Schwachstellen-Scanner selbst lizenzieren oder als Managed Service einkaufen?

Wir haben uns vor zwei Jahren für 4.800 Dollar so eine Lizenz geholt, hatten damals rund 60 Endpoints. Beim ersten Scan kamen direkt 340 kritische und hohe Findings raus. Zwei Senior-Entwickler waren drei Wochen lang nur damit beschäftigt, das Zeug zu verstehen – am Ende war über die Hälfte unbegründeter Konfigurationskram. Die Lizenz hat 4.800 Dollar gekostet, aber der Dev-Aufwand locker noch mal 10.000 Dollar.

Passt bei externen Dienstleistern bloß gut auf. Viele Consulting-Buden lassen am Ende genau dieselben Enterprise-Tools laufen, klatschen ihr eigenes Logo aufs generierte PDF und verkaufen euch das dann teuer. Wenn ihr das sourct, lasst euch vertraglich zusichern, dass eine manuelle Verifikation und False-Positive-Bereinigung enthalten ist, sonst verbrennt ihr nur Geld.

Wenn ihr das Tool selbst kauft, müsst ihr euch mit dem Unterschied zwischen authentifizierten (credentialed) Scans und einfachen externen Netzwerk-Scans auseinandersetzen. Installiert ihr Scanner-Agenten oder scannt ihr nur externe IPs? Ohne Inhouse-Expertise birgt allein die Konfiguration und Rechtevergabe der Scan-Agenten schon wieder neue Sicherheitsrisiken.

Beachten Sie bei der Entscheidung diese drei Punkte: 1) Hat Ihr Team die Zeit, CVSS-Scores und die Ausnutzbarkeit von Schwachstellen zu analysieren? 2) Verlangen Ihre Kunden zwingend die Unterschrift eines unabhängigen Drittprüfers? 3) Führen Sie die Scans nur 4-mal im Jahr durch oder binden Sie das Ganze in kontinuierliche Deployment-Pipelines ein? Für 4-mal im Jahr lohnt sich eine interne Lizenz schlichtweg nicht.

standen vor genau demselben dilemma. tool gekauft im ersten monat noch voll motiviert gescannt und danach hats keinen mehr gejuckt das dashboard war irgendwann nur noch voller roter warnungen dann wenn keine internen ressourcen da sind, schläft man mit nem dienstleister definitiv ruhiger.

wenn wir quelloffene und kostenlose Schwachstellenscanner auf unserem eigenen Server installeiren reicht das nicht an die Reporting-Standards heran, die Kunden fordern? ehrlich gesagt worin genau liegt der wesentliche Unterschied?

Auch als Antwort für den Kollegen oben: Open-Source-Tools sind für den rein technischen Befund gut, aber Firmenkunden verlangen unter dem Bericht meist die Einhaltung gängiger Standards und eine offizielle Unternehmensunterschrift. In B2B-Sales-Prozessen prüfen die Auditoren genau, nach welcher Methodik der Bericht erstellt wurde. Ein selbst generierter, ungeprüfter Bericht kann bei Vertragsverhandlungen schnell zum Showstopper werden.

Fragen Sie beim Dienstleister unbedingt nach ob im Rahmen des Quartalsservices ein einstündiges Remediation-Meeting inbegriffen ist. Statt den Entwicklern einfach den Scanbericht vor die Füße zu werfen bringt es enorm viel Tempo rein wenn der Berater ihnen direkt erklärt wie sie die drei kritischsten Schwachstellen am besten beheben.

Ich probiere es aus.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Das war's, entschuldige, wenn ich zu lang war.

Ich bin derselben Meinung. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

ich möchte etwas fragen.. aber halt verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

das war's entschuldige wenn ich zu lang war.

Bei uns ist es genauso.

Wir sind auch eine Zeit lang an derselben Stelle hängen geblieben. Das allein zu versuchen, ist der teuerste Weg.

Nur als Notiz, könnte nützlich sein.

Letztes Jahr haben wir fast genau dasselbe erlebt. naja wer bei schwachstellen scanner hetzt, stolpert alle an derselben Stelle.

Kein Prozess ohne Dokumentation verbessert sich weil man nicht weiß was man verbessern soll. halt nur als Notiz, könnte nützlich sein.

Ich habe keinerlei Erfahrung mit schwachstellen scanner, deshalb frage ich. Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

Nur als Notiz könnte nützlich sein.

Meine Frage ist geklärt vielen Dank.

Mich interessiert das auch. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.