Was ist Schwachstellen-Scanning?

Eine Sicherheitslücke ist eine Schwachstelle in der Struktur, Funktion oder Implementierung eines IT-Assets oder Netzwerks. Hacker oder andere Bedrohungsakteure können diese Schwachstelle ausnutzen, um sich unbefugt Zugang zu verschaffen und dem Netzwerk, den Benutzern oder dem Unternehmen Schaden zuzufügen. Zu den häufigsten Schwachstellen gehören:

•  Codierungsfehler, z. B. Web-Apps, die aufgrund der Art und Weise, wie sie Benutzereingaben verarbeiten, anfällig für Cross-Site-Scripting, SQL-Injection und andere Injection-Angriffe sind.
  
  
• Ungeschützte offene Ports auf Servern, Laptops und anderen Endgeräten, mit denen Hacker Malware verbreiten können.
  
  
• Fehlkonfigurationen, z. B. ein Cloud-Speicher-Bucket, der sensible Daten dem öffentlichen Internet zugänglich macht, weil er über ungeeignete Zugriffsberechtigungen verfügt. 
  
  
• Fehlende Patches, schwache Passwörter oder andere Mängel in der Cybersicherheitshygiene.

Jeden Monat werden Tausende neue Schwachstellen entdeckt. Zwei US-Regierungsbehörden unterhalten durchsuchbare Kataloge bekannter Sicherheitslücken: das National Institute of Standards and Technology (NIST) und die Cybersecurity and Infrastructure Security Agency (CISA) (Links befinden sich außerhalb von ibm.com).

Leider werden Schwachstellen zwar gründlich dokumentiert, sobald sie entdeckt werden, aber Hacker und andere Bedrohungsakteure finden sie oft zuerst, sodass Unternehmen davon kalt erwischt werden können.

Um angesichts dieser Cyberbedrohungen eine proaktivere Sicherheitshaltung einzunehmen, implementieren IT-Teams Programme für das Schwachstellen-Management. Diese Programme folgen einem kontinuierlichen Prozess, um Sicherheitsrisiken zu identifizieren und zu beheben, bevor Hacker sie ausnutzen können. Schwachstellen-Scans sind in der Regel der erste Schritt im Prozess des Schwachstellen-Managements und decken die Sicherheitslücken auf, die IT- und Sicherheitsteams beheben müssen. 

Viele Sicherheitsteams verwenden Schwachstellenscans auch für die folgenden Zwecke:

• Validierung der Sicherheitsmaßnahmen und -kontrollen – Nach der Einführung neuer Kontrollen führen die Teams häufig einen weiteren Scan durch. Dieser Scan bestätigt, ob die identifizierten Sicherheitslücken behoben sind. Er bestätigt auch, dass die Sanierungsmaßnahmen keine neuen Probleme verursacht haben.
   

• Einhaltung von Vorschriften: Einige Vorschriften verlangen ausdrücklich Schwachstellen-Scans. Der Payment Card Industry Data Security Standard (PCI-DSS) schreibt beispielsweise vor, dass Unternehmen, die Daten von Karteninhabern verarbeiten,vierteljährliche Scans durchführen müssen (Link befindet sich außerhalb von ibm.com).

Es gibt viele verschiedene Arten von Scannern, und Sicherheitsteams verwenden häufig eine Kombination verschiedener Tools, um sich ein umfassendes Bild von Netzwerkschwachstellen zu machen. 

Einige Scanner konzentrieren sich auf bestimmte Arten von Assets. Cloud-Scanner richten ihren Fokus beispielsweise auf Cloud-Services, während Tools zum Scannen von Webanwendungen nach Schwachstellen in Web-Apps suchen. 

Scanner können lokal installiert oder als Software-as-a-Service (SaaS) -Apps bereitgestellt werden. Sowohl Open-Source-Schwachstellen-Scanner als auch kostenpflichtige Tools sind weit verbreitet. Einige Unternehmen beauftragen auch Drittanbieter mit dem gesamten Schwachstellen-Scanning.

Obwohl Schwachstellen-Scanner als Einzellösungen erhältlich sind, bieten Anbieter sie zunehmend als Teil von ganzheitlichen Suites für das Schwachstellen-Management an. Diese Tools kombinieren mehrere Arten von Scannern mit Angriffsflächenmanagement, Asset-Management, Patch-Management und anderen wichtigen Funktionen in einer Lösung. 

Viele Scanner unterstützen Integrationen mit anderen Cybersicherheitstools wie SIEMs (Security Information and Event Management Systems) und Endpoint Detection and Response (EDR).

Sicherheitsteams können je nach Bedarf verschiedene Arten von Scans durchführen. Zu den häufigsten Arten von Schwachstellenscans gehören: 

• Externe Schwachstellenscans betrachten das Netzwerk von außen. Sie konzentrieren sich auf Schwachstellen in internetbasierten Assets wie Web-Apps und testen Perimeterkontrollen wie Firewalls. Diese Scans zeigen, wie ein externer Hacker in ein Netzwerk eindringen könnte.
   

• Interne Schwachstellen-Scans untersuchen Schwachstellen innerhalb des Netzwerks. Sie geben Aufschluss darüber, was ein Hacker tun könnte, wenn er in das System eindringt, wie er sich seitlich bewegen könnte und welche sensiblen Informationen er bei einer Datenschutzverletzung stehlen könnte.
   

• Authentifizierte Scans, auch „Scans mit Anmeldedaten“ genannt, erfordern die Zugriffsrechte eines autorisierten Benutzers. Anstatt eine Anwendung nur von außen zu betrachten, kann der Scanner sehen, was ein angemeldeter Benutzer sehen würde. Diese Scans veranschaulichen, was ein Hacker mit einem gestohlenen Konto tun könnte oder wie eine Insider-Bedrohung Schaden anrichten könnte. 
   

• Unauthentifizierte Scans, auch „Scans ohne Anmeldedaten“ genannt, haben keine Zugriffsberechtigungen oder Privilegien. Sie sehen die Assets nur aus der Perspektive eines Außenstehenden. Sicherheitsteams können sowohl interne als auch externe unauthentifizierte Scans durchführen.

Zwar hat jede Art von Scan ihre eigenen Anwendungsfälle, aber es gibt einige Überschneidungen, und sie können kombiniert werden, um verschiedene Zwecke zu erfüllen. Ein authentifizierter interner Scan würde zum Beispiel die Perspektive einer Insider-Bedrohung zeigen. Im Gegensatz dazu würde ein nicht authentifizierter interner Scan zeigen, was ein böswilliger Hacker sehen würde, wenn er in das Netzwerk eindringen würde.

Schwachstellen-Scanning und Penetrationstests sind unterschiedliche, aber verwandte Formen von Netzwerksicherheitstests . Obwohl sie unterschiedliche Funktionen haben, nutzen viele Sicherheitsteams beide als gegenseitige Ergänzung. 

Bei Schwachstellenscans handelt es sich um automatisierte, umfassende Scans von Assets. Sie finden Fehler und melden sie dem Sicherheitsteam. Penetrationstests oder Pentests sind ein manueller Prozess. Sogenannte Pentester nutzen ethische Hacking-Skills, um nicht nur Schwachstellen im Netzwerk zu finden, sondern diese auch in simulierten Angriffen auszunutzen. 

Schwachstellenscans sind kostengünstiger und einfacher durchzuführen, weshalb Sicherheitsteams sie verwenden, um ein System im Auge zu behalten. Penetrationstest erfordern mehr Ressourcen, können den Sicherheitsteams jedoch helfen, ihre Netzwerkfehlern besser zu verstehen.

In Kombination können Schwachstellenscans und Pentests das Schwachstellen-Management effektiver gestalten. Beispielsweise bieten Schwachstellenscans Pentestern einen nützlichen Ausgangspunkt. In der Zwischenzeit können Penetrationstests den Scan-Ergebnissen mehr Kontext verleihen, indem sie falsch-positive Ergebnisse aufdecken, Ursachen identifizieren und untersuchen, wie Cyberkriminelle Schwachstellen in komplexeren Angriffen miteinander verknüpfen können.