Schwachstellenmanagement

Schwachstellenmanagement im IT-Grundschutz

Einen eigenen Baustein «Schwachstellenmanagement» enthält das IT-Grundschutz-Kompendium in der Edition 2023 nicht. Die Anforderungen verteilen sich auf mehrere Bausteine:

• OPS.1.1.3 «Patch- und Änderungsmanagement»: Konzept, Zuständigkeiten, Konfiguration von Autoupdate-Mechanismen und regelmäßige Aktualisierung von IT-Systemen und Software (Basis-Anforderungen).
• DER.1 «Detektion von sicherheitsrelevanten Ereignissen»: Die Standard-Anforderung A12 verlangt, Informationen aus externen, zuverlässigen Quellen auszuwerten, auf Relevanz für den eigenen Informationsverbund zu prüfen und gegebenenfalls zu eskalieren.
• DER.3.1 «Audits und Revisionen» sowie Anforderungen zu Penetrationstests und Sicherheitsprüfungen in einzelnen Bausteinen, etwa NET.3.2 (Firewall), APP.3.1 (Webanwendungen) und SYS.1.1 (Server).
• OPS.1.1.6 «Software-Tests und -Freigaben» für den geordneten Test von Updates.

Begriffe

CVE

CVE (Common Vulnerabilities and Exposures) ist ein öffentliches Verzeichnis bekannter Sicherheitslücken. Jede Lücke erhält eine eindeutige Kennung nach dem Muster CVE-Jahr-Nummer. Damit sprechen Hersteller, Sicherheitsdienstleister und Behörden über dieselbe Lücke. Vergeben werden die Kennungen von sogenannten CVE Numbering Authorities, zu denen viele große Softwarehersteller gehören.

CVSS

Das Common Vulnerability Scoring System von FIRST bewertet die technische Schwere einer Lücke auf einer Skala von 0 bis 10. Der Wert berücksichtigt unter anderem, ob die Lücke über das Netz ausnutzbar ist, ob eine Anmeldung nötig ist und welche Auswirkungen ein Angriff hat. Aktuell ist Version 4.0, in vielen Datenbanken finden sich aber noch Werte nach Version 3.x.

Der CVSS-Basiswert sagt nichts darüber, wie wichtig die Lücke für Ihren Betrieb ist. Eine Lücke mit Wert 9,8 in einer Software, die Sie nicht einsetzen, ist irrelevant. Eine Lücke mit Wert 7 in Ihrem aus dem Internet erreichbaren VPN-Zugang, die bereits aktiv ausgenutzt wird, ist ein Notfall.

Der Ablauf in fünf Schritten

1. Inventar

Ohne Überblick über Hardware, Betriebssysteme, Anwendungen, Firmware und Cloud-Dienste ist Schwachstellenmanagement Glückssache. Besonders wichtig sind Versionsstände und die Frage, was aus dem Internet erreichbar ist. Vergessen werden oft Firewalls, Router, NAS-Systeme, Drucker, Kameras, Plugins von Webseiten und Programme, die einzelne Mitarbeitende selbst installiert haben.

2. Informationsquellen

• Herstellerhinweise: Sicherheitsmitteilungen und Newsletter der eingesetzten Produkte abonnieren.
• CERT-Bund: Der Warn- und Informationsdienst (WID) des BSI veröffentlicht Kurzinformationen zu Schwachstellen mit Bewertung.
• Kataloge ausgenutzter Lücken: Die US-Behörde CISA führt einen öffentlichen Katalog von Schwachstellen, die nachweislich ausgenutzt werden (Known Exploited Vulnerabilities). Er hilft bei der Priorisierung.
• IT-Dienstleister: Wer die Systeme betreut, sollte vertraglich zugesagt haben, Warnungen zu verfolgen und zu melden.

3. Bewerten und priorisieren

Für jede relevante Lücke stellen sich drei Fragen: Ist das betroffene System bei uns im Einsatz? Ist es aus dem Internet oder aus wenig vertrauenswürdigen Netzen erreichbar? Wird die Lücke bereits ausgenutzt oder gibt es öffentlich verfügbaren Angriffscode? Daraus ergibt sich eine einfache Einteilung:

• Sofort: extern erreichbar und aktiv ausgenutzt. Update innerhalb von Stunden bis wenigen Tagen oder System bis dahin vom Netz nehmen.
• Kurzfristig: hohe Schwere, intern oder ohne bekannte Ausnutzung. Im nächsten regulären Wartungsfenster.
• Regulär: alles andere im normalen Update-Zyklus.

Die konkreten Fristen legen Sie selbst fest und dokumentieren sie. Wichtig ist, dass sie verbindlich sind und jemand ihre Einhaltung prüft.

4. Beheben

Der Normalfall ist das Update. Gibt es noch keines, helfen Ersatzmaßnahmen nach Herstellerhinweis: Funktion abschalten, Zugriff auf bestimmte Adressen beschränken, System vorübergehend vom Internet trennen. Bei Systemen ohne Herstellerunterstützung bleibt langfristig nur der Ersatz. Wer kritische Updates einspielt, sollte vorher eine aktuelle Datensicherung haben und danach prüfen, ob das System wie erwartet funktioniert.

5. Prüfen

Ein Schwachstellenscanner prüft Systeme von außen oder innen auf bekannte Lücken und Fehlkonfigurationen. Für kleine Betriebe sind ein regelmäßiger externer Scan der aus dem Internet erreichbaren Adressen und ein interner Scan in größeren Abständen ein sinnvoller Einstieg. Scanner liefern auch Fehlalarme; die Ergebnisse müssen bewertet werden. Ein Penetrationstest geht weiter: Fachleute versuchen gezielt, Lücken auszunutzen und zu kombinieren. Das lohnt sich vor allem für Webanwendungen und exponierte Systeme mit hohem Schutzbedarf.

Kompromittierung nach dem Update nicht vergessen

Wurde eine Lücke bereits ausgenutzt, bevor das Update eingespielt war, schließt das Update zwar die Tür, entfernt aber keinen Eindringling. Bei aktiv ausgenutzten Lücken in Firewalls, VPN- oder E-Mail-Systemen veröffentlichen Hersteller und CERT-Bund häufig Hinweise, wie sich eine Kompromittierung erkennen lässt. Diese Prüfungen gehören zum Abschluss dazu.

Typische Lücken im kleinen Betrieb

Bei Prüfungen in kleinen Netzen fallen immer wieder dieselben Punkte auf: Firewalls oder VPN-Gateways mit monatelang ausstehenden Firmware-Updates, NAS-Systeme mit veralteter Software und Freigabe ins Internet, Webseiten mit nicht mehr gepflegten Erweiterungen, Arbeitsplätze mit Programmen, die nicht über die zentrale Update-Verwaltung laufen, etwa PDF-Werkzeuge, Browser-Erweiterungen oder Fachsoftware mit eigener Laufzeitumgebung. Diese Systeme sollten im Inventar besonders gekennzeichnet sein.

Rollen und Dokumentation

Legen Sie fest, wer Warnungen verfolgt, wer über Notfall-Updates entscheidet und wer sie einspielt. Eine einfache Liste offener Schwachstellen mit Datum, Bewertung, Maßnahme und Erledigungsstand genügt in vielen Betrieben. Sie zeigt auch Kunden oder Prüfern, dass das Thema geregelt ist.