Der Schwachstellenkatalog 2.0 kommt!

Anmerkung des Autors: Lesen Sie unbedingt die wichtigen Hinweise am Ende des Artikels.

„Never touch a running system!” – Dieses Mantra hält sich hartnäckig seit Jahrzehnten in der IT-Branche. Doch ist es auch diese Branche, die von Innovationen und ihrer Wandlungsfähigkeit lebt. Zudem wissen gerade Admins an vorderster Front, sprich die, die sich um die Endgeräte der User kümmern, genau: Ohne den regelmäßigen „Touch“ leidet die Sicherheit der Geräte und somit auch die Sicherheit des gesamten Unternehmens. baramundi hat nun in einem ersten Schritt mehrere Änderungen an den Schwachstellenkatalogen, auf die der Vulnerability Scanner zugreift, vorgenommen.

Zu Beginn der Umstellung wurde zunächst das Scanprofil „Community“ entfernt. Dieses Profil wurde bereits seit Einführung des Vulnerability Scanners ausgeliefert und war anfangs der einzige Katalog. Seither wurde dieser Katalog von der Community nur noch sporadisch mit Regeln versorgt und so haben wir im Jahr 2016 einen neuen Katalog hinzugefügt: Das Profil „Professional“. Aus Kompatibilitätsgründen haben wir das Community-Profil beibehalten, obwohl hier kaum neue Regeln hinzukamen.

Der Katalog, auf dem das Professional-Profil beruht, ist in den letzten Jahren sehr stark gewachsen. Die Zeit zum Abprüfen aller Regeln erhöhte sich teils drastisch und eine neue Lösung war nötig: Das neue Profil „Professional 2.0“! Dieses Profil basiert auf einem neuen Katalog mit optimiertem Regelwerk, welches auf eine geänderte Mechanik und auch Logik setzt, um Schwachstellen zu erkennen. Im Vordergrund steht dabei, vorhandene Softwareinstallationen und nicht mehr nur die reine Existenz von einzelnen Dateien, Bibliotheken oder Komponenten zu erkennen.

Natürlich drängt sich die Vermutung auf, dass mit weniger Regeln auch weniger Schwachstellen erkannt werden. Doch das ist nicht zwangsläufig der Fall. Zwischen den Schwachstellen und den Regeln besteht keine 1:1-Beziehung. Somit kann es sein, dass zur Erkennung einer Schwachstelle nur eine Regel erforderlich wäre – und dennoch mehr Regeln verwendet und abgeprüft werden. An dieser Stelle greift der optimierte Katalog ein und verkürzt die für den Scan benötigte Zeit im Schnitt um mehr als die Hälfte!

Durch diese neue Scanmechanik werden nun nicht mehr alle möglichen Fundstellen im Dateisystem angezeigt. Denn eine Bibliothek im Dateisystem bedeutet noch lange nicht, dass diese Komponente auch verwendet und somit zur potenziellen Gefahr wird. Vielmehr ist hier entscheidend, ob und in welchem Umfang die enthaltenen Funktionen genutzt werden.

Durch den intensiven Austausch mit unseren Kunden haben wir gelernt, dass gerade bei sicherheitssensitiven Unternehmen ein erheblicher Arbeitsaufwand beim Fund von Framework-Schwachstellen entsteht. Vereinfacht ausgedrückt: Für jede gefundene Schwachstelle in einer Bibliothek wird eine Serviceanfrage beim Hersteller der Hauptapplikation eröffnet. Darin wird eine Stellungnahme zur Verwundbarkeit der Hauptapplikation im Kontext dieser Schwachstelle gefordert. Auf Basis der Antwort werden dann Maßnahmen abgeleitet, z.B. ein sofortiges Update (sofern verfügbar) oder sogar die Deinstallation der entsprechenden Software. Ist die Hauptapplikation trotz Verwendung der verwundbaren Komponente nicht von dieser Schwachstelle betroffen, wird eine Ausnahme in der Management Suite definiert. Dieser „False Positive“ Fund wird dann in den Auswertungen nicht berücksichtigt.

Auf Basis dieses Feedbacks wird nun bei Framework-spezifischen Schwachstellen nur noch die tatsächliche Fundstelle der Hauptapplikation mit den relevanten Informationen (Komponente, CVE-ID, Schweregrad, Angriffsvektor, etc.) gelistet, wenn die Schwachstelle auch durch den Hersteller der Hauptapplikation bestätigt wurde. Dieses Vorgehen reduziert die Anzahl der potenziellen „False Positives“ und den dadurch erzeugten Arbeitsaufwand in den Umgebungen unserer Kunden erheblich.

Zudem verringert sich in dieser konsolidierten Darstellung die Anzahl der zu analysierenden Elemente, was die Lösungsfindung erleichtert. Häufig kann die Hauptapplikation bequem per „Managed Software“ oder „Deploy“ auf den neusten Stand gebracht werden.

Nun sollten nur noch die Einträge für das alte Profil gelistet werden. Diese können Sie selektieren und löschen – fertig!

Selbstverständlich können Sie auch einen neuen Job mit dem Profil „Professional 2.0“ anlegen und auf ausgewählten Endpoints durchführen – ohne vorheriges Löschen der alten Ergebnisse. Das ermöglicht Ihnen einen direkten Vergleich der Ergebnisse aus dem alten und dem neuen Profil. Wir empfehlen aber nachdrücklich, die alten Ergebnisse vor dem flächendeckenden Einsatz des neuen Profils zu löschen.

Wichtig: Das Profil „Professional“ wird ab dem 1. April eingefroren – es werden keine neuen Regeln hinzugefügt und bestehende Regeln können nicht mehr geändert werden. Bitte stellen Sie sicher, dass Sie den Umzug zum Profil „Professional 2.0“ bis zu diesem Zeitpunkt abgeschlossen haben.