CVSS-Wert ist unzureichend Unternehmen schließen nur selten Sicherheitslücken

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

bb-net media GmbH

Der Finanzdienstleister S&P Global hat über 7.000 Schwachstellendaten analysiert. Herauskam, dass viele Unternehmen zu wenig Schwachstellen­management betreiben. Neben der hohen Anzahl an Sicherheitslücken könnte auch eine falsche Priorisierung Grund dafür sein.

In einer Marktanalyse bewertete S&P Global im Laufe des Jahres 2023 über 7.000 Schwachstellen­daten von Organisationen aus dem Finanz- und Unternehmens­sektor. Dabei stellte sich heraus, dass in allen Branchen nur gelegentlich oder selten Schwachstellen be­ho­ben wurden. Daraus schließt der New Yorker Finanzdienst­leister, dass in den meisten Orga­ni­sa­tionen „ein laxes Schwachstellenmanagement zu einem erhöhten Risiko einer Kompromittierung von Systemen beitragen könnte“.

Sicherheitslücken wirken sich auf Kreditwürdigkeit aus

Dass immer mehr Schwachstellen aufgedeckt werden, ist bekannt. Allerdings sind hier mehrere Faktoren die Ursachen, wie S&P Global berichtet. Vor allem eine verstärkte Sicherheits­forschung, die besonders durch Sicherheitswettbewerbe und Bug-Bounty-Programme vorangetrieben wird. Aber auch verbesserte Erkennungstools und -techniken, tragen ihren Teil dazu bei, ebenso eine erhöhte Anwendungs­komplexität. In ihrer Analyse merken die Experten an, dass die zunehmende Häufigkeit von Angriffen auf bekannte Schwachstellen die Bedeutung eines effektiven Schwachstellen­managements unterstreiche, einschließlich der proaktiven Identifizierung und Beseitigung von Sicherheitsmängeln.

Klar ist, dass Unternehmen Schaden erleiden, wird eine Sicherheitslücke ausgenutzt. Hierbei geht es nicht nur um finanziellen, sondern auch um operativen und Reputationsschaden. All dies könne sich laut S&P Global auf die Kreditwürdigkeit auswirken. Die Experten des Finanzdienstleisters betrachten das Schwachstellen­management als einen entscheidenden Teil der Cybersicherheitsvorsorge eines Emittenten, und Anzeichen für ein schwaches Management von Sicherheitsmängeln könnten die Bewertung des Risikomanagements eines Unternehmens beeinträchtigen.

Die Lage der IT-Sicherheit 2024

BSI sieht Bedrohungslage als „besorgniserregend“

Ältere Sicherheitslücken sind größtes Risiko

Zwar könne man grundsätzlich behaupten, dass eine häufige Behebung von Schwachstellen ein Indikator für gutes Cyber-Risikomanagement ist. Doch nicht alle Schwachstellen sind gleich riskant und damit nicht von gleich hoher Bedeutung für Sicherheitsteams. Das Abwägen der Dringlichkeit einer Sicherheitslücke ist laut S&P Global besonders relevant – vor allem angesichts der zunehmenden Regelmäßigkeit, mit der Schwachstellen entdeckt werden. Die Menge mache es schwierig, zu entscheiden, welche zuerst behoben werden soll.

Was sich außerdem in der Analyse von S&P Global zeigt: Ältere Schwachstellen bergen zusätzliche Risiken. Denn je länger eine Sicherheitslücke besteht, desto mehr Zeit haben Cyberkriminelle, sich mit ihr auseinanderzusetzen und ihren Erfolg bei der Ausnutzung zu steigern. Schwachstellen, die 2016 entdeckt wurden, stellen mit 28 Prozent den Analysten zufolge die größte Gruppe im untersuchten Datensatz dar. Etwas weniger als drei Viertel aller Schwachstellen wurden vor sieben oder mehr Jahren entdeckt.

24 Jahre alt sei die älteste der untersuchten Sicherheitslücken. Diese betreffe Software, die vom Hersteller nicht mehr unterstützt würde und folgend nicht mehr gepatcht würde. Acht Monate lang sei diese Schwachstelle bei einem Unternehmen vorhanden gewesen, was Cyberkriminellen reichlich Zeit bot, diese auszunutzen. Die Experten von S&P Global sind der Meinung, dass es ein Ergebnis schlechten Schwachstellen­managements ist, wenn das Beheben einer Sicherheitslücke so lange dauert. Zudem sei dies Hinweis darauf, dass es in betroffenen Unternehmen umfassendere Probleme hinsichtlich der Cybersicherheit geben könnte, insbesondere, wenn während des Wartens auf die Behebung keine Maßnahmen zur Risikoreduzierung ergriffen wurden.

Sonderausgabe jetzt als ePaper lesen

Welche Cyberrisiken kommen 2025 auf uns zu?

EPPS ergänzt CVSS

Im Durchschnitt betrugen die Schweregrade der untersuchten Sicherheitslücken von 4,87. Für die Einordnung nutzten die Analysten den CVSS-Wert (Common Vulnerability Scoring System). Allerdings bemängeln die Experten, dass ein Behebungsplan, der allein auf dem CVSS-Wert sowie Berücksichtigung des Alters der Schwachstellen beruht, unzureichend ist, um das Risiko einer Ausnutzung effektiv zu reduzieren. Ein solcher Plan spiegele nicht wider, wie oft Angreifer eine Schwachstelle ausnutzen.

Eine Möglichkeit, die Bewertung von Schwachstellen umfassender zu gestalten, sei es, den Exploit Prediction Security Score (EPSS) einzubeziehen. Der EPPS wurde vom Forum of Incident Response and Security Teams (FIRST) entwickelt und gibt eine Schätzung der Wahrscheinlichkeit wider, mit der eine Sicherheitslücke ausgenutzt wird. Hierfür werden die Eigenschaften der Schwachstelle mit der Anzahl der tatsächlich bereits erfolgten Ausnutzungen kombiniert. Diese Bewertungen sind FIRST zufolge dynamisch, da sie auf täglich neuen Bedrohungsinformationen basieren. CVSS-Bewertungen seien dagegen statisch, selbst wenn eine Schwachstelle häufig ausgenutzt würde. Das Common Vulnerability Scoring System wurde vom National Infrastructure Advisory Council (NIAC) in Auftrag gegeben und derzeit von FIRST gewartet.

Ergänzt man den CVSS-Wert um eine EPSS-Bewertungen fügt man Bedrohungen einen wichtigen Kontext hinzu, der dabei hilft, Schwachstellen zu identifizieren, die ein größeres Risiko darstellen können. So kann es sein, dass Schwachstellen, die einen hohen EPPS-Wert haben, dringender zu patchen sind, weil sie wahrscheinlicher ausgenutzt werden, als solche, die einen hohen CVSS-Wert haben, obwohl diese größere Risiken für schwere Störungen mit sich bringen. Sicherheitslücken, die sowohl einen hohen EPPS- wie auch einen hohen CVSS-Wert haben, stellen die größte Bedrohung dar und sollten deshalb höchste Priorität für Sicherheitsteams haben. Die von S&P Global untersuchten Datensätze weisen einen durchschnittlichen EPPS-Wert von 0,33 auf, was darauf hindeutet, dass diese Schwachstellen eine geringe Wahrscheinlichkeit der Ausnutzung haben.

Beide Werte sollen IT-Teams bei der Priorisierung der Behebung von Schwachstellen helfen. Mithilfe der Informationen von FIRST lassen sich folgende Unterschiede der beiden Scoring-Systeme feststellen:

Management von Schwachstellen

Schritt für Schritt zum Schwachstellen-Management

Fazit

Die Analysten sind sich sicher, dass die Zahl der Sicherheitslücken weiter zunehmen wird. Dies bedeutet, dass das Schwachstellenmanagement wichtiger Bestandleit des Risikomanagements bleibt. Allerdigns zeigt die Analyse des Finanzdienstleisters, dass Unternehmen bekannte Schwachstellen nur langsam beheben. Dies setzt Systeme einem erhöhten Risiko von Kompromittierungen aus, insbesondere wenn die Schwachstellen sowohl schwerwiegend sind als auch eine hohe Wahrscheinlichkeit der Ausnutzung aufweisen.

S&P Global betrachtet das Management von Cyberrisiken als Teil der Bewertung der Governance. Während die Untersuchung von Schwachstellen auf die digitale Angriffsfläche beschränkt war, könnte ein schlechtes Schwachstellenmanagement ein Hinweis auf ein allgemein schwaches Cyber-Risikomanagement sein. Der Finanzdienstleister gitb zu Bedenken, dass dies bei der Bewertung des umfassenderen Managements und der Governance berücksichtigt werden könnte. Unternehmen sollten sich das Risk Management also dringend auf die Agenda nehmen, um wettbewerbsfähig und kreditwürdig zu bleiben.

Preis allein ist nicht entscheidend

So kommen Sie an Ihren besten Cyber-Versicherungsschutz

(ID:50258025)