Startseite > Datacenter & Verkabelung > Schwachstellen-Scans

Sicherheit

Schwachstellen-Scans

26. März 2013, 14:10 Uhr | Gidi Cohen, CEO von Skybox Security

Fortsetzung des Artikels von Teil 4

Regelgesteuertes Profiling

Diese Informationen aus externen und internen Quellen bilden die Basis für einen neuen passiven Scan-Ansatz: das regelgesteuerte Profiling. In einem ersten Schritt werden die Angaben zu den Produktkonfigurationen sowie Beschreibungsinformationen, die in den System- und Sicherheitsmanagement-Repositories gespeichert sind, in einen detaillierten und präzisen Produktkatalog umgewandelt. Unter anderem sind Informationen wie Betriebssystem, dessen Patchstatus, die installierten Anwendungen und deren Patchstatus sowie der Port, auf dem die jeweilige Applikation läuft, entscheidend. Die Datenextraktion erfolgt automatisiert und auf Basis von Regeln. Außerdem werden die extrahierten Rohdaten wie zum Beispiel „Microsoft Windows 7 Enterprise mit MDOP 2011 R2“ in ein Standardformat überführt, um sie der späteren Analyse zugänglich zu machen.

Nach der Erstellung dieses Produktprofils erfolgt die zweite Phase, die Ermittlung des Schwachstellenprofils. Grundlage bildet ein Regelwerk, das sämtliche Faktoren berücksichtigen kann, um anhand des Produktprofils festzustellen, ob eine Sicherheitslücke in der konkreten Umgebung auch tatsächlich existiert. Zum Beispiel kann eine bekannte Schwachstelle bei einer bestimmten Version und einem bestimmten Patch-Status des Acrobat-Readers bestehen, jedoch nur dann, wenn diese Version mit diesem Patch-Status in einer bestimmten Version eines gewissen Betriebssystems ausgeführt wird. Nur wenn sämtliche Bedingungen erfüllt sind, ist es sinnvoll, diese Sicherheitslücke als gefährlich einzustufen.

Je detaillierter das Produktprofil und die Ableitungsregeln sind, desto genauer sind die Ergebnisse der Schwachstellenanalyse. Aufgrund der Komplexität heutiger Rechenzentren ist von einem Regelkatalog mit mehreren Zehntausend Einträgen auszugehen. Die Aktualität des Produktprofils hingegen ist gewährleistet, da dazu keine Eingriffe in den laufenden Rechenzentrumsbetrieb nötig sind. Aktuelle Quell-daten können daher jederzeit und in der Regel innerhalb von wenigen Minuten erfasst und analysiert werden. Solche Schwachstellenanalysen lassen sich dann problemlos einmal am Tag oder sogar noch öfter vornehmen und gleichen die Lücken der aktiven Scans aus. Solche passiven Scans erreichen Genauigkeitsgrade von weit über 90 Prozent und decken in der Regel das gesamte Netzwerk ab. Freilich sind aktive Scans auch weiterhin sinnvoll und im Zusammenspiel mit dem regelgesteuerten Profiling erhöhen ihre Ergebnisse die Genauigkeit auf das maximal Mögliche.