Erläutern Sie mir den Lebenszyklus des Schwachstellenmanagements.
Kurzantwort
Schwachstellenmanagement ist eine fortlaufende Schleife: Assets und Schwachstellen entdecken (Scanning, Asset-Inventar), nach echtem Risiko priorisieren (CVSS plus Ausnutzbarkeit, Exposition und Asset-Kritikalität — Frameworks wie EPSS und SSVC helfen), beheben oder mindern, den Fix verifizieren und über Trends und SLAs berichten. Der Scan ist der leichte Teil; die Disziplin liegt darin, zu priorisieren und die Schleife zu schließen, damit das Risiko mit der Zeit tatsächlich sinkt.
Schwachstellenmanagement ist nicht „Nessus laufen lassen". Es ist ein fortlaufendes Programm, das ein messbares Risiko nach unten trendet, und Interviewer fragen danach, um zu sehen, ob Sie verstehen, dass das Scannen der triviale Teil ist — Priorisieren und das Schließen der Schleife ist die Arbeit.
Der Lebenszyklus
- Entdecken. Man kann nicht schützen, was man nicht sieht, also beginnt es mit einem genauen Asset-Inventar. Dann decken authentifizierte und nicht authentifizierte Scans, Cloud-Posture-Prüfungen und Software Composition Analysis die Schwachstellen über dieses Inventar hinweg auf.
- Priorisieren. Dies ist der schwierige, wertschöpfende Schritt. Der rohe CVSS-Basisscore ist notwendig, aber nicht hinreichend — eine 9,8 auf einer isolierten internen Maschine zählt weniger als eine 7,5 auf einer wertvollen, ins Internet exponierten App mit öffentlichem Exploit-Code. Ergänzen Sie Ausnutzbarkeit (EPSS, CISA KEV), Exposition und Asset-Kritikalität. Entscheidungs-Frameworks wie SSVC formalisieren dies.
- Beheben oder mindern. Patchen, wo Sie können; wo Sie nicht können, kompensierende Kontrollen anwenden — Segmentierung, WAF-Regeln, eine Funktion deaktivieren — und das Restrisiko verfolgen.
- Verifizieren. Erneut scannen oder testen, um zu bestätigen, dass der Fix tatsächlich griff und keine Regression verursachte. Ein nicht nachverfolgtes „wir haben es gepatcht" ist kein Abschluss.
- Berichten. Kennzahlen verfolgen — mittlere Behebungszeit, SLA-Einhaltung, Anzahl offener Kritischer — damit die Führung das Risiko sinken sieht und das Programm entsprechend ausstattet.
Warum die Priorisierung dominiert
Ein großer Bestand erzeugt Tausende von Befunden; nur ein kleiner Bruchteil ist realistisch ausnutzbar. CVSS-10er als einzige Priorität zu behandeln verschwendet Aufwand und übersieht zugleich den aktiv ausgenutzten, ins Internet exponierten Bug mittlerer Schwere, der Sie tatsächlich kompromittiert.
Worauf Interviewer achten
Sie wollen risikobasierte Priorisierung hören (nicht nur Schweregrad), die Stützung auf ein Asset-Inventar, den Verifizierungsschritt, den viele Teams überspringen, und den pragmatischen Umgang mit Schwachstellen ohne verfügbaren Patch.
Wahrscheinliche Anschlussfragen
- Warum ist der CVSS-Basisscore allein eine schlechte Methode, um Patching zu priorisieren?
- Wie ändern EPSS oder CISA KEV Ihre Behebungsreihenfolge?
- Was tun Sie bei einer kritischen Schwachstelle, für die kein Patch verfügbar ist?