Wir haben einen Schwachstellen-Bewertungsbericht bekommen, voll mit Schweregraden — wie machen wir daraus einen Aktionsplan?

CVSS-Scores zeigen zwar die generelle Schwere, spiegeln das reale Bedrohungspotenzial allein aber nicht wider. Prüft bei den Befunden im Bericht unbedingt, ob öffentlich funktionierender Exploit-Code existiert. Eine Schwachstelle, für die fertige Skripte im Netz kursieren, ist selbst mit einem Score von 7.5 viel gefährlicher als eine 9.0, die sich in der Praxis kaum ausnutzen lässt.

Blockiert nicht das gesamte Entwicklerteam gleichzeitig für Sicherheitsthemen. Teilt diese Woche einfach einen Dev komplett für die Sicherheitsfixes ein, während die anderen ganz normal an der Roadmap weiterarbeiten. Das Hochziehen von Bibliotheksversionen löst meistens schon die halbe Miete; aktualisiert zuerst die Server-Pakete und schaut, wie viele Befunde sich dadurch schon automatisch erledigen.

Bei uns kamen letztes Jahr in einem ähnlichen Audit 52 Befunde raus. Bei genauerem Hinsehen stellte sich heraus, dass 18 davon allein an zwei veralteten Open-Source-JavaScript-Libraries lagen. Diese beiden Bibliotheken zu aktualisieren und die Abhängigkeiten aufzuräumen hat einen halben Tag gedauert – und zack, war fast ein Drittel des Berichts mit einem Schlag erledigt.

Für das weitere Vorgehen empfehle ich folgende Reihenfolge: 1) Kritische und hohe Befunde auf öffentlich erreichbaren Servern direkt in den ersten Sprint packen, 2) Konfigurationsprobleme wie fehlende Header und schwache Verschlüsselung in einem einzigen Ticket an DevOps übergeben, 3) die restlichen mittleren und niedrigen Punkte ins Tech-Debt-Backlog schieben und häppchenweise auf künftige Entwicklungszyklen verteilen.

bei uns steht demnächst auch so ein Scan an, aber was genau bedeutet eigentlich dieses False Positive im Bericht? übrigens kann es also sein, dass eine Sicherheitslücke laut Bericht existiert, auf unserem System in Wirklichkeit aber überhaupt nicht vorhanden ist?

Manche Sicherheitsfirmen lassen einfach nur einen automatisierten Scanner drüberlaufen und klatschen dem Kunden direkt das rohe 70-Seiten-PDF hin. Wenn die Befunde im Bericht keine Screenshots als Exploit-Nachweis enthalten, habt ihr jedes Recht, eine manuelle Auswertung und Validierung von der Firma einzufordern; 4.800 USD sollten schließlich nicht nur die Gebühr fürs Drücken eines Startknopfs sein.

Wenn man den ersten Bericht in den Händen hält, schiebt jeder erst mal Panik das ist völlig normal. Solche Listen wirken anfangs immer erschlagend, weil selbst die kleinste Information Disclosure den Report künstlich aufbläht. Konzentriert euch auf die 6 kritischen Punkte behebt diese und legt dem Kunden euren Maßnahmenplan vor; Großunternehmen achten viel mehr auf euer Incident-Management als auf die bloße Existenz von Lücken.

Zusammenfassend lässt sich sagen: Keine Panik, zuerst die False Positives aussortieren, öffentlich erreichbare kritische Lücken sofort per Update schließen, dem Firmenkunden einen 30-Tage-Aktionsplan vorlegen und auf den Re-Scan warten.

Gut, dass du diesen Thread eröffnet hast. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Wenn es jemand anders macht, würde mich das auch interessieren.

Notiert, danke.

man sollte der Reihe nach vorgehen... menschen verteidigen nicht den Prozess sondern die Gewohnheit. der Widerstand kommt daher.

nur als Notiz könnte nüützlich sein.

Beim Lesen dieser Antwort war ich erleichtert, es liegt also nicht nur an mir. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Ein Thema, das gerade aktuell ist.

Ich sehe das anders. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit. Ich hoffe, das hilft dir weiter.

Meine Frage klingt vielleicht etwas naiv, entschuldigt bitte. Menschen verteidigen nicht den Prozess sondern die Gewohnheit. Der Widerstand kommt daher.

Korrigiert mich, falls ich falsch liege.

Ich schreibe das damit ihr denselben Fehler nicht macht. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf. Wenn es jemand anders macht, würde mich das auch interessieren.

Ich schreibe das, damit ihr denselben Fehler nicht macht. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Nur als Notiz, könnte nützlich sein.