Das Schwachstellenmanagement hat sich im Laufe der Jahre kaum verändert. In der Regel werden Scans nach einem festen Zeitplan durchgeführt, anschließend werden die Ergebnisse geprüft und Risiken priorisiert, bevor die Schwachstellen im nächsten verfügbaren Wartungsfenster behoben werden. Dieses Modell wurde für eine Zeit entwickelt, in der Vorhersehbarkeit eine größere Rolle spielte. Software verändert sich heute jedoch nicht mehr nach planbaren Zeitplänen. Täglich kommen neue Anwendungen hinzu, Updates werden fortlaufend durchgeführt und Bedrohungsakteure warten nicht bis zum nächsten Scan.
Dennoch arbeiten viele Programme für das Schwachstellenmanagement weiterhin nach genau diesem Prinzip.
Warum scanbasiertes Schwachstellenmanagement an seine Grenzen stößt
Das scanbasierte Schwachstellenmanagement hat sich zum Branchenstandard entwickelt, weil es praktikabel und leicht messbar war. Regelmäßige Scans verschafften Sicherheitsteams einen klaren Überblick über bestehende Risiken und ermöglichten strukturierte Berichtszyklen zur Erfüllung von Compliance-Anforderungen. Sämtliche Arbeitsabläufe wurden an diesem Zeitplan ausgerichtet, angefangen bei der Priorisierung und Behebung von Schwachstellen bis hin zur Berichterstattung an die Geschäftsleitung. Dieses Modell funktionierte gut in Umgebungen, die sich nur langsam veränderten und daher einfacher zu verwalten waren.
Ursprünglich wurde das Schwachstellenscanning für zentralisierte Infrastrukturen entwickelt, in denen Änderungen nur selten vorgenommen wurden und sich Systeme leichter überwachen ließen. Gleichzeitig festigten Compliance-Programme dieses Modell, indem sie regelmäßige Scans und formalisierte Berichtszyklen vorschrieben. Der Ansatz verbesserte zwar erfolgreich die Transparenz, war jedoch nie darauf ausgelegt, die Geschwindigkeit der Schwachstellenbehebung zu optimieren.
Sie können das Fenster schließen und die Tür abschließen
Bei herkömmlichen Modellen werden Schwachstellen im Rahmen geplanter Scans erkannt, die häufig in regelmäßigen Abständen durchgeführt werden. Am weitesten verbreitet sind wöchentliche und monatliche Scans. So entsteht zwangsläufig eine vorhersehbare Lücke zwischen Änderungen an der Software und der Erkennung der daraus resultierenden Risiken. Dies ist nicht auf mangelnde Sorgfalt zurückzuführen, sondern darauf, dass das System auf periodischen Kontrollen basiert.
Da Geräte heute über verschiedene Standorte verteilt sind und fortlaufend Änderungen vorgenommen werden, erhöht jede Verzögerung das Risiko. Wenn Sie wissen, dass jemand versucht, in Ihr Haus einzubrechen, warum sollten Sie dann das Fenster geöffnet und die Tür unverschlossen lassen, bis die nächste Kontrolle stattfindet?
Wie bereits erwähnt, werden Scans in der Branche häufig wöchentlich oder monatlich durchgeführt. In vielen Umgebungen erstrecken sich die Expositionszeiträume zwischen den einzelnen Erkennungszyklen daher über 15 bis 30 Tage. Während dieses Zeitraums können neue Schwachstellen bereits öffentlich bekannt sein, während ihre aktive Ausnutzung zunehmend schneller erfolgt. Die Zahl der CVEs steigt von Jahr zu Jahr weiter an, während sich gleichzeitig die Zeitspanne bis zur Ausnutzung einer Schwachstelle verkürzt. Traditionell basiert das Schwachstellenmanagement auf einer periodischen Erkennung. Das bedeutet, dass Risiken erst identifiziert werden, nachdem bereits eine Gefährdung besteht. Das Modell wurde somit in erster Linie für regelmäßige Berichtszyklen und nicht für eine unmittelbare Reaktion optimiert.
Das Problem ist nicht die Transparenz, sondern die Verzögerung
Die meisten Unternehmen verfügen bereits über Tools zur Erkennung von Schwachstellen. Gebremst werden sie jedoch durch die Zeitspanne zwischen der Erkennung und der Einleitung konkreter Maßnahmen. In herkömmlichen Arbeitsabläufen sind Scanning, Berichterstellung und Behebung häufig auf verschiedene Systeme verteilt. Bevor Maßnahmen ergriffen werden können, müssen die Ergebnisse daher zwischen unterschiedlichen Teams und Tools weitergeleitet werden. Diese Reibungsverluste führen zu Verzögerungen, die wiederum den Expositionszeitraum verlängern.
Je länger es dauert, eine bekannte Schwachstelle zu beheben, desto größer wird das Zeitfenster, in dem sie ausgenutzt werden kann. Transparenz allein reduziert das Risiko nicht, eine schnelle Reaktion hingegen schon.
Die Erkennung von Schwachstellen sollte durch Änderungen ausgelöst werden
NinjaOne verfolgt einen anderen Ansatz. Anstatt sich auf regelmäßige Scanzyklen zu verlassen, gleicht die Plattform aktuelle Softwaredaten von Endpunkten kontinuierlich mit den neuesten CVE-Informationen ab. Die Erkennung potenzieller Schwachstellen wird somit durch Softwareänderungen und nicht durch festgelegte Scanzeitpläne ausgelöst. So werden Risiken bereits wenige Minuten nach einer Änderung sichtbar und nicht erst mehrere Wochen später. Mit diesem Ansatz sind Scans keine Voraussetzung mehr, um Transparenz über Schwachstellen zu erhalten.
Von einer Berichterstattungskette zu einem kontinuierlichen operativen Kreislauf
Der entscheidendere Wandel zeigt sich jedoch im anschließenden Prozess. Das herkömmliche Schwachstellenmanagement folgt häufig einer linearen Prozesskette: Zunächst wird ein Scan durchgeführt, anschließend werden die Ergebnisse exportiert und Tickets erstellt, bevor die Schwachstellen zu einem späteren Zeitpunkt behoben werden. NinjaOne bindet die Schwachstellenerkennung hingegen direkt in die Patch-Workflows ein. So erfolgen Erkennung und Behebung innerhalb desselben operativen Systems. Die IT ist für die Erkennung und Behebung verantwortlich, während SecOps die Maßnahmen validiert und überwacht. Auf diese Weise wird das Schwachstellenmanagement zu einem kontinuierlichen Kreislauf und nicht zu einer periodischen Berichtsaufgabe.
Vereinfachung ist ein Sicherheitsvorteil
Im Bereich der Cybersicherheit wird Vereinfachung häufig fälschlicherweise mit Kompromissen gleichgesetzt. Tatsächlich kann die Reduzierung der betrieblichen Komplexität die Sicherheitslage verbessern, da sie schnellere Reaktionen ermöglicht.
Herkömmliche Lösungen für das Schwachstellenmanagement umfassen häufig eine Vielzahl unterschiedlicher Tools, darunter Scanner, Reporting-Systeme, Plattformen zur Schwachstellenbehebung und Compliance-Lösungen. Jedes dieser Tools kann zwar die Transparenz erhöhen, trägt jedoch gleichzeitig zu einer größeren betrieblichen Komplexität bei. Indem NinjaOne die Erkennung von Schwachstellen in das Endpunkt-Management integriert, reduziert die Plattform die Anzahl der benötigten Tools und beseitigt unnötige Übergaben zwischen Systemen und Teams. Das Ergebnis sind eine schnellere Behebung von Schwachstellen sowie ein einfacheres und stärker vereinheitlichtes Sicherheitsmodell.
Ein neuer Ansatz für das Schwachstellenmanagement
Über lange Zeit galt das Scanning als Ausgangspunkt des Schwachstellenmanagements und als beste Methode, um Risiken zu identifizieren. Die Rahmenbedingungen haben sich jedoch verändert. Software entwickelt sich kontinuierlich weiter, Endpunkte sind über unterschiedliche Standorte verteilt und Schwachstellen werden immer schneller ausgenutzt. Scans bleiben daher weiterhin sinnvoll, müssen jedoch nicht mehr zwingend den ersten Schritt darstellen.
Wenn die Erkennung von Schwachstellen durch konkrete Änderungen ausgelöst wird und ihre Behebung innerhalb desselben operativen Workflows erfolgt, verkürzen sich die Expositionszeiträume von mehreren Wochen auf wenige Minuten. So entwickelt sich das Schwachstellenmanagement von einer primär auf Berichterstattung ausgerichteten Disziplin zu einem operativen und kontinuierlichen Prozess.
Der Begriff „Paradigmenwechsel“ wird im Marketing für Cybersicherheitslösungen häufig überstrapaziert und oftmals bereits für geringfügige Verbesserungen oder schnellere Dashboards verwendet. In diesem Zusammenhang bezeichnet er jedoch einen grundlegenden Wandel: weg von punktuellen Prüfungen und hin zu kontinuierlicher Transparenz, fortlaufenden Prozesszyklen und Reaktionen, die durch tatsächliche Änderungen ausgelöst werden.
Das Schwachstellenmanagement wurde für eine langsamere Welt entwickelt. Moderne IT-Umgebungen verändern sich jedoch mit hoher Geschwindigkeit, und NinjaOne ist darauf ausgelegt, mit diesem Tempo Schritt zu halten.
