Zum Hauptinhalt springen
Analyse › CVE-Analyse stellt bekannte Schwachstellen den erfassten Systemen gegenüber. Der Abgleich läuft im Hintergrund. In der Oberfläche entscheiden Sie, was zuerst angegangen wird, wer sich kümmert und was bewusst stehen bleibt.
Nicht zu verwechseln mit ISMS › Risikomanagement › Schwachstellen: Dort steht der Katalog abstrakter Schwachstellen für die Risikobildung. Die CVE-Analyse arbeitet mit konkreten, veröffentlichten Schwachstellen, die der Abgleich Ihren Systemen zuordnet.

​
CVSS und Schweregrad

Liegen beide vor, gilt der Schweregrad; liegt nur die Zahl vor, wird die Stufe aus ihr abgeleitet – ab 9 kritisch, ab 7 hoch, ab 4 mittel, darunter niedrig. Dieselben Schwellen bestimmen die Behebungsfrist.

​
Nach CVEs und nach Assets

Der Bestand steht in zwei Listen:
  • Nach CVEs – eine Zeile je CVE. Ein Klick in der Spalte CVE-ID öffnet sie.
  • Nach Assets – eine Zeile je betroffenem System, mit der vollständigen Verteilung über alle vier Schweregrade.
Die zweite Liste öffnet keine CVE: Ein Klick führt auf die Detailseite des Systems. Von dort kommen Sie über dessen Tab CVEs zu den einzelnen Einträgen.
Für die Frage „Was zuerst?” genügt Analyse › Dashboard: Kritische CVEs nennt die Zahl und öffnet die Liste Nach CVEs mit einem Filter auf den Schweregrad Kritisch. Der Filter erscheint als Filterschaltfläche Kritische CVEs und lässt sich abwählen. Patches verfügbar öffnet dieselbe Liste, gefiltert auf CVEs mit verfügbarem Patch.

​
CVSS-Metriken

Der Tab Übersicht zeigt den CVSS-Wert, die Stufe im Klartext und ein Raster mit den einzelnen Metriken der Bewertung. Hat die CVE weder Schweregrad noch Metriken, steht statt der Stufe Keine Bewertung.
Zwei CVEs zeigen selten dieselben Metriken. Angezeigt wird nur, was die Quelle mitliefert, und je CVE ist nur eine CVSS-Version gefüllt. Das Raster führt die Metriknamen der Versionen 2, 3 und 4 nebeneinander: Angriffskomplexität, Benötigte Rechte und Benutzerinteraktion gehören zu Version 3 und 4, Geltungsbereich nur zu Version 3, Zugriffskomplexität und Authentifizierung nur zu Version 2, Angriffsvoraussetzungen nur zu Version 4. Version 4 trennt die Auswirkungen nach verwundbarem System und nachgelagerten Systemen, etwa Vertraulichkeit (verwundbares System) und Vertraulichkeit (nachgelagerte Systeme); diese sechs Zeilen ersetzen dort Geltungsbereich, Vertraulichkeit, Integrität und Verfügbarkeit. Von Version 4 erscheinen nur die Basismetriken. Nach welcher Version bewertet wurde, steht als Version und Vektor über dem Raster und zusätzlich in dessen erster Zeile CVSS-Version; deren Info-Icon erklärt die Skala der Version – bei Version 2 auch, dass sie keine Stufe Kritisch kennt und Hoch die höchste ist.

​
Bewertung erfassen

Auf der Detailseite einer CVE ist nur der Tab Bewertung schreibend zugänglich: Ein Stift-Icon neben einer Abschnittsüberschrift schaltet ihn in den Bearbeitungsmodus, erkennbar am Balken CVE wird bearbeitet. Der Tab Journal führt die Änderungshistorie der CVE.
Der Tab Beziehungen listet alle Beziehungen der CVE gruppiert auf. Es ist dieselbe Ansicht wie unter Inventar › Beziehungen; Spalten und Bedienung stehen dort.
Ein Tab-Wechsel verlässt den Bearbeitungsmodus und verwirft die Eingaben, sobald Sie die Rückfrage bestätigen. Speichern Sie, bevor Sie zu Betroffene Assets oder Maßnahmen wechseln.

​
Status

Neu · Bewertet · In Bearbeitung · Behoben · Akzeptiert · Falschmeldung Der Abgleich im Hintergrund ändert einen gesetzten Status nicht. Ist die Software aktualisiert, entfernt der nächste Scan die Beziehung zwischen CVE und Asset; im Journal bleibt das nachvollziehbar.
Für Akzeptiert und Falschmeldung ist eine Begründung Pflicht. Solange das Feld leer ist, bleibt die Schaltfläche zum Speichern gesperrt. Die vier übrigen Status verlangen nichts.
Dazu zwei optionale Angaben, die den Status nicht beeinflussen: Verantwortlicher für die Zuständigkeit und Fällig bis für den Termin.
Kann die unter Verantwortlicher eingetragene Person nicht mehr zugewiesen werden, etwa weil ihr Konto deaktiviert wurde, ist das Feld im Bearbeitungsmodus leer; ein Hinweis unter dem Feld nennt den bisherigen Eintrag. Speichern entfernt die Zuweisung, auch wenn Sie nur den Status ändern; wählen Sie vorher eine Person aus.
Gesperrt bleibt die Schaltfläche zum Speichern auch, solange nichts geändert wurde oder in Fällig bis ein unlesbares Datum steht.

​
Behebungsfrist und Fälligkeit

Die Behebungsfrist im Abschnitt Allgemein lässt sich nicht eingeben – sie wird aus dem CVSS-Wert gerechnet:
Eine Behebungsfrist von sieben Tagen steht mitunter neben einem Fällig bis in drei Monaten. Die Frist folgt aus dem Schweregrad, das Fälligkeitsdatum aus Ihrer Vereinbarung; die Frist berücksichtigt weder Datum noch Status.
Im selben Abschnitt lässt sich die Kategorie setzen – Software, Betriebssystem oder Hardware. Die übrigen Zeilen – Erkannt, Veröffentlicht, Quelle und CVSS – stammen aus dem Abgleich und sind reine Anzeige.

​
Risikobewertung

Der Abschnitt Risikobewertung trägt dieselbe Risikomatrix wie das ISMS, hier mit der CVE als Bezug.
Ist noch nichts bewertet, steht dort nur ein Satz – die Matrix erscheint erst, wenn Sie in den Bearbeitungsmodus wechseln.
Die Felder und die Risikobewertung werden getrennt gespeichert. Gelingt nur ein Teil, meldet Docusnap365, welcher gespeichert wurde, etwa „Die Felder wurden gespeichert, die Risikobewertung nicht.“ Der Bearbeitungsmodus bleibt offen; der gespeicherte Teil gilt als neue Vergleichsbasis, ein zweites Speichern sendet nur noch den fehlenden Teil.

​
Mehrere CVEs bewerten

In der Liste Nach CVEs bewerten Sie mehrere CVEs in einem Schritt. Bearbeiten öffnet für die markierten Zeilen dieselben Felder wie der Tab Bewertung. Bei einer markierten Zeile sind die Felder mit den Werten dieser CVE vorbelegt. Bei mehreren Zeilen sind sie leer, und vor jedem Feld steht ein Kästchen.
Geschrieben wird nur, was angehakt ist. Die übrigen Felder der markierten CVEs bleiben unverändert, auch wenn das Formular sie leer zeigt.
Mehr als 1000 markierte Zeilen verarbeitet die Mehrfachbearbeitung nicht; Bearbeiten bleibt dann gesperrt. Dieselbe Grenze gilt, wenn Sie über einen Filter alle Zeilen auswählen.

​
Maßnahmen

Im Tab Maßnahmen öffnet die Schaltfläche Maßnahme den Dialog Maßnahme hinzufügen: Neu anlegen legt eine neue an, Bestehende verknüpfen wählt eine vorhandene. Über der Liste steht, wie viele der verknüpften Maßnahmen umgesetzt sind.
Der Tab ist eine zweite Sicht auf denselben Bestand wie unter ISMS › Maßnahmen, keine eigene Maßnahmenverwaltung. Dieselbe Maßnahme kann eine CVE behandeln und ein Compliance-Ziel erfüllen.
In den Fortschritt zählt nur, was umgesetzt ist. Maßnahmen in Umsetzung stehen in einer eigenen Zeile darunter und füllen ihn nicht. Fünf verknüpfte Maßnahmen, davon zwei umgesetzt und zwei in Umsetzung, ergeben 40 Prozent; die fünfte taucht in keiner der beiden Zahlen auf.
Löschen in der Rückfrage zu Beziehung löschen löscht nur die Beziehung zwischen CVE und Maßnahme. Die Maßnahme selbst bleibt im ISMS bestehen.

​
Betroffene Assets und Software

Betroffene Assets nennt die Systeme, Betroffene Software die einzelnen Installationen mit Version und Host.
Die Zähler der beiden Tabs zählen Verschiedenes. Betroffene Assets führt jedes System einmal, auch wenn es mehrere betroffene Installationen trägt; der Zähler darüber zählt Systeme. Betroffene Software zählt Installationen und führt seine Tabelle unter der Überschrift Betroffene Installationen; dieser Zähler kann größer sein als die Zahl der Systeme. Die Spalte Betroffene Assets der Liste Nach CVEs zählt ebenfalls Systeme und entspricht dem Tab Betroffene Assets, nicht dem Tab Betroffene Software.
Der Tab Übersicht hat einen ähnlich benannten Abschnitt Betroffene Produkte. Der nennt etwas anderes: die Produktangaben der CVE selbst – Hersteller, Produkt, Version, Angreifbar –, unabhängig davon, ob das Produkt bei Ihnen installiert ist.

​
CVEs am Asset

Am Asset selbst zeigen die Übersicht und der Tab CVEs den Ausschnitt für dieses eine Gerät. Oben steht die Zahl der Schwachstellen je Schweregrad – Kritisch, Hoch, Mittel, Niedrig –, darunter unter CVEs die Liste der CVEs dieses Assets. Jede Zeile nennt den Status der CVE. Die Liste blendet in der Vorgabe CVEs mit dem Status Behoben oder Falschmeldung aus; alle übrigen Status zeigt sie, auch Bewertet. Eine erledigte CVE finden Sie am Asset, indem Sie über die Filterschaltfläche Status neben dem Suchfeld Behoben oder Falschmeldung dazunehmen. Zeigt die Liste weniger als den Bestand des Assets, steht neben der Überschrift die Anzahl der angezeigten von allen CVEs. Die Zahl je Schweregrad zählt dieselbe Menge, die die Liste ohne Schweregrad-Filter zeigt. Status- und Suchfilter wirken mit, Behoben und Falschmeldung zählen in der Vorgabe also nicht mit. Ein Klick auf eine Zahl liefert genau die gezählten Zeilen.
Die vier Schweregrade sind zugleich Filter: Ein Klick schränkt die Liste auf den angeklickten Schweregrad ein. Zusammen mit dem Suchfeld und dem Status lässt sich so ein einzelner Eintrag herausgreifen. Filter zurücksetzen stellt alle drei auf die Vorgabe zurück.
Zeigt die Liste keine Einträge, obwohl das Asset CVEs hat, nennt der Leerzustand den Grund. Weicht ein Filter von seiner Vorgabe ab, steht dort Keine CVEs für diese Auswahl; Filter zurücksetzen in der Filterleiste hebt Suchtext, Schweregrad und Status auf. Blendet allein die Vorgabe des Statusfilters alle CVEs aus, steht dort Alle CVEs haben einen Status, der im Statusfilter ausgeblendet ist.; dann nehmen Sie über den Statusfilter Behoben oder Falschmeldung hinzu. Auf der Übersicht steht unter CVEs die Zahl der kritischen und darunter die aller offenen; beide Stellen lesen dieselbe Quelle und zeigen denselben Wert. Jeder Eintrag führt auf dieselbe Detailseite wie die Listen. Bewertung, Status und Maßnahmen liegen an einem Ort, unabhängig vom Einstieg. Die Priorisierung über den ganzen Bestand bleibt Sache der beiden Listen unter CVE-Analyse.

​
Weiterführend

Die Systeme und ihre Software kommen aus dem Scannen; die Maßnahmen verfolgen Sie unter Maßnahmen.