Die Cybersecurity and Infrastructure Security Agency (CISA) verabschiedet sich von der Veröffentlichung wöchentlicher Zusammenfassungen zu Schwachstellen. Dies spiegelt einen stärkeren Fokus darauf wider, Organisationen dabei zu helfen, sich auf die Schwachstellen zu konzentrieren, die mit größter Wahrscheinlichkeit erhebliche betriebliche Risiken verursachen.
Die Änderung steht im Einklang mit langjährigen Empfehlungen der CISA und anderer Sicherheitsbehörden: Das Schwachstellenmanagement sollte nicht allein durch die Anzahl neu veröffentlichter Fehler oder ausschließlich durch Schweregradbewertungen bestimmt werden. Stattdessen werden Verteidiger dazu angehalten, Faktoren wie aktive Ausnutzung, die Exponierung betroffener Systeme, die Verfügbarkeit von Gegenmaßnahmen und die potenziellen geschäftlichen Auswirkungen einer Kompromittierung zu berücksichtigen.
Die relevanten Schwachstellen priorisieren
Sicherheitsteams sehen sich regelmäßig mit einer großen Zahl von Meldungen zu Betriebssystemen, Anwendungen, Netzwerkgeräten, Cloud-Diensten und Produkten von Drittanbietern konfrontiert. Jede Sicherheitsmeldung als gleich dringend zu behandeln, kann begrenzte Ressourcen für Patches und Engineering aufbrauchen, während Systeme mit höherem Risiko unzureichend geschützt bleiben.
Ein risikobasierter Ansatz kann Organisationen helfen, die Probleme zu identifizieren, die sofortiges Handeln erfordern. Schwachstellen, die nachweislich ausgenutzt werden, internetseitig erreichbare Systeme betreffen, Angreifern erhöhte Berechtigungen verschaffen oder kritische Dienste beeinträchtigen könnten, verdienen im Allgemeinen vor weniger exponierten oder weniger folgenreichen Problemen Aufmerksamkeit.
- Identifizieren Sie Assets, die über das Internet erreichbar sind oder kritische Funktionen unterstützen.
- Verfolgen Sie, ob eine Schwachstelle ausgenutzt wird oder zuverlässiger öffentlich verfügbarer Exploit-Code existiert.
- Berücksichtigen Sie die geschäftlichen und betrieblichen Folgen eines erfolgreichen Angriffs.
- Wenden Sie Hersteller-Patches oder Gegenmaßnahmen entsprechend der priorisierten Risiken an.
- Nutzen Sie kompensierende Kontrollen, wenn ein sofortiges Patchen nicht möglich ist.
Auswirkungen für Verteidiger
Das Ende routinemäßiger wöchentlicher Zusammenfassungen verringert nicht die Notwendigkeit für Organisationen, Informationen zu Schwachstellen zu überwachen. Vielmehr wird es wichtiger, Threat Intelligence, Daten aus der Asset-Inventarisierung und Exposure Management in Patch-Entscheidungen einzubeziehen.
Organisationen können zudem davon profitieren, klare Eskalationsverfahren für Schwachstellen mit hoher Priorität aufrechtzuerhalten und regelmäßig zu überprüfen, ob Behebungsmaßnahmen abgeschlossen wurden. Indem sie sich auf die Schwachstellen konzentrieren, die am wahrscheinlichsten bei realen Angriffen eingesetzt werden, können Sicherheitsteams ihre Aufmerksamkeit auf die Verringerung praktischer Risiken richten, anstatt lediglich die Zahl offener Befunde zu reduzieren.