Ziele des Vulnerability Management
Bewusstmachung existierender Schwachstellen und diese so gut wie möglich abzusichern. Dafür müssen:
- Rollen & Verantwortlichkeiten festgelegt werden
- Anforderungen und daraus resultierende Maßnahmen dokumentiert werden
- Aufgaben priorisiert werden
Abgrenzung und Schnittmengen
- Patch Management: Aktualisierung von Systemen, Hardware und Software (Ziel: verändernde Eingriffe steuer- und kontrollierbar gestalten)
- Risikomanagement: Bewertung und Behandlung von Schwachstellen (in Bezug auf Assets und Bedrohungen)
- Responsible Disclosure: Geheimhaltung von identifizierten Schwachstellen
Common Vulnerability Scoring System (CVSS)
- Offenes Framework zum Einschätzen der Charakteristik und Schwere einer Softwareschwachstelle (notwendig für Priorisierung)
-> Basic Metric Group: Schweregrad einer Schwachstelle gemäß ihren Eigenschaften, unabhängig vom Schutzbedarf
-> Temporal Metric Group: Merkmale einer Schwachstelle, die sich im Laufe der Zeit ändern könnte
-> Environmental Metric Group: Merkmale einer Schwachstelle, die für die Umgebung eines bestimmten Benutzers relevant und einzigartig sind - Skala von 1 bis 10
CVSS: Basic Metric Group
- Attack Vendor
- Attack Complexity
- Privileges Required
- User Interaction
- Scope
- Confidentiality Impact
- Integrity Impact
- Availability Impact
CVSS: Temporal Metric Group
- Exploit Code Maturity
- Remediation Level
- Report Confidence
CVSS: Environmental Metric Group
- Confidentiality/Integrity/Availability Requirement
- Modified Base Metric
Common Weakness Scoring System (CWSS)
- Mechanismus zur konsistenten, flexiblen und offenen Priorisierung von Softwareschwächen
-> Basic Finding: erfasst das inhärente Risiko der Schwachstelle, das Vertrauen in die Genauigkeit des Fundes und die Stärke der Schutzmaßnahmen
-> Attack Surface: beschreibt die Barrieren, die ein Angreifer überwinden muss, um die Schwachstelle auszunutzen
-> Environmental: Merkmale der Schwachstelle, die für eine bestimmte Umgebung oder einen bestimmten betrieblichen Kontext spezifisch sind - Skala von 1 bis 100
CWSS: Basic Finding
- Technical Impact
- Aquired Privilege
- Aquired Privilege Layer
- Internal Control Effectiveness
- Finding Confidence
CWSS: Attack Surface
- Required Privilege
- Required Privilege Layer
- Access Vector
- Authentication Strength
- Level of Interaction
- Deployment Scope
CWSS: Environmental
- Business Impact
- Likelihood of Discovery
- Likelihood of Exploit
- External Control Effectiveness
- Prevalence
Umgang mit Schwachstellen
- Risikomanagement
- Maßnahmen
- Change Management
- Incident Response Team
Einholen von Informationen über Schwachstellen: Interne Informationsquellen
- Vulnerability Scan
- Penetration Testing
-> White Box Testing: Pentester hat vollständige Informationen über das gesamte System
-> Black Box Testing: Pentester hat keine Informationen über das System
-> Grey Box Testing: Pentester hat Teil-Informationen über das System
Einholen von Informationen über Schwachstellen: Öffentliche Informationsquellen
- Common Vulnerabilities and Exposures
-> öffentlich bekannt gewordene Schwachstellen werden ermittelt und katalogisiert - National Vulnerability Database
-> Standardisierte Daten zum VM
-> Betroffene Hard- und Software werden identifiziert - Open Vulnerability and Assessment Language
-> Standardisierung der Bewertung und Berichterstattung über den Zustand von Systemen
-> Standard zur Bestimmung von Schwachstellen und Fehlkonfigurationen
CVSS: Basic Metric Group: Attack Vector
Kontext, in dem die Ausnutzung von Schwachstellen möglich ist, Wert ist umso größer, je weiter entfernt (logisch und physisch) ein Angreifer sein kann, um die anfällige Komponente auszunutzen
CVSS: Basic Metric Group: Attack Complexity
Bedingungen außerhalb der Kontrolle des Angreifers, je komplexer, desto geringer der Wert
CVSS: Basic Metric Group: Privileges Required
Rechteebene, die ein Angreifer besitzen muss, bevor er die Schwachstelle erfolgreich ausnutzt, je geringer die notwendigen Rechte, desto höher ein Wert
CVSS: Basic Metric Group: User Interaction
Anforderung für einen menschlichen Benutzer, der nicht der Angreifer ist, an der erfolgreichen Kompromittierung der anfälligen Komponente teilzunehmen, ist keine Interaktion notwendig, ist der Wert am höchsten
CVSS: Basic Metric Group: Scope
gibt an, ob eine Schwachstelle in einer anfälligen Komponente Ressourcen in Komponenten außerhalb ihres Sicherheitsbereiches beeinträchtigt
CVSS: Basic Metric Group: Confidentiality Impact
misst die Auswirkungen auf die Vertraulichkeit der Informationen, unabhängig davon, wie schützenswerte die Daten für die betroffene Organisation sind
CVVS: Basic Metric Group: Integrity Impact
misst die Auswirkungen auf die Integrität der Informationen, unabhängig davon, wie schützenswerte die Daten für die betroffene Organisation sind
CVSS: Basic Metric Group: Availability Impact
misst die Auswirkungen auf die Verfügbarkeit der IT-Systeme, unabhängig davon, wie schützenswerte die Daten für die betroffene Organisation sind
CVSS: Temporal Metric Group: Exploit Code Maturity
Wahrscheinlichkeit eines Angriffs auf die Schwachstelle, basierend auf dem aktuellen Stand der Exploit-Techniken, der Verfügbarkeit von Exploit-Code oder der aktiven “in-the-wild” Ausnutzung
CVSS: Basic Metric Group: Remediation Level
Behebungsgrad einer Schwachstelle, ob ungepatcht, Workaround oder offizieller Fix
CVSS: Basic Metric Group: Report Confidence
Vertrauen in die Existenz der Schwachstelle und die Glaubwürdigkeit der bekannten technischen Details
