Was haben Ostereier und Schwachstellen gemeinsam?

Schwachstellen oder Sicherheitslücken in der IT und OT sind Fehler in Hard- oder Software, durch die ein Programm oder ein Angreifer in ein System eindringen und Schaden anrichten kann. Dabei lassen sich Schwachstellen grob in zwei Kategorien einteilen: solche, die bereits der Öffentlichkeit bekannt und dokumentiert sind, sowie solche, die erst am Tag des Angriffs bekannt werden, sogenannte Zero-Day-Exploits.

Die Erkennungsphase ist das Fundament jedes Schwachstellenmanagement und identifiziert offene Sicherheitslücken auf den IT-Systemen in der Organisation. Dabei werden unter anderem Dienste, Software, Konfigurationen, und offene Ports und diverse IT-Systeme überprüft. Eine Besonderheit in produzierenden Organisationen: Dieser Scan-Vorgang darf die Produktion weder stören noch unterbrechen. Hierbei sind die richtige Technologie und eine fachgemäße Konfiguration ausschlaggebend.

Nach der Analyse sollten Schwachstellen mit hohem Risiko möglichst umgehend behoben werden. Dabei gibt es kein allgemeingültiges Rezept, da Schwachstellen variabel und vielfältig auf diversen Systemen auftauchen. Der erste und naheliegendste Schritt ist, Patches zu nutzen, vorausgesetzt, ein Patch existiert. Im besten Fall sind Patches bereits validiert und verursachen keine Nebenwirkungen auf dem System. Liegt kein Patch vor, gibt es andere Maßnahmen, um potenzielle Angriffe zu begrenzen.

Es ist möglich, Fernwartungszugänge aus dem Internet zu kappen oder Systeme in separaten Netzwerken abzuschotten. Bei geringem oder nicht vorhandenem Risiko müssen Sicherheitslücken nicht zwingend beseitigt werden. Hierbei funktioniert eine einfache Rechnung: Auf der einen Seite stehen die Kosten, die dabei entstehen, eine risikoarme Schwachstelle zu beseitigen. Auf der anderen Seite stehen die verursachten Kosten, falls diese Sicherheitslücke ausgenutzt würde.

Zu guter Letzt ist es entscheidend, alle Schwachstellen zu dokumentieren. Hier helfen Dashboards und Berichte, um die aktuelle Gefährdungslage darzustellen. Das hilft der Organisation zum einen, den Fortschritt zu dokumentieren, der sich im fortlaufenden Prozess ergibt. Zum anderen lassen sich offene Schwachstellen kontinuierlich besser überwachen. Denn um Angreifern immer einen Schritt voraus zu sein, ist ein Schwachstellenmanagement als fortlaufender und immer wiederkehrender Prozess essenziell, der Schwachstellen darstellt und behebt.

Als kleiner Exkurs: Wie grenzen sich Schwachstellenmanagement und Patch-Management voneinander ab? Beide gehen Hand in Hand, sind Bestandteil einer soliden IT-Sicherheitsstrategie und sollten nicht ohne einander existieren. Anders gesagt: Schwachstellenmanagement ist ein Prozess. Patch-Management ist darin ein integraler Bestandteil, um identifizierte Sicherheitslücken zu beheben, falls vom Hersteller bereits ein Patch zur Schließung der Sicherheitslücke existiert. Patch-Management bietet zudem eine komfortable Lösung, bekannte Sicherheitslücken automatisch zu schließen und die Ressourcen in der IT zu entlasten.