Seminar Wazuh Schwachstellenerkennung und Exposure Management

Beschreibung

Schwachstellenfunde werden nicht ungeprüft als Maßnahmenliste übernommen. Zuerst werden Inventarqualität, installierter Paketstand, tatsächliche Nutzung und Assetkontext nachgewiesen.

Der Prozess schließt mit einer Wirksamkeitskontrolle in Wazuh. Nicht sofort behebbare Funde erhalten Eigentümer, Kompensationsmaßnahme, Ablaufdatum und erneute Bewertung.

Zielgruppe

Vulnerability Management, Wazuh-Administration, Endpoint- und Serverbetrieb, SOC und Security Engineering

Voraussetzungen

Wazuh-Agentengrundlagen, Betriebssystem- und Paketverwaltung sowie Verständnis von Schwachstellen- und Änderungsprozessen

Lernziele

• Inventar- und Agentenvoraussetzungen verlässlich prüfen
• Schwachstellenerkennung konfigurieren und mit Kontrolländerungen validieren
• Funde technisch und risikobasiert triagieren
• Behebung anhand aktualisierter Inventardaten nachweisen
• Ausnahmen, Fristen und Exposure-Kennzahlen betreiben

Inhaltsübersicht

1. Voraussetzungen für Schwachstellenerkennung prüfen
2. Software- und Systeminventar validieren
3. Schwachstellenerkennung konfigurieren und prüfen
4. Funde technisch triagieren
5. Schwachstellen mit Betriebs- und Bedrohungskontext anreichern
6. Behebung und Wirksamkeitskontrolle steuern
7. Ausnahmen und Kennzahlen für Exposure Management führen

Seminarinhalte

1. Voraussetzungen für Schwachstellenerkennung prüfen

Vollständige Softwareinventare und stabile Agentenkommunikation als Grundlage sicherstellen.

1. Unterstützte Betriebssysteme und Paketquellen der Zielsysteme inventarisieren.
2. Systeminventarisierung und notwendige zentrale Konfiguration aktivieren.
3. Agentenstatus, Versionsstand und Zeitbasis prüfen.
4. Referenzsystem mit bekannten Paketen als Kontrollbestand auswählen.
5. Fehlende Inventardaten vor der fachlichen Bewertung beheben.

2. Software- und Systeminventar validieren

Erkennungsergebnisse nur auf nachweislich aktuellen und vollständigen Bestandsdaten aufbauen.

1. Paket-, Betriebssystem-, Hotfix- und Hardwareinformationen eines Referenzsystems abrufen.
2. Wazuh-Inventar mit nativen Paket- oder Systemabfragen vergleichen.
3. Verzögerung zwischen Änderung und aktualisiertem Inventar messen.
4. Dubletten, veraltete Datensätze und kurzlebige Systeme kennzeichnen.
5. Qualitätskennzahlen für Abdeckung und Aktualität definieren.

3. Schwachstellenerkennung konfigurieren und prüfen

Inventardaten zuverlässig mit aktuellen Schwachstelleninformationen korrelieren.

1. Zentrale Konfiguration und Verbindung zum Indexer kontrollieren.
2. Erkennungsstatus und interne Gesundheitsmeldungen prüfen.
3. Auf dem Referenzsystem einen Paketstand ändern und Aktualisierung beobachten.
4. Betroffenheit, Paket, Version, Schweregrad und Status im Dashboard verifizieren.
5. Fehlerfälle für fehlende Daten, nicht unterstützte Plattform und unterbrochene Verbindung testen.

4. Funde technisch triagieren

Aus einer Trefferliste priorisierte, überprüfte Maßnahmen ableiten.

1. Assetkritikalität, Exposition, Paketfunktion und Ausnutzbarkeit erfassen.
2. Installierte Version und tatsächliche Nutzung auf dem Endpoint verifizieren.
3. Mehrfachfunde und abhängige Pakete zu einem Bearbeitungsfall bündeln.
4. Priorität und Frist anhand technischer und geschäftlicher Kriterien festlegen.
5. Entscheidung mit Evidenz und Eigentümer dokumentieren.

5. Schwachstellen mit Betriebs- und Bedrohungskontext anreichern

Schweregrad um Erreichbarkeit, Privileg, Datenwert und beobachtete Aktivität ergänzen.

1. Netzwerkzone, Internetexposition, Dienststatus und Benutzerkreis zuordnen.
2. Vorhandene Erkennungen oder IOC-Treffer auf demselben Asset berücksichtigen.
3. Kompensierende Kontrollen und Wartungsrestriktionen erfassen.
4. Priorisierung transparent aus gewichteten Kriterien ableiten.
5. Abweichungen von der Standardpriorität begründen.

6. Behebung und Wirksamkeitskontrolle steuern

Patch, Konfigurationsänderung oder Entfernung als geschlossenen Prozess nachweisen.

1. Geeignete Maßnahme und mögliche Betriebswirkung mit dem Systemverantwortlichen abstimmen.
2. Test, Wartungsfenster und Rückfallplan festlegen.
3. Maßnahme über den vorgesehenen Änderungsprozess ausführen.
4. Inventaraktualisierung und Statusänderung in Wazuh abwarten und prüfen.
5. Ergebnis oder verbleibendes Risiko im Bearbeitungsfall abschließen.

7. Ausnahmen und Kennzahlen für Exposure Management führen

Nicht sofort behebbare Funde kontrolliert, befristet und transparent verwalten.

1. Ausnahmegrund, Kompensationsmaßnahme, Eigentümer und Ablaufdatum erfassen.
2. Technische Unterdrückung nur bei eindeutiger Identifikation und minimalem Umfang verwenden.
3. Offene, überfällige und wiederkehrende Funde regelmäßig auswerten.
4. Kennzahlen für Abdeckung, Zeit bis Triage und Zeit bis Behebung erstellen.
5. Ausnahmen bei Kontext- oder Versionsänderung automatisch erneut prüfen.

Praxislabor

1. Inventar eines Referenzsystems mit nativer Paketabfrage vergleichen.
2. Eine kontrollierte Paketänderung durchführen und Aktualisierung der Erkennung beobachten.
3. Mehrere Funde anhand Assetkritikalität, Exposition und Nutzung priorisieren.
4. Eine Behebungsmaßnahme mit Rückfallplan durchführen und Statusänderung nachweisen.
5. Eine befristete Ausnahme und ein Exposure-Dashboard mit Zeitkennzahlen erstellen.

Betriebliche Qualitätssicherung

• Kein Abschluss ohne aktuelle und vollständige Inventardaten
• Trennung von technischer Betroffenheit und geschäftlicher Priorität
• Wiederholungsprüfung nach Patch oder Konfigurationsänderung
• Ablaufüberwachung für jede Ausnahme