Seminar Vulnerability Management, EoL EoS und Cyber Asset Visibility mit Raynet One

Schwachstellenlisten sind ohne belastbare Asset-Grundgesamtheit, Produktidentität und Geschäftskontext kaum priorisierbar. Das Seminar führt Sichtbarkeit, Vulnerability-Daten, Lebenszyklus und Maßnahmensteuerung zu einem nachvollziehbaren Risikoprozess zusammen.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Praxisaufgaben
6. Arbeitsweise

Zielsetzung

Nach Abschluss des Seminars sind folgende Aufgaben methodisch und technisch bearbeitbar:

• Cyber-Asset-Grundgesamtheit und Erfassungslücken bestimmen.
• Schwachstellen korrekt mit Produkten und Assets verbinden.
• Risiko aus CVSS, Exposition und Kritikalität ableiten.
• EoL/EoS-Risiken in Modernisierungsmaßnahmen überführen.
• Dashboards, Ausnahmen und Governance für den Regelbetrieb etablieren.

Zielgruppe

Security- und Vulnerability-Management-Teams, IT-Asset-Manager, Plattformadministratoren, Patch-Teams und Risikoverantwortliche.

Voraussetzungen

Grundkenntnisse in IT-Inventarisierung, Schwachstellenmanagement, CVE/CVSS und Patchprozessen.

Seminarinhalte

1. Cyber Asset Visibility und Grundgesamtheit

Der Prozess beginnt mit der Frage, welche Assets tatsächlich existieren und bewertet werden können.

1. Schritt 1: Soll-Bestand aus Netz-, Verzeichnis-, Cloud- und Asset-Quellen erfassen.
2. Schritt 2: Erkannte, inventarisierte, verwaltete und unbekannte Assets unterscheiden.
3. Schritt 3: Shadow-IT- und Expositionsindikatoren markieren.
4. Schritt 4: Abdeckung und Aktualität als Kennzahlen festlegen.

2. Software- und Technologieidentität

Schwachstellen werden nur bei korrekter Produkt- und Versionszuordnung belastbar.

1. Schritt 1: Rohdaten und normalisierte Produktidentität vergleichen.
2. Schritt 2: Version, Edition und technische Komponente prüfen.
3. Schritt 3: Unbekannte oder widersprüchliche Zuordnungen priorisieren.
4. Schritt 4: Stichprobe gegen lokale oder herstellerseitige Produktinformation durchführen.

3. CVE, CVSS und Befundvalidierung

Ein technischer Befund wird auf Relevanz und Qualität geprüft.

1. Schritt 1: CVE und betroffene Produktversion zuordnen.
2. Schritt 2: CVSS-Basiswert und Bewertungsparameter einordnen.
3. Schritt 3: Fehlpositive durch Version, Konfiguration oder Plattform ausschließen.
4. Schritt 4: Validierten Befund mit Asset und Datenquelle dokumentieren.

4. Exposition und Geschäftskritikalität

Technische Schwere wird mit tatsächlicher Angriffs- und Geschäftslage ergänzt.

1. Schritt 1: Netzexposition und erreichbare Dienste bestimmen.
2. Schritt 2: Asset-Kritikalität und Daten- oder Prozessbezug erfassen.
3. Schritt 3: Verfügbare Schutzmaßnahmen und Kompensationen berücksichtigen.
4. Schritt 4: Gesamtrisiko und Behandlungsfrist festlegen.

5. EoL und EoS

Nicht mehr unterstützte Technologien werden als strukturelles Risiko behandelt.

1. Schritt 1: Lebenszyklusstatus und relevantes Datum prüfen.
2. Schritt 2: Betroffene Assets und abhängige Anwendungen ermitteln.
3. Schritt 3: Upgrade, Ersatz, Isolation oder kontrollierte Akzeptanz bewerten.
4. Schritt 4: Modernisierungsmaßnahme mit Eigentümer und Termin planen.

6. Remediation und Patchbezug

Priorisierte Risiken werden in technisch ausführbare Maßnahmen übersetzt.

1. Schritt 1: Patch-, Paket- oder Konfigurationsoption bestimmen.
2. Schritt 2: Pilotgruppe und Rollout-Ringe festlegen.
3. Schritt 3: Erfolg durch erneutes Inventar oder erneute Bewertung prüfen.
4. Schritt 4: Restbefund und nicht erreichbare Systeme dokumentieren.

7. Ausnahmen und Risikobehandlung

Nicht sofort behebbaren Risiken erhalten ein zeitlich begrenztes Kontrollverfahren.

1. Schritt 1: Begründung und technische Einschränkung erfassen.
2. Schritt 2: Kompensierende Kontrolle und Restrestrisiko dokumentieren.
3. Schritt 3: Genehmiger, Eigentümer und Ablaufdatum festlegen.
4. Schritt 4: Ausnahme vor Ablauf erneut bewerten.

8. Dashboards und Governance

Der Regelbetrieb wird durch Kennzahlen, Maßnahmenlisten und Reviews gesteuert.

1. Schritt 1: Kennzahlen für Abdeckung, kritische Befunde und Überfälligkeit definieren.
2. Schritt 2: Drill-down bis zum Asset und Eigentümer sicherstellen.
3. Schritt 3: Regelmäßiges Security- und Modernisierungsreview terminieren.
4. Schritt 4: Datenqualität, Maßnahmenfortschritt und Ausnahmebestand gemeinsam berichten.

Praxisaufgaben

• Cyber-Asset-Grundgesamtheit mit Abdeckungskennzahlen erstellen.
• Schwachstellen anhand Exposition und Kritikalität priorisieren.
• EoL/EoS- und Remediation-Dashboard mit Maßnahmenliste entwerfen.

Arbeitsweise

Fachliche Einordnung, Demonstrationen und angeleitete Übungen wechseln sich ab. Konfigurationen werden zunächst in einer begrenzten Testmenge aufgebaut, anschließend anhand messbarer Kriterien geprüft und erst danach in einen dokumentierten Betriebsablauf überführt.