Server mit Vulnerability-Scanner geprüft — sind die Funde echte Risiken?

Meldungen zu Paketversionen liegen meist an Backport-Patches. Linux-Distributionen spielen Sicherheitsupdates oft ein, ohne die Hauptversionsnummer des Pakets zu ändern. Da der Scanner aber nur das Banner ausliest, geht er von einer Lücke aus. Prüfen Sie am besten im Changelog Ihres Paketmanagers, ob die entsprechende CVE- bzw. Bulletin-Nummer bereits behoben wurde.

Als Erstes sollten Sie die Firewall-Regeln dichtmachen. Nach außen hin sollten auf dem Server eigentlich nur Port 80 und 443 offen sein. Wenn Sie alle Verwaltungsdienste inklusive SSH aufs lokale Netz oder Ihre feste Büro-IP beschränken, ist mindestens die Hälfte der Warnungen im Bericht innerhalb einer Stunde Geschichte.

Bei unserer Plattform wurden beim ersten Scan 62 Lücken gemeldet. Unser Entwickler und ich haben uns zwei Tage lang hingesetzt und alles durchgearbeitet: Von 6 als kritisch eingestuften Punkten waren 5 reine False Positives wegen des Versionschecks. Der verbleibende kritische Punkt war ein Test-Datenbankport, der versehentlich nach außen offen war. Den dichtgemacht und der Score sah sofort ganz anders aus.

Habt ihr den Scan authentifiziert laufen lassen oder nur von außen über die öffentliche IP? Wenn ohne Zugangsdaten von außen gescannt wurde und der Scanner trotzdem interne Paketversionen ausspuckt, plaudern eure Service-Banner viel zu viele Infos aus; blendet diese Header als Erstes aus.

Automatisierte Scan-Tools sind das Lieblingswerkzeug von Beratungsfirmen, um Berichte künstlich aufzublähen. Da werden dann seitenweise bunte Diagramme gedruckt, um Panik zu schüren. Ein echter Angreifer stürzt sich nicht auf alles, was so ein Tool ausspuckt, sondern sucht nach Fehlern im Berechtigungskonzept und in der API-Logik. Also keine Panik.

Machen Sie sich nicht verrückt, beim ersten Scan sieht das fast auf jedem Server so aus. Nutzen Sie zunächst kostenlose Online-Tools, um die SSL-Konfiguration Ihres Webservers zu prüfen und moderne Cipher Suites zu hinterlegen. Starten Sie das System danach einmal neu und lassen Sie den Scan noch mal laufen – das Ergebnis wird Sie direkt beruhigen.

hatten damals genau dieselbe panik. naja haben dann jede cve einzeln gegoogelt um zu sehen obs ueberhaupt nen funktionierenden exploit gibt. das meiste braucchte eh lokalen benutzerzugriff sprich jemand muesste schon aufm server sein und macht die grundlegenden ports dicht und den rest arbeitet ihr einfach nach und nach ab.

Verlassen Sie sich bei der Priorisierung der Funde nicht blind auf den CVSS-Score. Oberste Priorität haben immer Schwachstellen, die sich remote und ohne Authentifizierung ausnutzen lassen. Wenn für eine Lücke bereits ein lokales Benutzerkonto auf dem Server nötig ist oder der betroffene Port gar nicht nach außen zeigt, hat der Punkt operativ erst mal eine niedrige Priorität – selbst wenn er als kritisch eingestuft ist.

Das hier Beschriebene ist genau das, was wir erlebt haben... Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt. An deiner Stelle würde ich so vorgehen.

Absolut. Wenn ich noch etwas hinzufügen darf: Fehler auf der vulnerability-scanner-Seite sind meist rückgängig zu machen, aber teuer.

Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß was man verbessern soll.

Wenn es jemand anders macht würde mich das auch interessieren.

ich bin in derselben Situation deshalb frage ich. vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten. also aus Erfahrung weiß ich das.

Ich möchte kurz warnen. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

richtig.

Bleibe dran. Kein Prozess ohne Dokumentation verbessert sich weil man nicht weiß was man verbessern soll.

Das war's, entschuldige wenn ich zu lang war.

Bei uns ist es genauso.

Gut gemacht. Wer bei vulnerability-scanner hetzt, stolpert alle an derselben Stelle.

Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen dass er sich nicht lohnt. Viel Erfolg.

Ich probiere es aus.