Sicherheitsteams beheben möglicherweise mehr Schwachstellen, ohne ihr Risiko eines Sicherheitsvorfalls dadurch wesentlich zu verringern, heißt es in einem Artikel von Picus Security. Der Artikel verweist auf einen Gartner-Bericht, dem zufolge weniger als 10 % der Schwachstellen ausgenutzt werden, viele jedoch weiterhin als dringend behandelt werden. Außerdem heißt es, dass CVSS-Werte allein weder die Ausnutzung noch die geschäftlichen Auswirkungen zuverlässig anzeigen.
Gartner prognostiziert, dass Unternehmen, die bis 2028 Sicherheitslücken anhand von Bedrohungsinformationen, dem Kontext von Assets, Modellen zur Ausnutzbarkeit und der Validierung von Sicherheitskontrollen priorisieren, die Wahrscheinlichkeit eines Sicherheitsvorfalls im Vergleich zu Unternehmen, die sich hauptsächlich auf eine Priorisierung anhand von CVSS stützen, um mindestens 70 % senken werden.
Die vier Elemente des Frameworks beantworten unterschiedliche Fragen. Bedrohungsinformationen identifizieren Schwachstellen, die von Angreifern ausgenutzt werden. Der Asset-Kontext zeigt, ob ein betroffenes System kritische Betriebsabläufe unterstützt, regulierte Daten verarbeitet oder einen Zugang zu wertvolleren Systemen bietet. Modelle zur Ausnutzbarkeit, etwa EPSS, schätzen die Wahrscheinlichkeit einer Ausnutzung ein, während die Validierung von Sicherheitskontrollen prüft, ob ein Angriff in der konkreten Umgebung eines Unternehmens erfolgreich sein könnte.
Der Artikel warnt, dass Ausnutzbarkeitswerte Schätzungen und kein Beweis sind. Sie können dabei helfen, Sicherheitslücken für weitere Tests zu identifizieren; eine Validierung ist jedoch erforderlich, um festzustellen, was in einer bestimmten Umgebung ausnutzbar ist. Bei dieser Bewertung sollten bestehende Abwehrmaßnahmen berücksichtigt werden, darunter Segmentierung, Endpunktschutz, Erkennungsabdeckung und Identitätskontrollen.
Picus zufolge führt seine Plattform die vier Elemente in einem kontinuierlichen Prozess aus Erkennung, Validierung, Priorisierung und Mobilisierung von Abhilfemaßnahmen zusammen. Zu den Validierungsansätzen gehören Tests realer Angriffspfade auf erreichbare Produktions-Assets und die Bewertung von Angriffstechniken anhand der Kontrollen, ohne einen Exploit auszuführen. Das Unternehmen erklärt, dass diese Methoden evidenzbasierte Bewertungen für Assets liefern können, die nicht gefahrlos live getestet werden können.
Picus berichtet außerdem über Ergebnisse seiner Kunden. Dazu zählen Kontrollen, die innerhalb von drei Monaten ungefähr doppelt so viele Angriffe blockierten oder erkannten, eine Verringerung der Reaktionszeit auf neu auftretende Bedrohungen um 89 % und eine Abnahme versäumter Fristen zur Behebung kritischer und schwerwiegender Schwachstellen um 92 %. Dem Artikel zufolge konnte ein Kunde seinen Rückstand an kritischen Tickets um 98 % reduzieren; diese Zahlen stammen aus Unternehmensangaben.
Quellen: The Hacker News.