Seminar ONEKEY OCP – Automated Impact Assessment und VEX

Komponentenbasierte CVE-Treffer allein beantworten nicht, ob eine konkrete Firmware tatsächlich betroffen oder ausnutzbar ist. Das Seminar verbindet automatisierte Relevanzbewertung mit standardisierten Statusaussagen und einer prüfbaren manuellen Entscheidung.

Inhaltsübersicht

1. Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Praxiswerkstatt
6. Kompetenzziele

Zielsetzung

Ziel ist eine belastbare, skalierbare und auditierbare CVE-Triage. Automatische Evidenzen werden korrekt interpretiert, VEX-Aussagen werden konsistent vergeben und zusätzliche Bewertungsmethoden werden nur dort eingesetzt, wo sie die Priorisierung verbessern.

Zielgruppe

Product Security, PSIRT, Vulnerability Management, Embedded- und Firmwareentwicklung, Security Engineering, Product Compliance und technische Risikobewertung

Voraussetzungen

Grundkenntnisse zu CVE, CVSS und Firmwarekomponenten sowie praktische Erfahrung mit ONEKEY Analyseergebnissen oder dem Seminar Vulnerability Management und CVE-Triage

Seminarinhalte

Modul 1: Vom Komponentenfund zur tatsächlichen Betroffenheit

Ursachen für hohe Trefferzahlen und nicht anwendbare Schwachstellen werden systematisch unterschieden.

1. Schritt 1: Komponenten-, Versions- und Dateievidenzen eines CVE-Treffers prüfen.
2. Schritt 2: Nicht vorhandene Module, deaktivierte Funktionen und abweichende Build-Konfigurationen erfassen.
3. Schritt 3: Technische Relevanz von allgemeiner Schwere und öffentlicher Bekanntheit trennen.

Modul 2: Automated Impact Assessment verstehen

Die automatische Bewertung wird anhand von Match Score, Regeln und Evidenzen nachvollzogen.

1. Schritt 1: Automatisch ausgeblendete und als nicht betroffen markierte Treffer identifizieren.
2. Schritt 2: Begründende Evidenzen und erkannte Firmwaremerkmale kontrollieren.
3. Schritt 3: Grenzfälle für eine manuelle Fachprüfung kennzeichnen.

Modul 3: VEX-Status und Begründungen

Vulnerability Exploitability eXchange wird als strukturierte Aussage zur Produktbetroffenheit eingesetzt.

1. Schritt 1: Passenden Status für betroffen, nicht betroffen, behoben oder in Prüfung auswählen.
2. Schritt 2: Begründung und technische Detailangaben nachvollziehbar dokumentieren.
3. Schritt 3: Statusaussagen auf Konsistenz mit Evidenzen, Maßnahmen und Produktversion prüfen.

Modul 4: CVSS Environmental und SSVC

Ergänzende Bewertungsmethoden werden kontextgerecht statt schematisch angewendet.

1. Schritt 1: Umgebungs- und Schutzfaktoren für einen Environmental Score erfassen.
2. Schritt 2: SSVC-Entscheidungsfaktoren für Ausnutzbarkeit, Wirkung und Handlungsoption bewerten.
3. Schritt 3: Widersprüche zwischen Score, VEX-Status und organisatorischer Priorität auflösen.

Modul 5: Bewertungen über Versionen fortführen

Vorhandene Bewertungen werden kontrolliert auf neue Firmwarestände übertragen.

1. Schritt 1: Technische Vergleichbarkeit von Produkt, Komponente und Build prüfen.
2. Schritt 2: Bewertung kopieren und übernommene Aussagen stichprobenartig validieren.
3. Schritt 3: Neue oder veränderte Evidenzen als Auslöser für eine Neubewertung definieren.

Modul 6: Massenbearbeitung und Automatisierung

Wiederkehrende Entscheidungen werden mit Filtern, Bulk-Aktionen und Analyseprofilen skaliert.

1. Schritt 1: Homogene Treffergruppen über Produkt, Komponente, Status und Evidenz bilden.
2. Schritt 2: Geeignete Felder in einem kontrollierten Sammelschritt setzen.
3. Schritt 3: Automatisierbare Entscheidungsmuster von prüfpflichtigen Einzelfällen trennen.

Modul 7: Auditierbare Triage und VEX-Export

Der Abschluss einer Bewertung wird als nachvollziehbarer Nachweis gestaltet.

1. Schritt 1: Kommentar, Status, Bewertungsmethode, Bearbeiterrolle und Freigabe vollständig prüfen.
2. Schritt 2: VEX-Aussagen in ein geeignetes Export- oder SBOM-Paket übernehmen.
3. Schritt 3: Offene Unsicherheiten, Gültigkeitsbedingungen und nächste Review-Termine dokumentieren.

Praxiswerkstatt

1. Arbeitsschritt 1: Eine Trefferliste in automatisch nicht betroffene, manuell zu prüfende und relevante CVEs klassifizieren.
2. Arbeitsschritt 2: Für mehrere CVEs VEX-Status, Begründung, Environmental Score und SSVC-Entscheidung konsistent erstellen.
3. Arbeitsschritt 3: Bewertungen auf einen neuen Firmwarestand übertragen und anhand geänderter Evidenzen validieren.
4. Arbeitsschritt 4: Ein auditierbares Triage-Paket mit VEX-Ausgabe und dokumentierten Restunsicherheiten zusammenstellen.

Kompetenzziele

• Automated Impact Assessment und Match Scores fachlich korrekt interpretieren
• VEX-Status mit belastbaren technischen Begründungen vergeben
• CVSS Environmental und SSVC gezielt zur Priorisierung einsetzen
• Bewertungen skalieren und über Produktversionen konsistent fortführen
• Triageentscheidungen nachvollziehbar dokumentieren und exportieren