Vierzig Advisories am Tag. Drei betreffen Sie.
Öffentliche Threat-Feeds, gelesen gegen Ihre eigenen Findings: welche CVEs bekanntermaßen ausgenutzt werden, welche von Ransomware genutzt werden, welche wahrscheinlich als Nächstes dran sind. Dann die Angriffspfade von einem Einstiegspunkt zu den Systemen, die am meisten zählen.
Was das ersetzt
- Jeden Morgen kommen vierzig Advisories; keines sagt, welche Ihre IT-Landschaft betreffen.
- Der Schweregrad sagt überall kritisch, also ist nichts kritisch.
- Niemand kann den Weg von einer Phishing-Mail zum Server der Lohnbuchhaltung zeichnen.
Was sich ändert
- Bekanntermaßen ausgenutzte und mit Ransomware verknüpfte CVEs, gezählt gegen Ihre eigenen Hosts, mit CISA-Fristen.
- Angriffspfade vom Einstiegspunkt zum Kronjuwel, neu aufgebaut aus aktuellen Assets und Findings.
- Erkennungsabdeckung je ATT&CK-Technik, damit die nächste Regel eine benannte Lücke schließt.
Was Sie hier tun
- 1Den KEV-Katalog gegen Ihre eigenen Findings prüfen.
Jede bekanntermaßen ausgenutzte CVE zeigt die Hosts, auf denen sie sitzt, und wie weit sie über der CISA-Frist liegt.
Threat intel - 2Wahrscheinliche Ausnutzung von lautem Schweregrad trennen.
EPSS steht neben jeder CVE in Ihren Findings; wahrscheinliche Ausnutzung ist so eine gemessene Zahl statt eines Bauchgefühls.
Threat intel - 3Herausgreifen, was Ransomware-Gruppen schon nutzen.
Findings, deren CVE in Ransomware-Kampagnen auftaucht, bekommen eine eigene Zählung und eine eigene Liste.
Threat intel - 4Die Angriffsfläche von außen kartieren.
Hosts kommen aus Certificate Transparency, Shodan und Censys, jeder mit seinen Diensten, Zertifikaten und offenen Findings.
Attack surface - 5Angriffspfade bis zu den Kronjuwelen verfolgen.
Pfade beginnen bei Phishing oder einem exponierten Dienst und enden bei den Systemen, die am meisten zählen.
Attack paths - 6Die Erkennungsabdeckung Technik für Technik lesen.
Die ATT&CK-Matrix zeigt, welche Techniken Ihre Controls erkennen; so zielt die nächste Erkennungsregel auf eine benannte Lücke.
MITRE ATT&CK
Wo die Rolle endet
Threat Intelligence und Exponierung verwalten Sie. Findings, Incidents und Assets sind hier nur lesbar; das Beheben bleibt Sache ihrer Owner.
Arbeitet mit
TRIAGESicherheitsanalystSchneller untersuchen, vollständig beheben.Triage aus der Case-Queue, dann leben Sie im Incident-Datensatz: IOCs, Nachweise und Zeitleiste, während Sie arbeiten. Prüfen, ob das schon einmal passiert ist, dann die Behebung als Aufgabe mit Datum weitergeben.
SOCSOC-ManagerDie Schicht endet. Der Kontext nicht.Kontinuität ist das schwerste Problem im SOC; sie stirbt um sieben Uhr morgens. Dienstplan, Eskalation, Auslastung und eine gegengezeichnete Übergabe halten sie am Leben. Cases und Incidents dürfen Sie schließen — und löschen.
APPSECAppSec-LeadEine Liste, was zu beheben ist. Bevor das Release rausgeht.Scanner, Pipelines und Pentests speisen ein Register pro Anwendung. Behebungen danach ordnen, was tatsächlich ausgenutzt wird, Releases über Gates mit Regeln steuern, die Sie festgehalten haben, und je Release eine SBOM für die CRA-Akte halten.
Bereit für den Schritt
über Legacy-GRC hinaus?
14 Tage kostenlos testen. Ohne Kreditkarte. Cloud oder on-premises.