- 1. Der Vulnerability Management Lifecycle
- Prozessphasen: Discovery -> Scan -> Prioritize -> Remediate -> Verify -> Report.
- Abgrenzung: Schwachstellen-Scan vs. Penetration Test vs. Audit.
- Kontinuierlichkeit: Warum jährliche Scans im Jahr 2026 nicht mehr ausreichen.
- 2. Scanning-Technologien: Nessus, OpenVAS & Co.
- Netzwerk-Scans: Remote-Prüfung von Ports und Bannern.
- Authentifizierte Scans: Tiefenprüfung des Patch-Levels via Agent oder SSH/SMB-Login.
- Compliance-Checks: Prüfung von Systemhärtung (CIS Benchmarks) durch den Scanner.
- 3. CVSS & CVE: Die Sprache der Schwachstellen
- CVE-Datenbanken: Nutzung von NVD und MITRE zur Recherche von Sicherheitslücken.
- CVSS v3.1/v4.0 Deep Dive: Base Score (technisch), Temporal Score (Exploit-Status) und Environmental Score (Asset-Kontext).
- Vektor-Analyse: Verstehen, wie sich Netzwerk-Vektoren auf das Risiko auswirken.
- 4. Risikobasierte Priorisierung (RBVM)
- Die Formel: Risiko = Asset-KritikalitätExploit-WahrscheinlichkeitExposure.
- EPSS (Exploit Prediction Scoring System): Vorhersage, welche Lücken wirklich ausgenutzt werden.
- Stakeholder-Kommunikation: Warum "Critical" nicht immer sofortiges Handeln bedeutet.
- 5. Strategisches Patch Management
- Patch-Policy: Definition von Service Level Agreements (SLAs) für kritische Fixes.
- Patch-Tuesday-Prozess: Strukturierter Rollout von Microsoft- und Drittanbieter-Updates.
- Emergency Patches: Out-of-Band Prozesse für aktiv ausgenutzte Zero-Day-Lücken.
- 6. Patch-Compliance & Tracking
- Reporting: Visualisierung des "Time-to-Remediate" und der Patch-Abdeckung.
- Verifizierung: Re-Scans zur Bestätigung der erfolgreichen Behebung.
- Virtual Patching: Schutz durch WAF/IPS, wenn kein Patch verfügbar ist (Workarounds).
- 7. Container-Scanning & Supply Chain Security
- Image-Vulnerabilities: Scannen von Layern mit Trivy, Grype oder Docker Scout.
- Shift Left: Integration von Scans in die Build-Phase der CI/CD-Pipeline.
- Runtime-Security: Erkennung von Schwachstellen in laufenden Containern.
- 8. SBOM: Software Bill of Materials
- Transparenz: Was steckt in unserer Software? (CycloneDX, SPDX).
- Vulnerability Tracking: Abgleich der SBOM mit CVE-Datenbanken zur Erkennung von "Hidden Vulnerabilities".
- Compliance: Erfüllung regulatorischer Anforderungen an die Software-Lieferkette.
- 9. Cloud Security Posture Management (CSPM)
- Fehlkonfigurationen: Offene S3-Buckets, unsichere IAM-Rollen und fehlendes Logging.
- Tools: Einsatz von Prowler (AWS) oder ScoutSuite für Multi-Cloud-Audits.
- Auto-Remediation: Automatisierte Korrektur von Fehlkonfigurationen in Azure/AWS/GCP.
- 10. Tools-Vergleich: Welcher Scanner für wen?
- Open Source: Vor- und Nachteile von Greenbone/OpenVAS.
- Enterprise-Lösungen: Qualys vs. Tenable (Nessus) vs. Rapid7 vs. CrowdStrike Falcon Spotlight.
- Managed Services: Wann macht Outsourcing des VM-Prozesses Sinn?
- 11. Reporting & Dashboarding
- Technische Reports: Detailberichte für die Administration.
- Management-Reporting: Aggregierte Kennzahlen (MTTR, Vulnerability Density) für die Führungsebene.
- Automatisierung: Anbindung von Scannern an Ticketing-Systeme (Jira/ServiceNow).
- 12. Praxis-Workshop: The Remediation Sprint
- Scan-Task: Durchführung eines authentifizierten Nessus-Scans auf ein Test-System.
- Prioritization-Task: Bewertung von 5 Funden basierend auf Asset-Listen und CVSS.
- Cloud-Task: Identifikation von "Low Hanging Fruits" in einer AWS/Azure-Umgebung mit Prowler.
- Final Roadmap: Erstellung eines Patch-Management-Fahrplans für das eigene Unternehmen.
LernzieleDie Teilnehmenden erlernen die Implementierung eines strukturierten Vulnerability Management Prozesses. Ziel ist es, Netzwerk- und Container-Scans professionell durchzuführen, Schwachstellen anhand von CVSS und Geschäftsrelevanz zu priorisieren und einen effizienten Patch-Management-Zyklus zu etablieren, um die Angriffsfläche des Unternehmens nachhaltig zu reduzieren
Zielgruppen- IT-Sicherheitsbeauftragte & CISOs: Zur Steuerung der Security-Strategie.
- System- & Netzwerkadministratoren: Zur operativen Umsetzung von Scans und Patches.
- DevSecOps-Engineers: Zur Integration von Scans in CI/CD-Pipelines.
- IT-Auditoren: Zur Überprüfung der Compliance und Patch-Level.
