Belangrijkste punten
- Vulnerability management is een cyclisch proces (asset discovery, CVSS-scores, testen, monitoring van threat intelligence, herstel en herbeoordeling) dat is opgebouwd rond CVE’s en CVSS-scores.
- Exposure management bekijkt risico’s vanuit het perspectief van de aanvaller en valideert of verkeerde configuraties, systeemfouten en afhankelijkheden van derden daadwerkelijk schade aan de business kunnen toebrengen.
- Exposure management en vulnerability management vullen elkaar aan: het eerste bouwt voort op bestaande kwetsbaarheidsgegevens en beveiligingsinfrastructuur.
- IT-teams moeten de volwassenheid van hun tools, hun herstelcapaciteit en de risicogaten rond cloud, identiteit en SaaS beoordelen voordat zij verder gaan dan traditioneel vulnerability management.
Beveiligingsprogramma’s beschermen de basis van uw bedrijfsvoering. Wie het verschil kent tussen exposure management vs. vulnerability management (en weet wanneer hij wat inzet), stelt IT-teams in staat om efficiënt te prioriteren en te herstellen en middelen optimaal in te zetten voor compliance en bedrijfscontinuïteit.
Wat is vulnerability management en hoe verschilt het van exposure management?
Wat vulnerability management inhoudt
Vulnerability management is het doorlopende, cyclische proces van het identificeren, beoordelen, prioriteren en verhelpen van bekende zwakke plekken in de endpoints en applicaties van uw infrastructuur. Het is een meer traditionele vorm van beveiligingsmonitoring waarbij fouten in het besturingssysteem (OS) en in software centraal staan.
Vulnerability management bestaat uit zes fasen:
- Voer asset discovery en inventarisatie uit.
- Gebruik het Common Vulnerability Scoring System (CVSS) om bijbehorende risico’s te beoordelen en bevindingen te ordenen.
- Test uw systemen regelmatig op verborgen exploits en grote kwetsbaarheden.
- Gebruik threat intelligence-platforms om continu te scannen op nieuwe systeemfouten.
- Accepteer, beperk of verhelp gevonden kwetsbaarheden.
- Plan de volgende herbeoordeling van uw systeem in om nieuwe risico’s op te sporen.
Deze aanpak beschermt het procedurele fundament van de meeste enterpriseomgevingen en levert een consistent audittrail op voor het bijhouden van compliance. Toch kan monitoring op basis van CVSS duizenden systemen als kritiek markeren, wat leidt tot ongerichte patchrondes die dagen of weken kunnen duren.
Wat exposure management inhoudt
Exposure management is de proactieve strategie waarbij u de exploits met de hoogste waarde in een systeem valideert om bedrijfskritische functies te beschermen. Deze moderne aanpak wil de beveiliging zo veel mogelijk verharden en gaat uit van het perspectief van de aanvaller.
In de State of Exposure Management Study van Brinqa werden 200 cybersecurityleiders ondervraagd. Een overweldigende meerderheid (93%) was het erover eens dat exposure management een topprioriteit voor de business is en dat is goed te begrijpen.
Exposure management kijkt naar alle risicofactoren van een organisatie en maakt onderscheid tussen risico’s die u kunt accepteren en risico’s die onmiddellijk actie vragen. Beleid voor IT-systemen, social engineering, verkeerde configuraties, externe SaaS en controles op geprivilegieerde toegang maken allemaal deel uit van het kader van exposure management.
Om exposure management te integreren, moeten IT-teams:
- Een volledige asset-inventarisatie uitvoeren met een tool voor External Attack Surface Management (EASM).
- cloud security posture management (CSPM) toevoegen om verkeerde configuraties in AWS-, Azure- en GCP-omgevingen op te sporen.
- Tools voor identiteitsbeveiliging integreren om accounts met te veel rechten, verouderde referenties en AD-fouten te detecteren.
- Bevindingen koppelen aan mogelijke aanvalspaden om te begrijpen hoe zwakke plekken zich aaneenrijgen.
- Herstelwerkzaamheden prioriteren op basis van de meest essentiële bedrijfsonderdelen (de zogeheten “crown jewel”-assets).
Kernfunctie: kwetsbaarheden detecteren en verhelpen
Wat vulnerability management goed doet, is de systematische manier waarop het systeemfouten opspoort en die risico’s op grote schaal wegneemt. Daarnaast ontstaat zo een overzicht van alle softwarefouten die u moet analyseren nadat u een product of dienst hebt uitgebracht.
Kernfunctie: risico’s prioriteren met context
Exposure management snijdt door de ruis van enorme datasets heen en richt zich op de beveiligingsgaten die uw bedrijf echt kunnen raken. Bovendien geeft het voorrang aan context, exploiteerbaarheid en prioritering waardoor u uw middelen werkelijk optimaal benut.
Risico’s verkleinen over het hele aanvalsoppervlak
Een fundamenteel verschil tussen beide disciplines ligt in hun reikwijdte. Waar vulnerability management van nature draait om assets, stelt exposure management de vraag: “Maar waar kan een aanvaller daadwerkelijk komen en schade aanrichten?”
Nu digitale ecosystemen snel groeien door afhankelijkheid van SaaS, cloudadoptie en onderling verbonden digitale diensten, boeken traditionele beheeraanpakken buiten compliancechecklists minder resultaat. Continuous Threat Exposure Management (CTEM) overbrugt dat gat.
Daarnaast brengt exposure management in kaart hoe afzonderlijke zwakke plekken met elkaar samenhangen, wat een vollediger beeld oplevert. Een verkeerd geconfigureerde S3-bucket, de referenties van het bijbehorende serviceaccount en laterale beweging richting productieomgevingen gelden niet als drie losse problemen maar als één doorlopend pad.
Met dit kader kunnen cybersecurityteams:
- Tools voor attack path analysis inzetten
- Prioriteit geven aan het dichten van knelpunten
- Elk kwartaal hun externe aanvalsoppervlak beoordelen
- SaaS-risico’s van derden opnemen in de reikwijdte van hun exposure management.
Integratie met bestaande security operations
Exposure management is bedoeld als laag bovenop bestaande beveiligingsmaatregelen om kwetsbaarheidsgegevens te verrijken en zakelijke context toe te voegen. Die uitbreiding verkleint uiteindelijk het risico, maar alleen als u uw bestaande stack goed benut.
Neem CVE- en niet-CVE-bevindingen, exploits uit andere beveiligingsplatforms, verkeerde configuraties en threat intelligence mee voor volwaardig en continu threat exposure management.
Zorg dat IT-teams de cirkel rond maken tussen het detecteren en het verhelpen van kwetsbaarheden.
Lees hoe NinjaOne vulnerability management voor endpoints stroomlijnt.
Waar IT-teams rekening mee moeten houden
Voordat u beheerstrategieën vervangt, integreert of uitbreidt, moet u het volgende overwegen:
- Is uw toolset voor vulnerability management volwassen genoeg voor een overstap?
- Kan uw IT-team de dreigingen die het vindt ook daadwerkelijk verhelpen?
- Loopt u risico’s rond cloud, identiteit of SaaS die buiten de CVE-scope vallen?
- Kunt u risico’s in zakelijke termen uitleggen?
Veelgehoorde misverstanden over exposure en vulnerability management
“Exposure management vervangt vulnerability management.”
Door dit idee stappen organisaties soms te vroeg af van hun fundamentele scanprogramma’s. Hoewel exposure management en vulnerability management qua functie verschillen, vullen ze elkaar aan bij het versterken van uw cybersecurity.
“De CVSS-score bepaalt op zichzelf de prioriteit van herstel.”
Zonder rekening te houden met actieve exploitatie, de haalbaarheid van een aanval en de zakelijke context, leveren de meeste systemen voor vulnerability management prioriteitenlijsten op die het werkelijke risico niet goed weergeven.
“Met een kwetsbaarheidsscanner heb je volledig zicht op je risico’s.”
Terwijl vulnerability management zich doorgaans richt op bekende CVE’s op beheerde endpoints en applicaties, dekt exposure management zowel interne als externe aanvalsoppervlakken en risico’s van derden zoals SaaS.
“Risico’s rond identiteit en configuratie zijn andermans probleem.”
Exposure management beoordeelt alle soorten blootstelling om te bepalen welke de grootste bedreiging vormen voor uw organisatie. Dankzij deze holistische aanpak zet u middelen strategisch in om de bedrijfsvoering te beschermen in plaats van u te richten op severity scores.
“Exposure management is alleen iets voor grote ondernemingen.”
Exposure management schaalt net zo goed omlaag als omhoog. Kleinere organisaties plukken vaak bovengemiddeld veel vruchten van contextuele risicoprioritering wanneer de beveiligingsbezetting beperkt is en organisaties die proactief te werk gaan zien doorgaans tal van voordelen, waaronder:
- Risico’s die op basis van prioriteit afnemen
- Een verhard beveiligingsbeleid
- Meer efficiëntie
- Eenvoudiger aansluiting op compliance
Ken het verschil: exposure management vs. vulnerability management
Vulnerability management richt zich op afzonderlijke assets en pakt problemen aan op basis van CVE’s, terwijl exposure management proactiever te werk gaat door het aanvalsoppervlak te verkleinen en echte bedrijfsrisico’s aan te pakken. Het uitbreiden van uw beveiligingsprogramma kost middelen, maar met gecentraliseerde monitoring verloopt dat proces een stuk soepeler.
Gerelateerde onderwerpen:
- Vulnerability management
- CrowdStrike Spotlight/Exposure Management: installatie en configuratie
- NinjaOne Vulnerability Management: gegevens over Common Vulnerabilities and Exposures (CVE)
- De beste tools voor vulnerability management voor IT-professionals
- De beste tools voor vulnerability management voor IT-professionals (videogids)
