Seminar Holm Security VMP – Remediation und risikobasierte Priorisierung

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe
3. Voraussetzungen
4. Lernziele
5. Seminarinhalte
6. 1. Priorisierungsmodell und Entscheidungsregeln
7. 2. Threat Score, CVSS und EPSS
8. 3. Asset Risk Score und Geschäftsauswirkung
9. 4. Arbeitsansichten und Triage
10. 5. Maßnahmenpakete und Eigentümer
11. 6. Tickets und Integrationen
12. 7. Ausnahmen und kompensierende Maßnahmen
13. 8. Nachprüfung und Wirksamkeitskennzahlen
14. Praxisanteil
15. Methodik

Seminarprofil

Das Seminar konzentriert sich auf den entscheidenden Schritt nach dem Scan: aus vielen technischen Befunden eine begründete Bearbeitungsreihenfolge und überprüfbare Maßnahmen abzuleiten. Technische Schwere, aktuelle Bedrohung, Asset-Kontext und geschäftliche Auswirkung werden gemeinsam betrachtet.

Zielgruppe

Vulnerability Manager, Security Operations, SOC, System- und Anwendungsverantwortliche, Service Owner, Risikomanagement, Plattformadministratoren und Managed-Service-Provider.

Voraussetzungen

Grundkenntnisse zu Schwachstellen, CVE, CVSS und Asset-Kritikalität. Vorhandene Beispielbefunde in einer Schulungsinstanz werden für Übungen verwendet.

Lernziele

• Schweregrad, Bedrohungswert, EPSS, Asset-Risiko und Geschäftsauswirkung unterscheiden.
• Arbeitsansichten für kritische, neue, überfällige und ungeklärte Befunde erstellen.
• Prioritäten transparent und reproduzierbar festlegen.
• Maßnahmen, Fristen, Eigentümer und Ausnahmen nachvollziehbar steuern.
• Wirksamkeit durch Nachprüfung und geeignete Kennzahlen belegen.

Seminarinhalte

1. Priorisierungsmodell und Entscheidungsregeln

Ein gemeinsames Modell verhindert widersprüchliche Einzelentscheidungen.

1. Schritt 1: Technische Schwere, aktuelle Bedrohung, Ausnutzungswahrscheinlichkeit und Exposition definieren.
2. Schritt 2: Geschäftsauswirkung, Asset-Kritikalität und kompensierende Schutzmaßnahmen einbeziehen.
3. Schritt 3: Entscheidungsregeln für Sofortmaßnahme, reguläre Bearbeitung, Beobachtung und Ausnahme festlegen.
4. Schritt 4: Rollen für Triage, technische Freigabe und Risikoentscheidung bestimmen.

2. Threat Score, CVSS und EPSS

Unterschiedliche Bewertungsgrößen werden korrekt interpretiert.

1. Schritt 1: CVSS als technische Basisschwere einordnen.
2. Schritt 2: Bedrohungswert und zusätzliche aktuelle Kontextfaktoren berücksichtigen.
3. Schritt 3: EPSS als Wahrscheinlichkeitssignal und nicht als alleinige Entscheidung verwenden.
4. Schritt 4: Widersprüchliche Signale anhand Asset-Kontext und Exposition auflösen.

3. Asset Risk Score und Geschäftsauswirkung

Die Bedeutung des betroffenen Assets verändert die Bearbeitungsreihenfolge.

1. Schritt 1: Asset-Risiko und Geschäftsauswirkung voneinander abgrenzen.
2. Schritt 2: Kritische Dienste, Identitätssysteme und internetnahe Assets hervorheben.
3. Schritt 3: Unvollständige Asset-Daten als eigenes Risiko kennzeichnen.
4. Schritt 4: Priorisierung bei gemeinsamen Schwachstellen auf mehreren Assets differenzieren.

4. Arbeitsansichten und Triage

Große Befundmengen werden in klare operative Listen überführt.

1. Schritt 1: Nach Bedrohung, Schwere, EPSS, Status, CVE und Asset-Tags filtern.
2. Schritt 2: Ansichten für neu, kritisch, überfällig, ausgenommen und nicht zugeordnet speichern.
3. Schritt 3: Dubletten und gemeinsame Ursachen über mehrere Assets erkennen.
4. Schritt 4: Befunde mit unzureichender Datenqualität zur technischen Klärung markieren.

5. Maßnahmenpakete und Eigentümer

Verwandte Befunde werden so gebündelt, dass sie effizient bearbeitet werden können.

1. Schritt 1: Nach Ursache, Plattform, Anwendung, Team oder Wartungsfenster gruppieren.
2. Schritt 2: Eindeutigen Eigentümer und Stellvertretung festlegen.
3. Schritt 3: Zielzustand, Priorität, Frist und Abschlusskriterium formulieren.
4. Schritt 4: Abhängigkeiten und notwendige Freigaben dokumentieren.

6. Tickets und Integrationen

Die Übergabe an operative Teams bleibt eindeutig und rückverfolgbar.

1. Schritt 1: Notwendige Asset-, Befund-, Risiko- und Nachweisinformationen auswählen.
2. Schritt 2: Priorität und Status zwischen Plattform und Zielsystem abbilden.
3. Schritt 3: Regeln gegen doppelte oder verwaiste Tickets definieren.
4. Schritt 4: Rückmeldungen, Abschluss und erneute Öffnung testen.

7. Ausnahmen und kompensierende Maßnahmen

Nicht sofort behebbare Risiken werden befristet und kontrolliert behandelt.

1. Schritt 1: Technische und betriebliche Begründung erfassen.
2. Schritt 2: Kompensierende Schutzmaßnahmen und verbleibendes Risiko dokumentieren.
3. Schritt 3: Genehmiger, Ablaufdatum und Review-Intervall festlegen.
4. Schritt 4: Ausnahme nach Ablauf erneut bewerten oder aufheben.

8. Nachprüfung und Wirksamkeitskennzahlen

Abschluss bedeutet nachgewiesene Risikoreduktion, nicht nur Ticketstatus.

1. Schritt 1: Vergleichbare Zielmenge und Prüfbedingungen für den Re-Scan verwenden.
2. Schritt 2: Verschwundene, veränderte und weiterhin vorhandene Befunde unterscheiden.
3. Schritt 3: Bearbeitungszeit, Wiedereröffnungsquote und Risikoreduktion messen.
4. Schritt 4: Wiederkehrende Ursachen für systemische Verbesserungen verwenden.

Praxisanteil

Triage eines gemischten Befundbestands, Aufbau mehrerer Arbeitsansichten, Berechnung einer begründeten Bearbeitungsreihenfolge, Erstellung von Maßnahmen und Ausnahmen sowie Durchführung einer simulierten Nachprüfung.

Methodik

Fachvortrag, Live-Triage, Priorisierungsworkshop, Ticket- und Ausnahmefall, Re-Scan-Simulation und Kennzahlenanalyse.