Grundlagen effektiven Schwachstellenmanagements
Die enorme Zunahme an neuen Schwachstellen hat die Anforderungen an den Umgang mit ihnen verändert: Die zentrale Aufgabe heute heißt Priorisierung.
- Leonard Frank
- Mirko Casper
Wie wichtig ein funktionierendes Schwachstellenmanagement ist, lässt sich am eindrucksvollsten anhand der im Dezember 2021 in Log4j entdeckten und Log4Shell benannten Schwachstelle erklären. Denn es handelte sich hier nicht einfach nur um eine weitere gefährliche Schwachstelle – Log4Shell war ein Weckruf für die Industrie und hat den Blick vieler Unternehmen auf das Thema Schwachstellenmanagement nachhaltig verändert. Das liegt vor allem an drei Aspekten: der Ausnutzbarkeit, der Verbreitung und der Erkennbarkeit.
Schon die Ausnutzbarkeit erschreckt, weil sie so einfach möglich war: Wer eine Anwendung betreibt, ist in der Regel auf Logs angewiesen, um Fehler erkennen und untersuchen zu können. Das gilt ganz besonders, wenn die Anwendung direkt aus dem Internet erreichbar ist. Denn solche Anwendungen werden häufig Ziel von Angriffen, die man ebenfalls aus den Logs erkennen und auf die man entsprechend reagieren kann. Dafür muss das Log natürlich auch die nötigen Informationen enthalten, etwa Benutzernamen, bei denen fehlgeschlagene Log-in-Versuche bemerkt wurden, oder den Useragent-String des Browsers, wenn man etwa herausfinden will, welche Browserversionen einen bestimmten Fehler verursachen.
Das Problem: Alle diese Informationen stellt der Client bereit, ein Angreifer kann sich ihrer frei bedienen. Die Folgen sind immens, denn im einfachsten Fall reicht es aus, eine entsprechende Zeichenkette in ein Eingabefeld auf einer Webseite einzufügen, um die Kontrolle über das dahinterliegende System zu erlangen. Die Einfachheit des Angriffs und das Ausmaß der Folgen ergaben ein Risiko, das kein potenziell betroffenes Unternehmen ignorieren konnte – und potenziell betroffen waren erst mal alle.
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Fahrrad zum E-Bike aufrüsten: Drei Nachrüstmotoren im Test
Informatiker im Öffentlichen Dienst: Aufgaben, Gehälter und Verbeamtung
Elektroauto Fiat 600e im Test: Außen Retro, innen Zukunft?
PyTorch: Eigene Bildgenerierungs-KI mit Python bauen
Gehälter 2024: Das verdienen Admins in Deutschland
Wandel bei Wärmepumpen: Neue Kältemittel, ohne Kompressor und mit KI
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Fahrrad zum E-Bike aufrüsten: Drei Nachrüstmotoren im Test
Informatiker im Öffentlichen Dienst: Aufgaben, Gehälter und Verbeamtung
Elektroauto Fiat 600e im Test: Außen Retro, innen Zukunft?
PyTorch: Eigene Bildgenerierungs-KI mit Python bauen
Gehälter 2024: Das verdienen Admins in Deutschland