So priorisieren Sie Schwachstellen nach Risiko

Bei der Verwaltung von Schwachstellen setzen viele Sicherheitsteams auf eine einfache Strategie: Sie erfassen die Anzahl der Schwachstellen. Das Zählen liefert eine leicht verständliche Kennzahl, die sich überwachen und berichten lässt. So kann ein Unternehmen seine Sicherheitslage einfach mit der von Mitbewerbern oder Branchenbenchmarks vergleichen. Auch für Compliance-Zwecke ist diese Kennzahl nützlich, da einige Standards die Meldung der Anzahl entdeckter Schwachstellen vorschreiben.

Doch damit enden die Vorteile auch schon. Das Zählen von Schwachstellen hat Einschränkungen, die es für die Bewertung von Cybersicherheitsrisiken ungeeignet machen. Zum einen kann es ein falsches Gefühl der Sicherheit – oder Dringlichkeit – vermitteln. Eine hohe Anzahl von Schwachstellen bedeutet nicht zwangsläufig ein hohes Risiko, wenn sie schwer auszunutzen oder nur von geringer Kritikalität sind. Umgekehrt bedeutet eine geringe Anzahl nicht automatisch ein niedriges Risiko, wenn die Schwachstellen leicht ausnutzbar oder besonders kritisch sind.

Weitere Probleme beim Zählen von Schwachstellen, etwa sich überschneidende Schwachstellen, erschweren eine genaue Ermittlung der Gesamtzahl. Außerdem sind manche Schwachstellen möglicherweise noch nicht entdeckt oder gemeldet worden. Dadurch lässt sich nicht wirklich einschätzen, welchen Sicherheitsrisiken ein Unternehmen ausgesetzt sein könnte.

Teams für Anwendungssicherheit (AppSec) sollten sich nicht allein auf das Zählen von Schwachstellen verlassen, um ihre Unternehmen zu schützen. Stattdessen müssen sie lernen, einen Ansatz namens risikobasierte Priorisierung einzusetzen, bei dem das tatsächliche Risiko jeder Schwachstelle bewertet wird. In diesem Leitfaden erläutern wir die Vorteile der risikobasierten Priorisierung und zeigen Ihnen, wie Sie sie in Ihrem Unternehmen einführen können. 

Warum risikobasierte Priorisierung für eine effektive Schwachstellenverwaltung erforderlich ist 

Die risikobasierte Priorisierung ist dem herkömmlichen Zählen von Schwachstellen überlegen, weil sie Schwachstellen anhand des von ihnen ausgehenden Risikos bewertet, einordnet und behebt, statt alle potenziellen Bedrohungen zusammenzuzählen – auch solche, die möglicherweise nicht unmittelbar relevant oder schwerwiegend sind. Dabei werden Faktoren wie Ausnutzbarkeit, Auswirkungen auf das Geschäft und Datenvertraulichkeit berücksichtigt. So können AppSec-Teams ihre begrenzten Ressourcen auf die Bedrohungen konzentrieren, die den größten Schaden anrichten würden. 

Darüber hinaus verringert die risikobasierte Priorisierung die Alarmmüdigkeit. Die Überwachung sämtlicher Schwachstellen überhäuft Sicherheitsteams häufig mit einer Flut von Warnmeldungen, sodass wichtige Hinweise ignoriert oder übersehen werden. Die risikobasierte Priorisierung löst dieses Problem, indem sie Sicherheitsteams ermöglicht, sich auf Bedrohungen mit dem höchsten Risiko zu konzentrieren.

Ein weiterer Vorteil der risikobasierten Priorisierung: Sie fördert die teamübergreifende Zusammenarbeit, indem sie ein gemeinsames Risikoverständnis schafft. Wenn alle Beteiligten – einschließlich der AppSec- und Entwicklungsteams – die möglichen Folgen von Schwachstellen klar verstehen, können sie sich darauf verständigen, wie die kritischsten Probleme am besten zu beheben sind.

Wichtige Schritte zur Einführung einer risikobasierten Priorisierung 

Mit einem risikobasierten Priorisierungsansatz können Sie die Cybersicherheitslage Ihres Unternehmens in sieben einfachen Schritten verbessern:

1. Verschaffen Sie sich einen umfassenden Überblick

2. Berücksichtigen Sie den Geschäftskontext

3. Analysieren Sie die Ergebnisse von Sicherheitstests

4. Bewerten Sie Laufzeit-Risikoinformationen

5. Entwickeln Sie ein Risikobewertungsmodell

6. Legen Sie Priorisierungskriterien fest

7. Verfeinern Sie den Ansatz kontinuierlich

1. Verschaffen Sie sich einen umfassenden Überblick

Um Schwachstellen zu finden, müssen Sie wissen, wo sie auftreten können. Der erste Schritt besteht daher darin, sich einen klaren Überblick über Ihre Anwendungsumgebung zu verschaffen. Listen Sie dazu alle Anwendungen auf, die Ihr Unternehmen nutzt, und führen Sie anschließend die Softwarekomponenten jeder Anwendung auf, etwa Open-Source-Bibliotheken, Tools von Drittanbietern und APIs. So erhalten Sie einen besseren Überblick darüber, wo Schwachstellen auftreten oder verborgen sein könnten. Machen Sie sich schließlich damit vertraut, wie die verschiedenen Komponenten Ihres Systems miteinander interagieren, um den Umfang potenzieller Risiken besser einzuschätzen. 

2. Berücksichtigen Sie den Geschäftskontext

Alle Schwachstellen sind unerwünscht, doch sie bergen nicht alle dasselbe Risiko. Um Risiken zu priorisieren, müssen Sie ermitteln, welche Anwendungen für den Geschäftsbetrieb am wichtigsten sind. Je entscheidender eine Anwendung für zentrale Geschäftsabläufe und die Umsatzgenerierung ist, desto mehr Aufmerksamkeit verdient sie. Schätzen Sie die möglichen Folgen im schlimmsten Fall ein: Ausfallzeiten, finanzielle Verluste oder Rufschädigung. Priorisieren Sie Schwachstellen, die Anwendungen mit sensiblen Daten bedrohen, etwa Anwendungen mit Finanzdaten von Kunden oder personenbezogenen Daten (PII), sowie Anwendungen mit weitreichendem Zugriff auf Ihre Systeme.

3. Analysieren Sie die Ergebnisse von Sicherheitstests

Jetzt können Sie mit Sicherheitstests für Anwendungen (AST) beginnen. Nutzen Sie AST-Tools wie statische Anwendungssicherheitstests (SAST) und dynamische Anwendungssicherheitstests (DAST), um potenzielle Schwachstellen zu erkennen. Kombinieren Sie anschließend die Ergebnisse, um ein umfassendes Bild Ihrer Sicherheitslage zu erhalten. Da es nicht darum geht, Schwachstellen zu zählen, besteht Ihr Ziel darin, diejenigen zu erkennen, die am ehesten ausgenutzt werden und/oder Ihrem Unternehmen erheblichen Schaden zufügen könnten. 

4. Bewerten Sie Risikosignale zur Laufzeit

Sie können Risiken nicht einfach anhand einer Tabellenliste Ihrer Anwendungen bestimmen. Sie müssen die Anwendungen in realen Umgebungen ausführen und auf Anomalien oder unerwartetes Verhalten prüfen. Analysieren Sie, wie häufig verschiedene Systemkomponenten genutzt werden und welche externen Bedrohungen ausgesetzt sind. So können Sie sich auf Schwachstellen mit der größten Angriffsfläche konzentrieren. Sammeln Sie regelmäßig aktuelle Daten zur Bedrohungslage, um zu erfahren, welche Schwachstellen Angreifer aktiv ausnutzen, und beziehen Sie diese Informationen in Ihre Bewertungen ein.  

5. Entwickeln Sie ein Risikobewertungsmodell

Entwickeln Sie ein Bewertungsmodell, um die Beurteilung Ihrer Schwachstellen zu standardisieren. Sammeln Sie alle Daten, die Sie zu Anwendungsübersicht, Geschäftskontext, Sicherheitstestergebnissen und Laufzeitinformationen erfasst haben, und gewichten Sie sie nach ihrer Bedeutung. Erstellen Sie anschließend ein Bewertungssystem, das jeder Schwachstelle anhand ihres Risikos einen Zahlenwert zuweist. So können Sie Schwachstellen einheitlich vergleichen und priorisieren.

6. Legen Sie Priorisierungskriterien fest

Nachdem Sie die Schwachstellen bewertet haben, müssen Sie Regeln dafür festlegen, welche sofortige Aufmerksamkeit erfordern. Definieren Sie dazu Risikoschwellen oder Grenzwerte für die Einstufung als hohes, mittleres oder niedriges Risiko. Berücksichtigen Sie dabei die Zeit und die Ressourcen, die für die Behebung von Schwachstellen zur Verfügung stehen. Ihr Entwicklungsteam wird die Korrekturen umsetzen. Geben Sie ihm daher klare Leitlinien für die Priorisierung der Behebungsmaßnahmen an die Hand. Dazu gehören Informationen und Kontext zum Risiko, damit es zuerst die kritischsten Probleme beheben kann.

7. Verfeinern Sie den Ansatz kontinuierlich

Risikobasierte Priorisierung erfordert Agilität und Flexibilität, denn Bedrohungen entwickeln sich weiter und die Prioritäten Ihres Unternehmens ändern sich mit der Zeit. Überprüfen Sie Ihr Risikomodell vierteljährlich, um festzustellen, ob es weiterhin die gewünschten Ergebnisse im Risikomanagement liefert. Holen Sie Feedback von Teammitgliedern aus verschiedenen Abteilungen dazu ein, was gut funktioniert und was angepasst werden sollte, und nehmen Sie bei Bedarf Änderungen vor. 

Werden Sie mit Snyk und Accenture zum ASPM-Profi 

Nachdem Sie nun genau wissen, wie Sie die risikobasierte Priorisierung für eine bessere Schwachstellenverwaltung einsetzen, können Sie gemeinsam mit Snyk und Accenture noch tiefer in das Thema einsteigen. Laden Sie unser Whitepaper Entwickler stärken, Risiken reduzieren: Wie ASPM DevSecOps voranbringt herunter. Darin finden Sie weitere Empfehlungen, wie Sie Ihre Anwendungssicherheit verbessern können. 

Snyk hebt Anwendungssicherheit auf ein neues Niveau 

Vereinfachen Sie die risikobasierte Priorisierung mit Snyk – einem Tool, mit dem AppSec-Teams ein modernes, leistungsstarkes Security-Programm für Entwickler einführen, verwalten und skalieren können. Buchen Sie noch heute eine Demo und erfahren Sie, wie die risikobasierten Priorisierungstools von Snyk Ihr Entwicklungsprogramm vor Cyberbedrohungen schützen können.