Startseite > Office & Kommunikation > Untouchable = Unpatchable?

Passives Schwachstellen-Scanning

Untouchable = Unpatchable?

8. Januar 2014, 15:35 Uhr | Tenable Networks Security

Fortsetzung des Artikels von Teil 1

Unpatchables

Dabei ist die „Unantastbarkeit“ nur einer von vielen Gründen, warum bestimmte Systeme und Devices nicht gepatcht werden können. Möglicherweise ist auch gar kein Patch verfügbar, etwa weil der entsprechende Hersteller nicht adäquat reagiert. Oder eine System-Korrektur würde zu Kompatibilitätsproblemen führen, die nicht tolerierbar sind, etwa, wenn sie in den regulären Betrieb einer anderen, wichtigen Software eingreift. Häufig kann auch schlicht nicht das angemessene Wartungsfenster für Patches oder andere Maßnahmen zur Verfügung gestellt werden, da der Systembetrieb zu keiner Zeit unterbrochen werden darf.

Für „Unpachables“ gilt im Ergebnis das gleiche, wie für die gesamte Gruppe der „Untouchables“ – nämlich dass ihren möglichen Schwachstellen nicht mit einer herkömmlichen Security-Praxis wie dem Patchen begegnet werden kann. Stehen jedoch keine Tools zur Verfügung, die diese Sicherheitslücken schließen, kann der Einsatz von „Untouchables“ und „Unpatchables“ gravierende Risiken nach sich ziehen. Besonders hoch ist das Risiko einer erfolgreichen Attacke und System-Kompromittierung – die folgenschweren Konsequenzen können längere Ausfallzeiten, Produktivitätsverluste, die Gefährdung sensitiver Daten, der Verlust des Kundenvertrauens oder andere Formen von Reputationsverlust und im schlimmsten Fall auch Umsatzverluste sein.

Darüber hinaus sind auch die gesetzlichen Bestimmungen sowie die spezifischen Anforderungen bestimmter Märkte zu bedenken. So fordert zum Beispiel der für die Payment-Card-Industry definierte Data-Security-Standard (PCI-DSS) explizit das regelmäßige Schwachstellen-Scanning der betreffenden Systeme. Andere Regularien und allgemein akzeptierte Security-Praktiken verlangen das zeitnahe Patchen aller angreifbaren Systeme und den Einsatz Host-basierter Security-Agenten, etwa für Anti-Malware, Zugriffskontrolle oder Intrusion Prevention. Sind diese Maßnahmen nicht durchführbar und die Systeme nicht compliant, kann dies zu negativen Audit-Ergebnissen, nicht bestandenen Compliance-Checks, noch strengeren, legalen Auflagen und in letzter Konsequenz zu hohen Geldstrafen führen.