105 Schwachstellen. Und jetzt?

Wie aus einem technischen Scan klare Entscheidungen werden.

38 aktive Systeme.

105 bewertete Findings.

8 davon kritisch, 10 mit hohem Schweregrad.

Das war das Ergebnis eines Schwachstellenscans im Netzwerk eines kleinen mittelständischen Unternehmens.

105 Schwachstellen - das klingt zunächst nach ziemlich viel.

Aber was bedeutet diese Zahl konkret? Sind tatsächlich 105 verschiedene Systeme betroffen? Steckt hinter mehreren Meldungen dieselbe Ursache? Ist ein als kritisch eingestuftes Problem auch das größte Risiko für das Unternehmen?

Und vor allem:

Womit fängt man an?

Ein Scanner liefert Ergebnisse - aber noch keine Entscheidungen

Für die technische Analyse bringen wir unsere eigene syntronic Security Appliance mit ins Kundennetz. Ein Vulnerability Scanner untersucht die erreichbaren Systeme und Dienste auf bekannte Schwachstellen. Bei Besonderheiten können wir mit zusätzlichen Security-Werkzeugen gezielt genauer hinschauen.

Der Scanner erkennt offene Dienste, Anwendungen, Zertifikate und bekannte Schwachstellen und bewertet die gefundenen Probleme nach ihrem technischen Schweregrad.

Aber einem Geschäftsführer einen Bericht mit 105 Findings auf den Tisch zu legen und zu sagen: „Da müssen wir ran“, wäre noch keine besonders hilfreiche Beratung.

Die eigentliche Arbeit beginnt nach dem Scan.

Vor mir liegen CVE-Nummern, Schweregrade, betroffene Dienste und Systeme. Jetzt muss daraus ein verständliches Bild entstehen:

Welche Findings gehören zusammen? Welches System steckt dahinter? Welche Bedeutung hat es für den Betrieb? Und was davon muss eine Geschäftsführung tatsächlich wissen, um eine Entscheidung treffen zu können?

Die entscheidende Frage lautet nicht mehr:

„Was hat der Scanner gefunden?“

Sondern:

„Was muss die Geschäftsführung daraus wissen?“

Genau an dieser Stelle wird aus einem Scan ein IT-Risikocheck.

Kritisch ist nicht automatisch gleich kritisch

In unserem Beispiel konzentrierten sich einige der schwerwiegenden Befunde auf wenige Systeme und Dienste.

Darunter befand sich beispielsweise die als BlueKeep bekannte Schwachstelle. Andere Findings betrafen ein NAS-System und einen Webdienst.

Auf dem Papier stehen solche Befunde zunächst nebeneinander. In der Praxis braucht es Kontext:

Welche Aufgabe hat das betroffene System? Ist der Dienst überhaupt erforderlich? Ist er nur intern oder auch aus dem Internet erreichbar? Gibt es bereits Schutzmaßnahmen? Kann aktualisiert werden - oder verhindert eine darauf angewiesene Anwendung das Update?

Erst damit wird aus einem technischen Finding ein bewertbares Risiko.

Derselbe Kunde - ein völlig anderes Bild

Besonders interessant wurde es bei einem weiteren Standort desselben Unternehmens.

Gleiche Vorgehensweise. Gleiche Scan-Technik. Gleiches Unternehmen.

Diesmal fanden wir 24 aktive Systeme und 103 Findings - davon 9 kritisch und 10 hoch.

Die Anzahl war also fast identisch. Die Ursachen waren es nicht.

Hier standen unter anderem nicht mehr unterstützte Betriebssysteme, verwundbare Webdienste, unsichere Verwaltungsprotokolle und Standardkennwörter im Vordergrund.

Derselbe Kunde. Ähnliche Anzahl an Findings. Aber eine völlig andere Risikolandschaft.

Deshalb geht es nach einem Scan nicht darum, einfach eine möglichst lange Liste abzuarbeiten. Zusammengehörende Befunde müssen gruppiert, Ursachen erkannt und Maßnahmen priorisiert werden:

Was muss sofort behoben werden? Was folgt kurzfristig? Was kann im Zuge einer geplanten Modernisierung gelöst werden?

So wird aus einer Schwachstellenanalyse ein Maßnahmenplan.

„Und was mache ich jetzt mit dem Dienstleister?“

Wie wichtig diese Aufbereitung ist, zeigte sich bei der Präsentation.

Einer der betroffenen Server war von einem externen Dienstleister bereitgestellt worden und wurde auch von diesem betrieben.

Für den Geschäftsführer entstand dadurch eine sehr praktische Frage:

Was soll ich jetzt konkret tun?

Und dahinter steckte durchaus Sorge vor dem Gespräch mit dem Dienstleister. Schließlich wollte er dort nicht mit einer allgemeinen Aussage wie „Unser Sicherheitscheck hat etwas gefunden“ anrufen, ohne erklären zu können, worum es eigentlich geht.

Ich konnte ihm einen gezielten Auszug für diesen Server zur Verfügung stellen - einschließlich der relevanten Informationen aus dem Originalscan.

Damit hatte er keine diffuse Warnung in der Hand, sondern einen konkreten und nachvollziehbaren technischen Befund. Das Gespräch mit dem Dienstleister wurde dadurch erheblich einfacher.

Für mich ist das ein gutes Beispiel für „geschäftsführertaugliche Aufbereitung“.

Der Geschäftsführer muss nicht selbst zum Sicherheitsexperten werden.

Er muss in die Lage versetzt werden, die richtige Frage an den richtigen Ansprechpartner zu stellen - und eine belastbare Antwort einzufordern.

„Unsere Drucker? Wirklich?“

Ein ganz anderer Moment entstand bei den gefundenen Standardpasswörtern.

Davon waren unter anderem Drucker betroffen.

Die Reaktion war deutliches Erstaunen:

Ein Drucker? Warum sollte sich ein Angreifer ausgerechnet dafür interessieren?

Weil wir ihn im Alltag als Drucker wahrnehmen. Aus Sicht eines Angreifers ist er zunächst einmal:

ein Gerät im Netzwerk.

Er besitzt eine IP-Adresse, bietet Dienste an, hat eine Administrationsoberfläche und kommuniziert mit anderen Systemen. Ist der administrative Zugang noch mit einem bekannten Standardkennwort geschützt, entsteht ein unnötig einfacher Einstiegspunkt.

Dabei muss der Drucker gar nicht das eigentliche Ziel sein. Ein kompromittiertes Gerät kann dazu dienen, Informationen über das Netzwerk zu sammeln, weitere Systeme zu identifizieren und sich von dort aus weiterzubewegen.

Der unscheinbare Drucker kann zum Sprungbrett werden.

In diesem Moment wurde aus dem abstrakten Finding „Standardkennwort“ plötzlich ein sehr verständliches Risiko.

Der entscheidende Teil findet beim Kunden statt

Ob ein IT-Risikocheck gut vorbereitet wurde, zeigt sich für mich deshalb nicht allein am Bericht.

Es zeigt sich bei seiner Präsentation.

Aus vielen Stunden Bestandsaufnahme, Scan, Analyse und Aufbereitung werden vielleicht 60 oder 90 Minuten gemeinsames Gespräch.

Und dort zeigt sich schnell, ob die Arbeit inhaltlich angekommen ist:

Werden technische Befunde verständlich? Entstehen die richtigen Fragen? Können Prioritäten festgelegt werden? Und weiß der Kunde anschließend, was als Nächstes zu tun ist?

Beim Server bedeutete das, mit einem konkreten Befund auf den Dienstleister zugehen zu können.

Beim Drucker bedeutete es, zu verstehen, warum ein scheinbar nebensächliches Standardkennwort ein Sicherheitsrisiko darstellt.

Genau dann werden aus Scanergebnissen Entscheidungen.

Technik ist nur ein Teil des Risikos

Ein Schwachstellenscan kann allerdings nur sehen, was technisch geprüft werden kann.

Er beantwortet nicht automatisch, ob Mitarbeiter für Phishing sensibilisiert sind, Verantwortlichkeiten für IT-Sicherheit geregelt wurden oder ein funktionierender Notfallplan existiert.

Deshalb verbinden wir die technische Analyse bei Bedarf mit dem CyberRisikoCheck nach DIN SPEC 27076. Dabei werden organisatorische und technische Aspekte gemeinsam betrachtet.

So entsteht ein wesentlich vollständigeres Bild.

Sicherheit beginnt mit Transparenz

Die spannendsten Momente eines IT-Risikochecks sind für mich deshalb nicht die, in denen der Scanner seine Ergebnisse liefert.

Es sind die Momente danach:

Wenn aus technischen Scanergebnissen ein verständliches Bild entsteht.

Und wenn beim Kunden aus diesem Bild konkrete Entscheidungen werden.

105 Findings waren das Ergebnis des Scanners.

Die eigentliche Arbeit bestand darin herauszufinden, welche davon für das Unternehmen wirklich wichtig waren - und daraus einen verständlichen Maßnahmenplan mit klaren Prioritäten zu entwickeln.

Denn am Ende geht es nicht darum, möglichst viele Schwachstellen zu finden.

Es geht darum, die wichtigen zu finden - und zu wissen, welche man zuerst schließen sollte.