Das Management technischer Schwachstellen gehört zu den wichtigsten Maßnahmen zur Sicherstellung eines angemessenen Maßes an Informationssicherheit. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) führt in seiner Empfehlung zu den Top 10 der vorbeugenden Maßnahmen zum Thema Ransomware aus:
„Um generell vor Infektionen durch die Ausnutzung bereits behobener Sicherheitslücken geschützt zu sein, sollten Updates unverzüglich nach der Bereitstellung durch den jeweiligen Softwarehersteller auch in die IT-Systeme – idealerweise über zentrale Softwareverteilung – eingespielt werden. Updates, die Schwachstellen von hoher Kritikalität schließen und/oder sich auf besonders exponierte Software (z. B. Firewall Produkte, Webserver) beziehen, sollten priorisiert behandelt werden.“
Damit ist im Grunde auch ein großes Problem vieler Administratoren benannt. Zu allen eingesetzten Softwareprodukten, die in eigener Verantwortung und Betreuung stehen, muss zunächst einmal festgestellt werden, dass es eine neu entdeckte Schwachstelle von nennenswerter Kritikalität gibt. Anschließend kann man sich darum kümmern, ob oder wann der Hersteller einen Sicherheitspatch bereitstellt.
So einfach wie beim Umgang mit Windows-PC im Unternehmen kann man dieses Thema üblicherweise nicht abhandeln. Zu den ständig und reichlich neu entdeckten Schwachstellen in der Microsoft Produktpalette werden wöchentlich von Microsoft Patches bereitgestellt. Die typische Windows-Landschaft ist so konfiguriert, dass diese Patches ohne Test und Nachfrage schnellstens automatisch installiert werden.
Für viele andere Produkte ist es schwieriger, zeitnah Hinweise auf Schwachstellen zu erhalten. Beliebte tägliche Lektüren des Administrators, wie zum Beispiel die „7 Tage News“ von Heise online oder der Newsticker auf golem.de, führen zwar Meldungen zu spektakulären Fehlern in verbreiteten Produkten auf, sind aber zu systematischer Überwachung von bekannt gewordenen Schwachstellen nicht geeignet.
Andere Informationsquellen zum Thema Schwachstellen sind von diskutabler Handlichkeit. So gibt das BSI in seinem Webauftritt Cyber-Sicherheitswarnungen und Meldungen des CERT BUND wieder, die Aufbereitung dieser Meldungen macht die tägliche Recherche aber zeitaufwendig.
Auch der Blick in die Quellen all dieser Meldungen in der „National Vulnerability Database“ (https://nvd.nist.gov) oder bei der Schwachstellen-Sammlung und -Klassifikation bei MITRE (https://www.cve.org/) erfordert einiges an Sucharbeit, um Klarheit über die Risikosituation des eigenen Softwareinventars zu erhalten.
Eine erstklassige Hilfestellung bei der Beschaffung der relevanten Information zu längst bekannten und ganz frischen Schwachstellen kann der Cloudservice CSTOOL.io (https://attacksrfc.cstool.io/homepage.html) leisten. Laut eigener Darstellung ist CSTOOL.io eine Vulnerability-Intelligence-Lösung, die dabei hilft, Hardware- und Software-Schwachstellen in einer konkreten Einsatzumgebung zu priorisieren. CSTOOL.io überwacht kontinuierlich offizielle Quellen für Schwachstellen und gleicht diese mit dem persönlichen Inventar ab. Zusätzlich werden weltweite Nachrichtenkanäle auf schwachstellenbezogene Meldungen hin gemonitort und passend zugeordnet. Performante Such- und Analysefunktionen erleichtern die Entscheidungsfindung zur Schwachstellenbehandlung. Dem ist nichts hinzuzufügen, ein erster Test des Sicherheits-Berater zeigte, dass Suche und Analyse wirklich schnell und handlich sind.
Es mutet beinahe wundersam an, dass dieser englischsprachige Service nicht von einem Startup aus Kalifornien entwickelt und be-trieben wird, sondern Idee und Werk von Alex Kodermann ist. Der ist seit Jahren mitsamt seiner beruflichen Heimat, der SerNet GmbH in Göttingen, bekannt als Schöpfer und Anbieter des ISMS-Tools verinice (vgl. hierzu auch unseren Beitrag im Sicher-heits-Berater, Heft 17/2013, S. 258 f.).
Mit CSTOOL.io verbunden ist der interessante und hoffentlich funktionierende Versuch, einen für viele Menschen und Institutionen nützlichen Service als Open Source Angebot bereitzustellen und für die Nutzung in größerem Rahmen „Sponsorgelder“ zu erbitten. Das könnte eine zeitsparende Alternative zum Ausfüllen langatmiger Förderanträge zu deutschen oder europäischen Digitalisierungsoffensiven gewesen sein. Es ist zu hoffen, dass dieses Finanzierungsmodell einen dauerhaften professionellen Betrieb von CSTOOL.io trägt.
