Eine Schwachstellenanalyse durchsucht Systeme nach bekannten Schwachstellen. Sie ist kein Penetrationstest. Ein Penetrationstest versucht, Schwachstellen auszunutzen. Eine Schwachstellenanalyse identifiziert und listet sie auf. Das Ergebnis ist ein Bericht, in dem die Ergebnisse nach Schweregrad geordnet sind. Das Unternehmen entscheidet, welche Schwachstellen wann behoben werden. Schwachstellenanalysen sind schneller und kostengünstiger als Penetrationstests, weshalb sie häufiger durchgeführt werden. Vierteljährliche Scans sind üblich. Kontinuierliche Scans werden zunehmend zum Standard.

Die Tools sind vielfältig. Netzwerkscanner wie Nessus und OpenVAS prüfen Hosts auf offene Ports, veraltete Software und fehlende Patches. Webanwendungsscanner wie Burp Suite und OWASP ZAP durchsuchen Websites nach Sicherheitslücken, fehlerhafter Authentifizierung und Fehlkonfigurationen. Tools zur Bewertung der Cloud-Sicherheit überprüfen Konfigurationen anhand von Benchmarks. Jedes Tool hat seine Schwächen. Scanner liefern Fehlalarme und übersehen Logikfehler, die eine manuelle Analyse erfordern. Eine Schwachstellenanalyse ist ein erster Schritt. Sie zeigt, wo gesucht werden muss. Sie sagt jedoch nichts darüber aus, was ein Angreifer tatsächlich tun würde. Die Kombination von Analyse und Penetrationstest liefert ein umfassenderes Bild. Der Scan findet die Schwachstellen. Der Penetrationstest beweist, welche davon relevant sind.

Schritte zur Schwachstellenanalyse

• Umfang und Inventar der Vermögenswerte definieren
• Führen Sie automatisierte Scans durch
• Ergebnisse überprüfen und falsch positive Ergebnisse entfernen
• Priorisierung nach Schweregrad und Kontext
• Beheben Sie die Fehler und scannen Sie erneut, um dies zu bestätigen.

Ein Scan, der zwar durchgeführt wird, aber keine Fehlerbehebungen zur Folge hat, ist lediglich eine Maßnahme zur Einhaltung der Vorschriften. Der eigentliche Wert liegt in der Behebung der Probleme.