Scanning und Asset-Inventar

Jedes Programm für das Schwachstellenmanagement beruht auf einer Grundlage: Sie müssen wissen, was Sie haben. Ein genaues Asset-Inventar definiert den Umfang der Scans; alles, was darin fehlt, ist ein nicht überwachter blinder Fleck.

Shadow IT, vergessene Cloud-Instanzen und nicht verwaltete Container sind Orte, an denen sich Sicherheitsverletzungen verbergen. Erstellen Sie zuerst das Inventar und scannen Sie danach.

Ein modernes Inventar umfasst mehr als nur Server:

• Physische und virtuelle Hosts, Laptops und Netzwerkgeräte.
• Cloud-Instanzen, serverlose Funktionen und Storage-Buckets.
• Container und Images.
• Installierte Software und Betriebssystemversionen.
• Öffentlich erreichbare Domains, IPs und Zertifikate.

Verfolgen Sie für jedes Asset die verantwortliche Person, die Umgebung und die Kritikalität, nicht nur eine IP-Adresse.

Aktive Erkennung sondiert das Netzwerk (Ping-Sweeps, Port-Scans), um aktive Hosts zu finden. Sie ist gründlich, erzeugt aber viel Rauschen und kann Assets übersehen, die während des Scans ausgeschaltet sind.

Passive Erkennung beobachtet Datenverkehr, DHCP und Protokolle, um Assets ohne Sondierung zu erkennen. Kombinieren Sie beides: passive Erkennung für kontinuierliche Sichtbarkeit, aktive Erkennung für Detailtiefe und Verifizierung.

Diese Unterscheidung ist entscheidend für die Genauigkeit:

• Nicht authentifizierte Scans zeigen, was ein Außenstehender sieht: offene Ports, Banner und offengelegte Dienste. Sie bieten nur begrenzte Detailtiefe und erzeugen mehr False Positives.
• Authentifizierte (mit Zugangsdaten durchgeführte) Scans melden sich an und lesen installierte Pakete, Patch-Stände und Konfigurationen aus. Sie sind wesentlich genauer.

Bevorzugen Sie für interne Assets authentifizierte Scans; verwenden Sie nicht authentifizierte Scans zur Betrachtung der externen Angriffsfläche.

Netzwerkscanner greifen nach einem Zeitplan auf Assets zu. Sie bieten eine gute breite Abdeckung, haben aber blinde Flecken bei getrennten oder kurzlebigen Hosts.

Auf Endpunkten installierte Agenten melden kontinuierlich, auch bei unterwegs befindlichen Laptops und kurzlebigen Cloud-Workloads. Viele Programme kombinieren beides: Agenten für verwaltete Endpunkte, Netzwerk-Scans für IoT/OT und nicht verwaltete Geräte.

Scanner gleichen beobachtete Softwareversionen und Konfigurationen mit einer Schwachstellendatenbank ab, die anhand von CVE- und CPE-Kennungen organisiert ist.

• CVE — Eindeutige ID für eine bestimmte Schwachstelle.
• CPE — Standardisierte Bezeichnung für ein Produkt und eine Version.

Wenn auf einem Host ein CPE ausgeführt wird, dem bekannte CVEs zugeordnet sind, meldet der Scanner eine Schwachstelle. Die Genauigkeit hängt von der korrekten Versionserkennung ab.

Scanner sind nicht perfekt:

• False Positives — gemeldet, aber nicht tatsächlich ausnutzbar (z. B. weil ein zurückportierter Patch die tatsächliche Version verbirgt).
• False Negatives — nicht erkannt aufgrund fehlgeschlagener Authentifizierung, blockierter Ports oder unbekannter Software.

Authentifizierte Scans und Validierung verringern beide Arten. Stimmen Sie die Scans stets ab und überprüfen Sie sie, bevor Sie Findings an die für die Behebung zuständigen Teams weitergeben.

Scans haben Auswirkungen auf den Betrieb. Planen Sie entsprechend:

• Begrenzen Sie die Scan-Rate, damit fragile oder OT-/Legacy-Systeme nicht überlastet werden.
• Planen Sie umfangreiche Scans in Wartungsfenstern.
• Verwenden Sie Modi für sichere Prüfungen; vermeiden Sie intrusive Plugins in der Produktion.
• Stimmen Sie sich mit dem NOC ab, damit Scans nicht mit Angriffen verwechselt werden.

Wenn ein Scan einen Produktionscontroller zum Absturz bringt, verlieren Sie die Unterstützung für das Programm.

Cloud-Assets sind kurzlebig, daher veralten statische Inventare schnell. Verwenden Sie API-basierte Erkennung:

• Fragen Sie die APIs der Cloud-Anbieter nach Instanzen, Funktionen, Buckets und Sicherheitsgruppen ab.
• Scannen Sie Images von Containern in der Registry, nicht nur laufende Container.
• Versehen Sie Ressourcen bei der Erstellung mit Tags, damit die Verantwortlichkeit automatisch zugeordnet wird.

Integrieren Sie Scans in CI/CD, damit Images vor der Bereitstellung geprüft werden.

Ein Inventar ist nur nützlich, wenn es aktuell ist. Speisen Sie es aus maßgeblichen Quellen:

• Gleichen Sie Netzwerk-Scans, Agenten und Cloud-APIs in einer einzigen verlässlichen Quelle (CMDB) ab.
• Markieren Sie Assets, die seit N Tagen nicht gesehen wurden, zur Überprüfung.
• Benachrichtigen Sie über neue oder unerwartete Assets (mögliche Shadow IT).

Die prozentuale Abdeckung (gescannte im Vergleich zu bekannten Assets) ist eine zentrale Programmmetrik.

Inventar und Scan-Ergebnisse erzeugen Findings, aber erst der Kontext macht daraus ein Risiko. Durch die Kennzeichnung von Assets mit Kritikalität, Exponierung und Datensensibilität können Sie priorisieren: Ein internetexponierter, besonders kritischer Server hat Vorrang vor einer isolierten Test-VM mit derselben CVE.

Dieser Asset-Kontext fließt direkt in die als Nächstes behandelten Priorisierungstechniken ein.

Ein genaues Inventar ist die Grundlage von VM: Erfassen Sie Hosts, Cloud, Container, Software und die externe Angriffsfläche mit Verantwortlichen und Kritikalität. Kombinieren Sie aktive und passive Erkennung, bevorzugen Sie für mehr Genauigkeit authentifizierte und agentenbasierte Scans und berücksichtigen Sie False Positives, False Negatives sowie die Sicherheit der Scans.

Halten Sie das Inventar durch API-basierte Abstimmung aktuell und versehen Sie Assets mit Kontext, damit Findings priorisiert werden können. Als Nächstes geht es darum, wie Sie mithilfe von CVSS, EPSS und KEV entscheiden, was zuerst behoben wird.