Schwachstellen triagieren und die Behebung nachverfolgen
Bilden Sie Triage und Behebung von Schwachstellen als Flussdiagramm ab, zählen Sie Befunde nach Quelle, Schweregrad und Ergebnis und zeigen Sie sie als Sankey-Diagramm. Beispielmethode, kein Compliance-Nachweis.
Die Triage entscheidet, welche Befunde echt sind und wie schnell sie behoben werden müssen. Diese Anleitung zeichnet den Prozess als Flussdiagramm und zählt dann Befunde hindurch, sodass Sie sehen, wie viele rechtzeitig behoben, akzeptiert oder noch offen sind.
Kurz gesagt
- Zeichnen Sie die Triage als Entscheidungen mit benannten Ausgängen: bestätigt, Fehlalarm, innerhalb der SLA, Ausnahme.
- Zählen Sie Befunde an den Ausgängen für einen Zeitraum, nachdem Duplikate entfernt wurden.
- Zeigen Sie Quelle, Schweregrad und Ergebnis als Sankey-Diagramm, um die Form der Arbeit zu sehen.
- Behandeln Sie akzeptiertes Risiko und offene Befunde als Ergebnisse, die zu erklären sind, nicht als Fehler, die zu verbergen sind.
Triage ist eine Folge zählbarer Entscheidungen
Ein Scanner meldet Befunde. Ein Prozess entscheidet, was mit ihnen geschieht: Ist es ein echter Befund auf diesem Asset, wie schwer wiegt er, welche Frist gilt, können wir sie einhalten, und wurde die Behebung bestätigt. Jede dieser Fragen ist eine Entscheidung mit Ausgängen, und jeder Ausgang hat eine Zahl von Befunden. Als Flussdiagramm gezeichnet ist der Prozess leicht zu prüfen. Gezählt zeigt er, wo sich Befunde stauen.
Das Beispiel ist ein Schwachstellenmanagement-Prozess mit 26 Schritten. Seine Entscheidungen sind dieselben, die ein Sankey-Diagramm als Knoten braucht: scanbar oder nicht, bestätigt oder Fehlalarm, ausgenutzt oder regulär, innerhalb der SLA oder nicht, geschlossen oder noch vorhanden. Die Sankey-Vorlage unter /de/sankey/vulnerability-remediation-flow zeigt die Befunde eines Zeitraums nach Quelle, Schweregrad und Ergebnis.
Das ist eine Art, die eigenen Aufzeichnungen zu betrachten, keine Aussage darüber, was ein Standard verlangt. Ihre Richtlinie legt die SLA-Bänder fest und wer Risiken akzeptieren darf.
Ein Schwachstellenprozess, in Etappen aufgebaut
Sechsundzwanzig Schritte. Die Entscheidungen sind die Stellen, an denen ein Befund den Hauptpfad verlassen kann, und jede ist eine Zahl.
Umfang und Scan
Der Zyklus beginnt am Asset-Inventar. „Ist jedes Asset im Scope scanbar?“ hat einen Zweig „Abdeckungslücke“, der zurückführt, bis das Asset gescannt werden kann; ungescannte Assets sind so eine Zahl statt Schweigen.
Bestätigen und bewerten
Befunde werden dedupliziert und angereichert, und „Finding auf dem Asset bestätigt?“ schickt Fehlalarme zu einem Unterdrückungsschritt mit Nachweis. Bestätigte Befunde werden bewertet. Die Zahl der Fehlalarme ist das erste Ergebnis, das Sie verfolgen.
Frist, Behebung und Ausnahme
Bekannt ausgenutzte oder kritische Befunde nehmen den Notfallpfad, die übrigen erhalten ein SLA-Band und einen Fälligkeitstermin. „Innerhalb der SLA behebbar?“ schickt Befunde, die sie nicht einhalten können, zur Ausnahmeentscheidung, und der erneute Scan entscheidet, ob die Behebung wirkte.
Register und Berichte
Geschlossene Befunde aktualisieren das Register, überfällige werden eskaliert, und der Zyklus endet mit Kennzahlen zu Abdeckung, Alterung und Abschlussquote. Das sind die Zahlen, die Sie für den Zeitraum in einem Sankey-Diagramm zusammenführen können.
So funktioniert es
Ihren Triage-Prozess zeichnen
Nehmen Sie die Entscheidungen auf: bestätigt, Schweregrad, Frist, Ausnahme, Behebung bestätigt. Benennen Sie jeden Ausgang.
Befunde eines Zeitraums exportieren
Nehmen Sie die im Quartal eröffneten Befunde aus allen Scannern. Entfernen Sie dasselbe Problem, das zwei Tools melden.
Schweregrad und Ergebnis gruppieren
Nutzen Sie vier Schweregrad-Bänder und eine kurze Ergebnisliste: in der SLA behoben, verspätet behoben, akzeptiert, Fehlalarm, offen.
Quelle, Schweregrad und Ergebnis zählen
Zählen Sie jeden Befund einmal. Prüfen Sie, dass in jeden Schweregrad so viel hineinfließt, wie ihn verlässt.
Zuerst die Ausnahmen lesen
Sehen Sie sich die akzeptierten und offenen Befunde an und die Schweregrade, in denen sie sich häufen. Entscheiden Sie, ob das zu Ihrer Richtlinie passt.
Häufige Fehler
Dasselbe Problem doppelt zählen
Zwei Tools melden oft eine Schwachstelle. Ohne Deduplizierung wirken die Quellen größer, als sie sind.
Akzeptiertes Risiko verbergen
Lassen Sie akzeptierte Befunde weg, wirkt der behobene Anteil höher. Zeigen Sie sie als eigenes Ergebnis.
Das Diagramm als Nachweis nutzen
Ein Sankey-Diagramm aus Zählwerten ist eine Zusammenfassung. Nachweise für ein Audit sind die zugrunde liegenden Aufzeichnungen mit Datum und Genehmigung.
Das Schwachstellenmanagement-Flussdiagramm öffnen
Öffnen Sie die Vorlage, passen Sie die Entscheidungen an Ihre Richtlinie an und zählen Sie die Ausgänge.
Verwandte Anleitungen
Häufig gestellte Fragen
Kann das zeigen, ob ich einen Standard erfülle?
Nein. Es zeigt Ihre eigenen Zahlen. Ob sie einen Standard erfüllen, hängt vom Standard und Ihrer Richtlinie ab, die diese Anleitung nicht festlegt.
Wie zähle ich einen Befund, der auf vielen Assets vorkommt?
Entscheiden Sie einmal: jedes Paar aus Asset und Befund zählen oder jede eigene Schwachstelle. Sagen Sie in der Datenanmerkung, was, und behalten Sie es in jedem Zeitraum bei.
Gehören Fehlalarme ins Diagramm?
Ja, als Ergebnis. Ein hoher Anteil an Fehlalarmen deutet auf die Abstimmung des Scanners hin, was eine andere Abhilfe ist als Patchen.