Was ist ein Schwachstellenscan?

Beim Thema Schwachstellenscan gibt es einige Begrifflichkeiten die häufig durcheinandergewürfelt werden und leicht zu Missverständnissen führen können. Im schlimmsten Falle kostet Sie das sogar bares Geld. Daher hier mein Versuch etwas Klarheit zu schaffen. Obendrauf gibt es am Ende noch einige praktische Empfehlungen, welche IT-Sicherheitstests wann Sinn für Sie machen.

Definition: Schwachstellenscan

Ein Schwachstellenscan (eng. Vulnerability Scan) ist eine Untersuchung eines Computernetzwerkes mit Hilfe spezieller Softwaretools. Ziel ist es bekannte Schwachstellen zu entdecken, sodass diese schnellstmöglich behoben werden können. Dazu werden die beim Scan gesammelten Informationen mit einer Schwachstellendatenbank abgeglichen und ein entsprechender Schwachstellenbericht erstellt. Daran anschließend können die gefundenen Schwachstellen gepatched werden. Man unterscheidet zwischen internen und externen Schwachstellenscans. Der externe Schwachstellenscan sammelt Informationen über die externen IP-Adressen und kann somit z.B. Aufschluss über offene Ports geben. Der interne Schwachstellenscan wird innerhalb des Netzwerks ausgeführt und zielt darauf ab Konfigurationsfehler, schwache Passwörter etc. aufzudecken. 

Abgrenzung zur Schwachstellenanalyse 

Streng genommen bezeichnet Schwachstellenscanning einzig und allein das automatisierte scannen des Zielobjektes. Dieser Scan stellt somit nur ein Teil der sog. Schwachstellenanalyse (eng. Vulnerability Assessment) dar. Dabei werden die Scanergebnisse in den Business-Kontext eingeordnet und professional ausgewertet, sodass eine detaillierte und umfangreiche Beurteilung ihres Sicherheitsniveaus möglich wird. Ergänzend kommen oftmals manuelle Methoden zum Einsatz. Damit lässt sich die Aussagekraft des Scans erhöhen. Dazu ist entsprechende Arbeit eines IT Security Analysten notwendig. Im Ergebnis gibt Ihnen eine Schwachstellenanalyse Aufschluss darüber, wie widerstandsfähig interne und externe Infrastruktur gegenüber Angriffen ist. Dabei bleibt eine Schwachstellenanalyse eine Analyse, die sich auf die potenzielle Angriffsfläche Ihres Unternehmens erstreckt. Eine Schwachstellenanalyse geht damit mehr “in die Breite” als “in die Tiefe”.

Abgrenzung zum Penetrationstest

Ein Penetrationstest geht einen Schritt weiter als die Schwachstellenanalyse, denn er beinhaltet auch eine “Exploit”-Phase. In dieser unternimmt der Penetrationstester aktive Eindringversuche und versucht herauszufinden, ob und wie die gefundenen Schwachstellen ausgenutzt werden können. Es wird also die breit angelegte Schwachstellenanalyse um diese tiefergehende Komponente erweitert. Der professionelle Penetrationstest ist somit die aufwändigste und zugleich umfassendste IT-Sicherheitsprüfung. 

Abgrenzung zum Schwachstellenmanagement

Eine letzte Begriffserläuterung bin ich Ihnen jetzt noch schuldig, und zwar die des Schwachstellenmanagements (eng. Vulnerability Management). Im Gegensatz zur einmaligen Durchführung eines Schwachstellenscans oder einer Schwachstellenanalyse, handelt es sich beim Schwachstellenmanagement um einen ganzheitlichen, kontinuierlichen Ansatz. Dabei werden zyklisch Schwachstellen durch Scans entdeckt, klassifiziert, priorisiert und behoben. Mit kontinuierlichen Scans kann man einen weit größeren Nutzen erwarten, da man laufend Kennzahlen erhebt, Trends feststellen kann und wiederkehrende Schwachstellen identifizieren kann. Dementsprechend kann man Maßnahmen ableiten, die langfristig weniger Schwachstellen überhaupt erst entstehen lassen.

Wann benötige ich was?

Ein einzelner Schwachstellenscan ist eine schnelle Möglichkeit, um eine Momentaufnahme über eine begrenzte Anzahl an bekannten Schwachstellen in Ihrem Netzwerk zu erhalten. Er ist kostengünstig und kann mit entsprechenden Tools sogar selbst ausgeführt werden. Er wird Ihnen allerding nur in einem begrenztem Umfang Kontext gegeben. Eine richtige Schwachstellenanalyse schließt diese Lücke. Es bietet sich an, diese zyklisch durchzuführen. Auch viele Compliance Vorschriften, wie etwa die PCI DSS oder ISO 27001, fordern dies. Je geringer Sie die Abstände halten, desto kleiner ist das Zeitfenster, in dem nicht behobene Schwachstellen von Hackern ausgenutzt werden können. Der Königsweg stellt mit Sicherheit die Inanspruchnahme eines Vulnerability Management as-a-Service Angebots dar. Dabei bildet ein spezialisierter IT Dienstleister den gesamten Zyklus des professionellen Schwachstellenmanagements für Sie ab. Ratsam ist ebenfalls die Durchführung von Penetrationstests in größeren Abständen. Diese bieten sich insbesondere an, wenn größere Veränderungen in Ihrem Netzwerk anstehen.

Fazit zum Schwachstellenscan

Schwachstellenscan, Schwachstellenanalyse, Schwachstellenmanagement und Penetrationstest drehen sich allesamt um das Aufdecken von Sicherheitslücken. Da die Begriffe nicht immer einheitlich verwendet werden und z.B. ein reiner Schwachstellenscan als Schwachstellennalyse verkauft wird, oder ein Penetrationstest in Wirklichkeit nur eine Schwachstellenanalyse darstellt, ist es wichtig nachzuforschen, was der genau Inhalt von beworbenen Leistungen ist.

Falls Sie Interesse an unserem Vulnerability Management as-a-Service Angebot haben, kontaktieren Sie uns gerne für ein unverbindliches Angebot.

Share on linkedin
LinkedIn
Share on email
Email
Share on print
Print
Dennis Kionga

Dennis Kionga

Dennis ist Geschäftsführer bei Cloud Cape, einem IT Dienstleistungsunternehmen, das zukunftsfähige IT-Sicherheits- und Cloud-Lösungen für KMUs implementiert und betreibt. Zuvor arbeitete er als Business Development Manager in der Lufthansa Group, wo er Verantwortung für den globalen Vertrieb von Outsourcing-Lösungen für Airlines übernahm. Er schloss sein Studium an der Universität Mannheim ab und erwarb einen Master of Laws (LL.M.) sowie ein Postgraduate Certificate im Projektmangement der Universität Kapstadt. In seiner Laufbahn hatte er längere Auslandsaufenthalte in Portugal, Tschechien und Südafrika.

Kommentar verfassen

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

Über Cloud Cape

Wir helfen Unternehmen Transparenz in der eigenen IT-Landschaft zu schaffen und begleiten auf dem Weg der sicheren digitalen Transformation. Als ‚Cloud-first‘ Unternehmen haben wir uns insbesondere auf Cloud-Lösungen und Cloud-Sicherheit spezialisiert.

Neuste Posts

Möchten Sie mehr von uns erfahren?