Schwachstellenmanagement, das mit Behebungen endet, nicht mit einer längeren Liste
Eine regelmäßige Prüfung Ihrer Systeme, durchgeführt von Menschen: Wir scannen, trennen Echtes von Rauschen, bewerten nach tatsächlicher Ausnutzbarkeit und verfolgen jede Feststellung, bis sie geschlossen ist.
Überblick
Wozu eine Schwachstellenprüfung dient
Ein Scanner liefert Feststellungen. Die meisten Organisationen haben mehr davon als Zeit, und der monatliche Bericht wird einmal gelesen und abgelegt. Die eigentliche Arbeit besteht darin, zu entscheiden, welche wenigen in diesem Monat zählen, und dafür zu sorgen, dass sie behoben werden.
Black Fox führt Schwachstellenprüfungen in einem von Ihnen gewählten Rhythmus durch, zum Beispiel monatlich. In jedem Zyklus scannen wir den vereinbarten Umfang, bestätigen und sortieren die Ergebnisse, bewerten sie nach Ausnutzbarkeit und Exposition des betroffenen Systems und stimmen die Behebung mit den zuständigen Teams ab.
Das ist kein Penetrationstest. Eine Prüfung findet bekannte Schwachstellen in einer großen Umgebung, immer wieder; ein Penetrationstest geht in die Tiefe und zeigt, was ein Angreifer verketten könnte. Viele Kunden nutzen beides, und die Prüfung zeigt, wo der nächste Test ansetzen sollte.
Für wen es gedacht ist
Organisationen mit mehr Systemen als Menschen, die sie im Blick behalten, Teams, die bereits einen Scanner besitzen, aber keine Zeit für seine Ergebnisse haben, und alle, deren Rahmenwerk regelmäßiges Schwachstellenmanagement erwartet, wie es in Programmen nach ISO/IEC 27001, SOC 2, PCI DSS und NIS2 üblich ist.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Umfang und Inventar
Wir legen fest, was geprüft wird, zum Beispiel externe Systeme, interne Netze, Cloud-Konten und Webanwendungen, und halten das Inventar aktuell, wenn sich etwas ändert.
Regelmäßige Scans
Authentifizierte und nicht authentifizierte Scans im vereinbarten Rhythmus, abgestimmt auf Ihre Wartungsfenster und Änderungssperren.
Triage
Wir entfernen Fehlalarme und Dubletten, prüfen ernst aussehende Feststellungen von Hand und ergänzen den Kontext, den ein Scanner nicht kennt.
Priorisierung
Bewertet wird danach, ob eine Schwachstelle bekanntermaßen ausgenutzt wird, wie erreichbar das System ist und was es enthält, nicht allein nach dem Wert des Scanners.
Nachverfolgung
Wir begleiten Ihre Systemverantwortlichen bei jeder Behebung, vereinbaren Zieltermine mit ihnen und prüfen das Ergebnis beim nächsten Scan.
Trendberichte
Ein Blick über mehrere Zyklen: was offen ist, was sich schließt, was wiederkommt und wo dieselbe Ursache immer wieder auftaucht.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Umfang, Rhythmus, Verantwortliche und Spielregeln und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Ausgangslage
Ein erster vollständiger Scan mit Triage zeigt, wo Sie heute stehen, und ordnet den Rückstand so, dass Sie ihn abarbeiten können.
Regelmäßige Zyklen
In jedem Zyklus scannen, sortieren und bewerten wir und übergeben neue und geänderte Feststellungen an die richtigen Verantwortlichen.
Abstimmungstermin
Eine kurze Runde mit Ihren Teams pro Zyklus, um Prioritäten festzulegen, Risiken anzunehmen oder abzulehnen und festgefahrene Behebungen zu lösen.
Verifikation
Was behoben wurde, scannen wir erneut, und geschlossen wird es erst, wenn die Nachweise es belegen.
Rückschau
In vereinbarten Abständen betrachten wir mit Ihnen die Trends und passen Umfang, Rhythmus und Prioritäten an.
Was Sie erhalten
- Vereinbarter Umfang und Inventar
- Bericht zur Ausgangslage mit priorisiertem Rückstand
- Bericht pro Zyklus über neue, offene und geschlossene Feststellungen
- Übersicht der Behebungen mit Verantwortlichen, Zielterminen und Prüfstatus
- Dokumentierte Risikoakzeptanz für bewusst nicht behobene Feststellungen
- Trendbericht für Geschäftsleitung und Auditoren
Fragen
Was unterscheidet das von einem Penetrationstest?
Eine Schwachstellenprüfung ist breit und wiederkehrend: Sie sucht in jedem Zyklus nach bekannten Schwachstellen im gesamten Umfang. Ein Penetrationstest ist tief und punktuell: Ein Tester versucht einzudringen und zeigt, was sich verketten lässt. Beide beantworten unterschiedliche Fragen und ergänzen sich gut.
Beheben Sie die Schwachstellen selbst?
Die Systeme gehören Ihren Teams, also nehmen diese die Änderungen vor. Wir sagen, was zu ändern ist und warum, helfen bei Bedarf bei der Umsetzung und prüfen das Ergebnis. Härtungsarbeiten können separat vereinbart werden, wenn wir mehr davon übernehmen sollen.
Welche Scanner setzen Sie ein?
Das hängt von Ihrer Umgebung ab. Wir arbeiten mit Ihren vorhandenen Werkzeugen oder bringen eigene mit und sortieren die Ergebnisse in beiden Fällen. Wichtiger als der Scanner ist, was mit seinen Feststellungen geschieht.
Sagen Sie feste Behebungszeiten zu?
Nein. Behebungszeiten hängen von Ihren Teams und Ihrem Änderungsprozess ab. Wir vereinbaren Zieltermine mit jedem Verantwortlichen, verfolgen sie und berichten offen, wenn sie sich verschieben.
Verwandte Leistungen
- Offensive SicherheitPenetrationstestsPenetrationstests von Black Fox Security: Black-, Grey- und White-Box-Tests im vereinbarten Umfang, Management- und Technikbericht sowie Nachtest Ihrer Korrekturen.
- Managed SecuritySystemhärtungSystemhärtung von Black Fox Security: Endgeräte, Server und Netzwerke, sichere Konfigurationsbaselines, Aufbau von Monitoring und persönliche Sicherheit.
- Managed SecurityKontinuierliche ComplianceKontinuierliche Compliance mit Black Fox Security: Nachweiskalender, interne Audits, Kontrolltests, Richtlinienprüfung und Unterstützung bei Überwachungsaudits.
Beginnen Sie mit der Ausgangslage
Erzählen Sie uns, was Sie betreiben und wie es verwaltet wird. Der erste Zyklus zeigt Ihnen, wo Sie stehen und was zuerst behoben werden sollte.