Vulnerability Assessment

Ein Vulnerability Assessment – zu Deutsch: Schwachstellenbewertung – ist ein Prozess zur Bewertung der Wirksamkeit von Sicherheitsmaßnahmen und zeichnet sich daher durch die Identifizierung, Kategorisierung und Priorisierung von Schwachstellen in einem System aus. Alle Aktivitäten werden gesammelt und dokumentiert, zusammen mit einer Analyse des Risikos und der Auswirkungen der Ausnutzung von Schwachstellen. Es ist wichtig zu bedenken, dass dieser Dienst unter dem Problem der Degradation leidet, in dem Sinne, dass eine heute durchgeführte VA Wochen, wenn nicht Monate braucht, um das zu bearbeiten, was ans Licht gekommen ist. Da jeden Tag neue Schwachstellen veröffentlicht werden, besteht die Gefahr, dass man nach getaner Arbeit wieder von vorne anfangen muss.

Der erste Schritt für den Analysten ist die Überprüfung auf bekannte Schwachstellen und die ordnungsgemäße Konfiguration der Systeme, wie z. B. die Deaktivierung von TCP/UDP-Ports und Diensten, die nicht durch die Sicherheitsrichtlinien des Kunden abgedeckt sind. Der Service wird mit Hilfe spezieller Tools durchgeführt, die die Netzwerk-Ports der Anlagen automatisch nach aktiven Diensten scannen können, denn eine gute Vorbereitung der Aktivität geht über die Überprüfung dessen, was in den Anlagen des Kunden vorhanden ist.

Die vom Team verwendeten Tools sind der Schwachstellen-Scanner, ein kommerzielles Programm zur Suche und Katalogisierung von Schwachstellen in Systemen wie Servern, Clients, Anwendungen und Netzwerkausrüstung durch Scannen der gesamten Unternehmensoberfläche: intern und extern. Am Ende der Arbeit erstellt der Berater zwei Berichte: einen für den Vorstand, auch Executive Report genannt, der die Verantwortung trägt, und einen weiteren, eher technischen Bericht, der für das IT-Personal des Kunden bestimmt ist. In den Berichten werden die Arten der gefundenen Schwachstellen und der Schaden, den der Kunde erleidet, wenn ein Angreifer sie ausnutzt, aufgeführt. Es ist sinnvoll, die Ergebnisse gemeinsam mit dem Kunden zu kommentieren, und es ist wichtig, einen Plan zur Schadensbegrenzung zu entwerfen, indem man, wenn möglich, die Systeme aktualisiert und dort, wo es nicht möglich war, Lösungen zum Schutz der Vermögenswerte segmentiert oder einführt.