Seminar SBOM: Schwachstellenmanagement mit VEX

Ein SBOM-basierter Treffer verbindet zunächst eine Komponentenidentität mit einer bekannten Schwachstelle. Für eine belastbare Entscheidung müssen zusätzlich das konkrete Produkt, seine Konfiguration und die verfügbaren technischen Nachweise betrachtet werden. Dieses Seminar führt durch diese Bewertung und organisiert die anschließende Bearbeitung. Dabei werden Maßnahmenbedarf, ungeklärte Betroffenheit und begründete Nichtbetroffenheit voneinander getrennt.

Vulnerability Exploitability eXchange dient als strukturierte Form, um solche Aussagen zu einem definierten Produktstand weiterzugeben. Im Labor entstehen VEX-Dokumente mit passendem Geltungsbereich, Begründung und nachvollziehbarem Status. Die Arbeit berücksichtigt auch den Widerruf beziehungsweise die Ablösung einer früheren Aussage. Fehlende Aufrufbeziehungen oder ein unvollständiger Abhängigkeitsgraph werden nicht als ausreichender Beweis für die Nichtbetroffenheit verwendet.

Inhaltsübersicht

• Vom Paket zum belastbaren Befund
• Priorisierung mit Produktkontext
• Betroffenheit technisch prüfen
• VEX erstellen und austauschen
• Bewertungen nachvollziehbar führen
• Änderungen und erneute Bewertung
• Praxisübungen
• Arbeitsumgebung

Seminarinhalte

Vom Paket zum belastbaren Befund

• Paketidentität, Version, Distributionsbesonderheiten und Produktzuordnung vor einer fachlichen Bewertung prüfen.
• Fehlerhafte Zuordnungen, fehlende Informationen und tatsächliche Betroffenheit als unterschiedliche Fälle bearbeiten.
• SBOM-Erfassungsumfang und verfügbare Schwachstelleninformationen auf ihre Aussagegrenzen untersuchen.

Priorisierung mit Produktkontext

• Technische Schwere, Ausnutzungswahrscheinlichkeit, bekannte Ausnutzung und Erreichbarkeit als getrennte Kriterien berücksichtigen.
• CVSS und EPSS einordnen und durch Einsatzkontext, exponierte Funktionen und Geschäftsrelevanz ergänzen.
• Bearbeitungsreihenfolge und Fristen anhand einer transparenten Entscheidungsmatrix begründen.

Betroffenheit technisch prüfen

• Verwendung einer Komponente, aktive Funktionen und erforderliche Angriffsvoraussetzungen anhand vorbereiteter Fälle untersuchen.
• Build-Konfiguration, aktivierte Funktionen und getestete Gegenmaßnahmen mit dem konkreten Produktstand verknüpfen.
• Unvollständige Nachweise als offene Untersuchung kennzeichnen und erforderliche nächste Prüfschritte festlegen.

VEX erstellen und austauschen

• Betroffen, nicht betroffen, behoben und in Untersuchung als fachliche Zustände den jeweiligen Formatwerten zuordnen.
• Produkt, Komponente, Schwachstelle, Begründung, Handlungsempfehlung und zeitlichen Geltungsbereich konsistent erfassen.
• CycloneDX-VEX praktisch erstellen und OpenVEX anhand eines Vergleichsbeispiels einordnen; Unterschiede bei einer Übertragung prüfen.

Bewertungen nachvollziehbar führen

• Verantwortliche, Review, Nachweise und Freigabe einer Entscheidung im Arbeitsablauf festhalten.
• Befristete Ausnahmen von einer technischen Nichtbetroffenheitsaussage unterscheiden.
• VEX-Dokumente kontrolliert bereitstellen und fremde Aussagen nach Herkunft, Aktualität und Produktbezug beurteilen.

Änderungen und erneute Bewertung

• Geänderte Produktversionen, neue Erkenntnisse und abgelaufene Begründungen als Neubewertungsauslöser verwenden.
• Korrekturen und abgelöste Aussagen so verwalten, dass der aktuell gültige Stand erkennbar ist.
• Behebung, erneute SBOM-Prüfung und Abschluss der Bearbeitung an einem vollständigen Fall verbinden.

Praxisübungen

1. Eine vorbereitete SBOM mit mehreren festen Schwachstellenfällen auswerten und unsichere Paketzuordnungen markieren.
2. Die Meldungen anhand von technischer Schwere, Ausnutzungslage und Produkteinsatz priorisieren.
3. Für einen betroffenen und einen nicht betroffenen Produktstand die erforderlichen Nachweise zusammentragen.
4. Passende VEX-Aussagen erzeugen, ihre Konsistenz prüfen und in einem vorbereiteten Werkzeug auswerten.
5. Eine geänderte Konfiguration und neue Erkenntnisse einspielen, die frühere Bewertung überprüfen und die Aussage kontrolliert aktualisieren.

Arbeitsumgebung

Vorbereitete SBOMs, feste Schwachstellenfälle, Konfigurationsauszüge und eine isolierte Auswertungsumgebung ermöglichen reproduzierbare Übungen. Es werden keine Angriffe gegen fremde oder produktive Systeme durchgeführt.

Fachbereichsleiter / Leiter der Trainer / Ihre Ansprechpartner

Seminardetails

Dauer:	2 Tage, ca. 6 h/Tag (12 Unterrichtsstunden à 60 Minuten insgesamt, ohne Pausen); Beginn 1. Tag: 10:00 Uhr, weitere Tage: 09:00 Uhr
Preis:	Öffentlich oder Live Stream: € 1.198 zzgl. MwSt. Inhaus: € 3.400 zzgl. MwSt.
Teilnehmeranzahl:	min. 2 - max. 8
Teilnehmer:	AppSec- und Vulnerability-Management-Teams, PSIRT-Verantwortliche, Entwickler, technische Produktverantwortliche und IT-Sicherheitsadministratoren
Voraussetzungen:	SBOM-Grundlagen und Erfahrung mit Softwarekomponenten oder Schwachstellenmeldungen; Grundverständnis von Anwendungsarchitektur und Release-Versionen; einfache JSON-Dateien lesen können
Standorte:	Stream Live, Inhaus/Firmenseminar, Berlin, Bremen, Darmstadt, Dresden, Erfurt, Essen, Flensburg, Frankfurt, Freiburg, Friedrichshafen, Hamburg, Hamm, Hannover, Jena, Kassel, Köln, Konstanz, Leipzig, Luxemburg, Magdeburg, Mainz, München, Münster, Nürnberg, Paderborn, Potsdam, Regensburg, Rostock, Stuttgart, Trier, Ulm, Wuppertal, Würzburg
Methoden:	Vortrag, Demonstrationen, praktische Übungen am System
Seminararten:	Öffentlich, Webinar, Inhaus, Workshop - Alle Seminare mit Trainer vor Ort, Webinar nur wenn ausdrücklich gewünscht
Durchführungsgarantie:	ja, ab 2 Teilnehmern
Sprache:	Deutsch - bei Firmenseminaren ist auch Englisch möglich
Seminarunterlage:	Dokumentation auf Datenträger oder als Download
Teilnahmezertifikat:	ja, selbstverständlich
Verpflegung:	Kalt- / Warmgetränke, Mittagessen (wahlweise vegetarisch)
Support:	3 Anrufe im Seminarpreis enthalten
Barrierefreier Zugang:	an den meisten Standorten verfügbar
	Weitere Informationen unter + 49 (221) 74740055

Seminartermine

Nach oben