Wann ist es an der Zeit, in eine robustere Lösung für das Schwachstellen- und Patch-Management zu investieren?

In den letzten Jahren haben viele IT-Teams manuelle Patch-Management-Verfahren durch kommerzielle Software-Tools ersetzt, die Teile des Prozesses automatisieren. Der Einsatz von Automatisierung ist eine Reaktion auf die wachsende Anzahl und Schwere der veröffentlichten CVEs (Common Vulnerabilities and Exposures) und die zunehmende Komplexität von Unternehmensnetzwerken. Auch die häufigere Veröffentlichung von Patches durch Softwareanbieter und der Druck auf IT-Teams, Zero-Day-Exploits schnell zu beheben, haben dazu beigetragen.

Die meisten Automatisierungstools konzentrieren sich auf die Bereitstellung von Patches, während einige auch mit Lösungen kombiniert werden, die eine kontinuierliche Überwachung von Schwachstellen ermöglichen. Beides steht im Einklang mit den Empfehlungen von Gartner, Forrester und anderen Branchenexperten. Aber auch ohne diese Empfehlungen haben die meisten Unternehmen erkannt, dass eine manuelle Patch-Verwaltung einfach nicht tragbar ist.

Automatisierte Tools können den Zeit- und Arbeitsaufwand der IT-Abteilung für Planung, Verteilung und Überwachung von Patches im Vergleich zu manuellen Methoden um 30 bis 70% reduzieren. Zudem kann durch Automatisierung die Mean Time To Remediate (MTTR) – die Anzahl der Tage, die IT-Teams benötigen, um Schwachstellen zu schließen, nachdem sie veröffentlicht wurden – erheblich reduziert werden. Trotz des breiteren Einsatzes von Automatisierung steigt der Arbeitsaufwand für die IT-Cybersicherheit aufgrund der steigenden Komplexität von IT-Umgebungen und der zunehmenden Anzahl und Vielfalt von Geräten und Anwendungen weiter an.

Laut der Studie „The State of Patch Management in the Digital Workplace“ (Ponemon Institute, 2023) verbringen 65% der IT-Profis 10 bis 25+ Stunden pro Woche mit der Bereitstellung von Patches. Dies entspricht etwa 25% bis 70% der gesamten monatlichen Arbeitszeit eines IT-Teams. Die Anforderungen der Patch-Verwaltung fallen zusätzlich zu den bestehenden Verantwortlichkeiten der Mitarbeiter wie die Bereitstellung und Wartung von Endgeräten, den Benutzersupport, die Zusammenarbeit mit Anbietern, die Aktualisierung von IT-Beständen, die Dokumentation der Compliance usw. an.

Die IT-Arbeitslast ist ebenso gewachsen wie die Zahl der in der National Vulnerability Database des NIST (National Institute of Standards and Technology) gemeldeten Schwachstellen:

Die baramundi Management Suite (bMS) bietet Lösungen für die automatische Inventarisierung und Softwareverteilung. Mit den Modulen Vulnerability Scanner, Update Management und Managed Software ermöglicht sie eine umfassende Automatisierung von Schwachstellen-Scans, der Verwaltung von Windows-Updates und dem Patchen von Drittanbieter-Anwendungen.

Der Vulnerability Scanner überprüft Netzwerkendgeräte automatisiert auf fehlende Updates und Patches, falsche Konfigurationen und andere Sicherheitslücken. Ein übersichtliches Dashboard zeigt erkannte Schwachstellen inklusive Schweregrad sowie empfohlene Abhilfemaßnahmen auf einen Blick. 

Das Update Management bietet volle Kontrolle über den Zeitpunkt und die Verteilung von Windows Updates für Clients und Server. Dadurch werden ungetestete oder potenziell problematische automatische Updates vermieden. 
 
Für das Patchen von Drittanbieteranwendungen geht Managed Software sogar noch einen Schritt weiter: Es bietet vollständig getestete, einsatzbereite Patch-Pakete für mehr als 250 Drittanbieteranwendungen. Ein spezialisiertes Expertenteam bei baramundi überwacht kontinuierlich Schwachstellendatenbanken auf veröffentlichte CVEs sowie die Verfügbarkeit neuer Patches, die von Softwareanbietern veröffentlicht werden. Diese werden sorgfältig auf Stabilität und Kompatibilität geprüft, anschließend für eine sichere Verteilung verpackt und verschlüsselt. IT-Administratoren werden benachrichtigt, wenn neue Pakete verfügbar sind, damit sie die für ihre Umgebungen erforderlichen Parameter konfigurieren können. Die automatische Verteilung mit bMS-Deploy an die Zielsysteme erfolgt, wann und wie die IT-Administratoren entscheiden. Jede dieser Funktionen ist in die bMS integriert.

Der Einsatz von Managed Software kann IT-Teams erheblich entlasten und finanzielle Vorteile bringen. Basierend auf Schätzungen von Gartner und anderen Branchenquellen ergibt sich folgendes Beispiel für den ROI der Managed Software-Lösung. 

Für eine grundlegende Analyse betrachten wir ein Netzwerk mit 500 bis 1.000 Endpunkten und verwenden die folgenden konservativen Metriken für IT-Arbeitskosten sowie den Zeitaufwand für Schwachstellenmanagement-Aktivitäten (Identifizierung von Schwachstellen/Patches, Testen, Bereitstellung und Überwachung):

IT-Arbeitskosten

• Die Gehaltsspanne für IT-Administratoren liegt im Schnitt bei 75.000€/Jahr oder 6.250€/Monat.
• Ein typisches Team besteht aus ca. drei IT-Administratoren für ca. 18.750€/Monat 
• Eine nominelle 40-Stunden-Woche oder 480 Stunden Gesamtzeit des Teams pro Monat.

Schwachstellenmanagement-Aktivitäten

Für diese Analyse gehen wir davon aus, dass das Scannen auf Sicherheitslücken und die Bereitstellung von Patches automatisiert sind, während das Testen von Patches ein überwiegend manueller Prozess bleibt. Dementsprechend:

• Das IT-Team wendet etwa 240 Stunden oder etwa die Hälfte der gesamten Teamstunden pro Monat für Patching-bezogene Arbeiten auf.
• Auf das Testen und die Validierung von Patches entfallen in der Regel 50 bis 60 % dieser Gesamtstunden, d. h. etwa 100 bis 120 Stunden pro Monat.

Bei einer geschätzten Zeitersparnis von 30 bis 70 % durch den Einsatz von Automatisierung kann das Modul Managed Software die Testzeit um 30 bis 80 Stunden pro Monat reduzieren. Das entspricht in etwa dem Äquivalent von 0,75 bis 2 Vollzeit-IT-Mitarbeitern oder zwischen 4.700 und 12.500 € pro Monat.

Der Wert wird durch eine gleichmäßigere Patching-Qualität, kürzere MTTRs und verbesserte Compliance-Kennzahlen weiter gesteigert. Die IT-Mitarbeiter gewinnen außerdem mehr Zeit, um bestehende Prozesse zu optimieren und neue strategische Projekte zu bearbeiten. Unternehmen, die Managed Software nutzen, erhöhen zudem ihre Attraktivität für qualifizierte IT-Fachkräfte.