternehmensressourcen durch.

Organisationen sollten besonders darauf achten, Schwachstellen in sensiblen Daten und anderen Vermögenswerten zu finden, die externen Benutzern ausgesetzt sind, wie zum Beispiel über das Internet. CIS empfiehlt, mindestens monatlich nach Schwachstellen in extern zugänglichen Vermögenswerten zu scannen (im Gegensatz zu vierteljährlich für interne Vermögenswerte). In beiden Fällen sollte jedoch ein SCAP-konformes, automatisiertes Tool zum Scannen von Schwachstellen verwendet werden.

Einige Organisationen haben mehr nach außen hin sichtbare digitale Vermögenswerte, als ihnen bewusst ist. Stellen Sie sicher, dass Ihre Scans all das Folgende abdecken:

• Geräte
• Geschäftsgeheimnisse
• Sicherheitscodes
• IoT-Sensoren
• Ferngesteuerte Betriebsausrüstung
• Präsentationen
• Kundeninformationen
• Router für die Fernarbeit

7.7. Erkannte Schwachstellen beheben.

Kontrollpunkt 7.2 erläutert, wie ein Prozess zur Behebung von Schwachstellen eingerichtet und aufrechterhalten wird. Es wird empfohlen, die Behebung mindestens monatlich durchzuführen.

Wie Netwrix helfen kann

Die Implementierung eines kontinuierlichen Prozesses zur Schwachstellenbewertung und -behebung kann eine Herausforderung sein. Organisationen entdecken oft eine große Anzahl von Schwachstellen und haben Schwierigkeiten, diese rechtzeitig zu beheben.

Netwrix Change Tracker kann helfen. Es kann:

• Helfen Sie dabei, Ihre kritischen Systeme mit anpassbaren Build-Vorlagen von verschiedenen Normungsorganisationen zu härten, einschließlich CIS, DISA STIG und SCAP/OVAL.
• Stellen Sie sicher, dass Ihre kritischen Systemdateien authentisch sind, indem Sie alle Änderungen an ihnen verfolgen und es einfach machen, eine vollständige Historie aller Änderungen zu überprüfen.
• Überwachen Sie Änderungen an der Systemkonfiguration und benachrichtigen Sie sofort über jegliche ungeplante Modifikationen.
• Reduzieren Sie den Zeit- und Arbeitsaufwand für Compliance-Berichterstattung mit über 250 CIS-zertifizierten Berichten, die NIST, PCI DSS, CMMC, STIG und NERC CIP abdecken.

FAQ

Was ist kontinuierliches Schwachstellen-Scannen?

Es ist der Prozess des ständigen Suchens und Klassifizierens von Sicherheitsschwächen in Systemen und Software, einschließlich bekannter Mängel, Programmierfehler und Fehlkonfigurationen, die von Angreifern ausgenutzt werden könnten.

Was beinhaltet der Prozess des Vulnerability Managements?

Ein kontinuierlicher Prozess des Schwachstellenmanagements sollte aus vier Komponenten bestehen:

• Identifizieren Sie alle IT-Assets und scannen Sie sie auf Schwachstellen.
• Priorisieren Sie entdeckte Schwachstellen anhand von Faktoren wie der Wahrscheinlichkeit und den Kosten einer Ausnutzung.
• Beheben Sie die erkannten Schwachstellen.
• Dokumentieren Sie die erkannten Schwachstellen, die Bewertungsergebnisse und den Fortschritt bei der Behebung sowie alle anfallenden Kosten.