Befunde priorisieren und beheben

Ein typischer Schwachstellen-Scan in einem Unternehmen liefert Tausende von Funden. Ohne einen systematischen Ansatz zur Priorisierung ignorieren Teams entweder alle Funde oder reagieren planlos auf einzelne Probleme. Eine wirksame Behebung beginnt mit der Triage.

Der CVSS-Basiswert bietet eine anbieterunabhängige Grundlage für den Schweregrad. Beginnen Sie mit kritischen Werten ab 9,0 und hohen Werten von 7,0 bis 8,9. CVSS allein reicht jedoch nicht aus, da die konkrete Umgebung und Ausnutzbarkeit nicht berücksichtigt werden.

Passen Sie die Priorität anhand folgender Faktoren an: Kritikalität des Assets, etwa ob es sich um einen Zahlungsserver handelt, Erreichbarkeit aus dem Internet, etwa ob der Port von außen erreichbar ist, Sensibilität der Daten, etwa ob dort personenbezogene Daten oder Zugangsdaten gespeichert werden, sowie kompensierende Kontrollen.

EPSS-Werte prognostizieren die Wahrscheinlichkeit einer Ausnutzung innerhalb der nächsten 30 Tage. Eine Schwachstelle mit hohem CVSS-Wert und niedrigem EPSS-Wert, für die kein Exploit bekannt ist, kann weniger dringend sein als eine Schwachstelle mit mittlerem CVSS-Wert und hohem EPSS-Wert, die bereits in freier Wildbahn ausgenutzt wird.

Der KEV-Katalog der CISA führt CVEs auf, für die eine aktive Ausnutzung bestätigt ist. Jede CVE auf der KEV-Liste sollte unabhängig von ihrem CVSS-Wert als höchste Priorität behandelt werden.

Erstellen Sie eine einfache Matrix: CVSS × Asset-Kritikalität × Internet-Exposition = Risikowert. Beheben Sie zuerst Schwachstellen mit Kritisch×Kritisch×Extern; verschieben Sie Niedrig×Intern×Kein-Exploit auf spätere Zyklen.

Priorisieren → einem Verantwortlichen ein Ticket zuweisen → SLA festlegen (Kritisch: 24 Stunden, Hoch: 7 Tage, Mittel: 30 Tage, Niedrig: 90 Tage) → Patchen überprüfen → erneut scannen, um die Behebung zu bestätigen.

Viele Funde sind Fehlkonfigurationen und keine fehlenden Patches: offene Administrationsoberflächen, Standardzugangsdaten, ausführliche Fehlermeldungen und Verzeichnisauflistungen. Diese Probleme lassen sich häufig durch Konfigurationsänderungen beheben, ohne dass eine Ausfallzeit erforderlich ist.

Ein gutes Ticket enthält die CVE-ID, den betroffenen Host und Dienst, den CVSS-Wert, Belege wie die Scanner-Ausgabe, eine schrittweise Anleitung zur Behebung, Schritte zur Überprüfung und eine Frist. Vermeiden Sie Unklarheiten – Entwicklungsteams sollten die Lösung nicht erst selbst recherchieren müssen.

Erfassen Sie die mittlere Zeit bis zur Behebung (MTTR), aufgeschlüsselt nach Schweregrad. Berichten Sie der Leitung wöchentlich die Patch-Compliance-Raten. Eine Trendanalyse zeigt, ob sich Ihre Sicherheitslage verbessert oder verschlechtert.

Dokumentieren Sie akzeptierte False Positives mit Begründung und der Bestätigung durch eine prüfende Person. Bewerten Sie akzeptierte Ausnahmen vierteljährlich neu. Das Unterdrücken von False Positives ohne Dokumentation ist technische Schuld.

Welche Ressource führt CVEs auf, die aktuell in freier Wildbahn ausgenutzt werden?

Ein effektives Schwachstellenmanagement bedeutet Triage, nicht Perfektion. Verwenden Sie CVSS als Ausgangsbasis, EPSS für die Wahrscheinlichkeit einer Ausnutzung, KEV für bestätigte Ausnutzung in freier Wildbahn und den Kontext des jeweiligen Assets zur Anpassung der Priorität. Erstellen Sie klare Tickets, legen Sie SLAs fest und messen Sie die MTTR, um Stakeholdern eine kontinuierliche Verbesserung zu belegen.