Blog
Ein CTEM-Programm in 90 Tagen starten
Neunzig Tage reichen aus, um einen vollständigen Exposure-Zyklus auf einem engen Scope zu durchlaufen und mit Belegen dafür herauszukommen, dass der Ansatz funktioniert. Sie reichen nicht, um ein Programm aufzubauen, eine Plattform zu kaufen und die gesamte IT-Landschaft abzudecken, und jeder Plan, der das verspricht, ist ein Plan zum langsamen Scheitern.
Das Ziel bis Tag 90 ist bescheiden und konkret: ein unterschriebener Scope, ein abgeglichenes Inventar für diesen Scope, eine priorisierte Liste von Exposures, zehn davon validiert, die meisten davon behoben, und ein einseitiger Bericht mit Zahlen. In den Begriffen unseres Reifegradmodells ist das ein Programm auf Stufe Definiert für einen Ausschnitt der Organisation.
Vor Woche eins: die wichtigste Entscheidung
Wählen Sie einen Scope, der abgegrenzt und sichtbar ist und eine offensichtliche fachverantwortliche Person hat. Die externe Angriffsfläche ist die übliche Wahl, weil Sie sie von außen erfassen können, der Verantwortliche leicht zu finden ist und die Befunde leicht zu erklären sind. Die Alternative sind die Systeme hinter einem Umsatzprozess; das ist schwerer zu erfassen, führt aber zu einem besseren Gespräch mit dem Fachbereich.
Wählen Sie nicht „die gesamte Landschaft“. Wählen Sie nicht „kritische Assets“, bevor jemand außerhalb der Sicherheitsabteilung gesagt hat, welche das sind.
Widerstehen Sie der Versuchung, vor Woche acht etwas zu kaufen. Was Ihnen an Werkzeugen tatsächlich fehlt, lernen Sie, indem Sie den ersten Zyklus mit dem durchlaufen, was Sie haben; der Tool-Leitfaden ergibt danach mehr Sinn.
Der Plan
| Wochen | Phase | Was erledigt wird | Ergebnis |
|---|---|---|---|
| 1 bis 2 | Scoping | Scope, Sponsor, Fachverantwortliche und Behebungsverantwortliche benennen. Aufschreiben. | Einseitige Scope-Erklärung, unterschrieben |
| 3 bis 4 | Discovery | Jede Quelle heranziehen, die den Scope sieht. Abgleichen. Unbekanntem nachgehen. | Inventar mit Anzahl je Quelle und einer Liste der Unbekannten |
| 5 bis 6 | Priorisierung | Nach Erreichbarkeit, Pfad zu einem kritischen Asset, aktiver Ausnutzung und vorhandenen Sicherheitsmaßnahmen ordnen. Von Hand. | Priorisierte Liste mit Begründungen, Top Ten abgestimmt |
| 7 bis 8 | Validierung | Die Top Ten sicher testen. Festhalten, was ausnutzbar war und was angeschlagen hat. | Validierungsprotokoll, Herabstufungen dokumentiert |
| 9 bis 11 | Mobilisierung | Tickets mit Verantwortlichem und Termin. Bis zum Abschluss verfolgen. Fixes erneut testen. | Geschlossene Tickets, Behebungszeit je Eintrag |
| 12 bis 13 | Messen und berichten | Fünf Zahlen, eine Seite und der Scope für Zyklus zwei. | Bericht an die Führung, Scope des nächsten Zyklus |
Wochen 1 bis 2: Scoping
Schreiben Sie eine Scope-Erklärung von einer Seite. Sie benennt die Systeme und Umgebungen im Scope, den Geschäftsprozess, den sie unterstützen, den Sponsor, die fachverantwortliche Person, die die Kritikalitätsrangfolge abgestimmt hat, und die Behebungsverantwortlichen je Systemklasse. Sie listet auch auf, was draußen bleibt: SaaS, Identitäten, Drittzugriffe, was auch immer Sie zurückstellen, und warum.
Lassen Sie die fachverantwortliche Person unterschreiben. Das klingt zeremoniell und ist es nicht. Es ist das Dokument, auf das Sie in Woche zehn zeigen, wenn ein Behebungsticket bestritten wird.
Die Personen, die Sie am Tisch brauchen: einen Sponsor mit Budget, meist den CISO; eine Programmleitung, die den Zyklus verantwortet; wer heute das Schwachstellenmanagement betreibt; den Infrastruktur- oder Plattformverantwortlichen für den Scope; und die fachverantwortliche Person. Bei einem externen Scope kommt hinzu, wer DNS und die Cloud-Konten verwaltet.
Wochen 3 bis 4: Discovery
Sammeln Sie jede Quelle, die den Scope sieht: den Schwachstellenscanner, Inventar und Posture-Befunde des Cloud-Anbieters, EDR-Agentenlisten, die CMDB, DNS-Einträge, Certificate-Transparency-Logs und bei einem externen Scope einen Scan von außen. Kostenlose und günstige Werkzeuge reichen für einen ersten Zyklus aus.
Gleichen Sie ab. Die Zahl, die Sie festhalten, ist die Anzahl der Assets, die eine Quelle sieht und eine andere nicht. Sie wird größer sein, als irgendjemand erwartet hat, und sie ist Ihre erste ehrliche Kennzahl. Jedes unbekannte Asset wird zu einem Ticket: klassifizieren oder abschalten.
Nehmen Sie von Anfang an Exposures ohne CVE auf: exponierte Management-Schnittstellen, Standard-Zugangsdaten, zu weit gefasste Cloud-Rollen, verwaiste Admin-Konten. Wenn die Discovery nur CVEs liefert, wird der Zyklus immer nur CVEs beheben.
Wochen 5 bis 6: Priorisierung
Priorisieren Sie im ersten Zyklus von Hand. Das ist langsam und zeigt Ihnen genau, welche Daten Ihnen fehlen.
Halten Sie für jeden Befund vier Dinge fest: Ist er von dort erreichbar, wo ein Angreifer starten würde; liegt er auf einem Pfad zu etwas, das die fachverantwortliche Person als kritisch eingestuft hat; wird er in freier Wildbahn ausgenutzt, geprüft anhand des CISA-KEV-Katalogs und EPSS; und gibt es eine Sicherheitsmaßnahme, die ihn blockieren würde. Sortieren Sie danach, bevor Sie auf CVSS schauen.
Stimmen Sie die Top Ten mit der fachverantwortlichen Person und den Behebungsverantwortlichen ab. Ihr Widerspruch ist nützliche Information; schreiben Sie auf, warum.
Wochen 7 bis 8: Validierung
Validieren Sie die Top Ten. Bei einem externen Scope ist das ein gezielter Test jedes exponierten Dienstes: Ist er erreichbar, ist er ausnutzbar, worauf gibt er Zugriff. Bei internen Scopes erledigt das ein kurzer Einsatz eines Testteams oder ein Probelauf eines automatisierten Werkzeugs.
Halten Sie je Eintrag zwei Ergebnisse fest: War er ausnutzbar, und hat etwas angeschlagen. Eine validierte Exposure, die niemand erkannt hat, sind zwei Befunde, und der zweite ist oft der wichtigere.
Rechnen Sie mit Überraschungen in beide Richtungen. Einige der Top Ten werden nicht ausnutzbar sein, und sie herabzustufen ist ein Gewinn. Einige werden schlimmer sein, als der Scanner nahegelegt hat.
Wochen 9 bis 11: Mobilisierung
Eröffnen Sie für jede validierte Exposure ein Ticket im eigenen Workflow-Werkzeug des jeweiligen Behebungsverantwortlichen. Jedes Ticket hat einen namentlich benannten Verantwortlichen außerhalb der Sicherheitsabteilung und einen Zieltermin. Weigern Sie sich, eines ohne beides zu eröffnen.
Verfolgen Sie wöchentlich. Wenn ein Fix als abgeschlossen gemeldet wird, testen Sie ihn erneut, bevor er zählt. Halten Sie je Eintrag die Tage von der Validierung bis zur verifizierten Behebung fest; das ist Ihre Ausgangsbasis für die Behebungszeit.
Einige Fixes werden nicht im Zeitfenster landen. Das ist in Ordnung. Halten Sie fest, warum, und ob es an Kapazität, Uneinigkeit oder einem Change Freeze lag. Diese Gründe sind das Lastenheft für Zyklus zwei.
Wochen 12 bis 13: messen, berichten, ausweiten
Schreiben Sie eine Seite. Fünf Zahlen: offene validierte Exposures, mediane Behebungszeit, kritische Prozesse ohne validierten Angriffspfad, Abdeckung des Scopes und Validierungsquote. Der Beitrag zu Kennzahlen definiert jede davon. Fügen Sie einen Absatz dazu an, was sich verändert hat, und einen dazu, was Zyklus zwei abdecken wird.
Dann weiten Sie aus. Nehmen Sie einen angrenzenden Scope hinzu, nicht fünf. Nehmen Sie eine Discovery-Quelle hinzu, die Ihnen gefehlt hat. Entscheiden Sie auf Basis der Belege aus dem Zyklus, ob Sie ein Werkzeug brauchen und für welche Phase.
Häufige Fehlschläge
Scope-Ausweitung in Woche eins. Jemand nimmt Identitäten, SaaS und die Cloud-Landschaft hinzu, weil sie wichtig sind. Das sind sie, und sie kommen in Zyklus drei.
Zuerst die Plattform kaufen. Die Plattform kommt, die Integration dauert ein Quartal, und aus dem Programm wird der Plattform-Rollout. Durchlaufen Sie einen Zyklus mit dem, was Sie haben, und kaufen Sie für die Lücke.
Die Validierung überspringen, weil es kein Werkzeug gibt. Zehn Einträge kann eine Person in zwei Wochen validieren. Die Phase ist nicht optional; sie ist diejenige, die das Programm vom Schwachstellenmanagement unterscheidet.
Tickets ohne Verantwortliche. Die Sicherheitsabteilung eröffnet sie, verfolgt sie und schließt sie. Nichts ändert sich.
Zählungen melden. „Wir haben 3.400 Befunde gefunden und 900 behoben“ sagt der Führung nichts, womit sie arbeiten kann. Melden Sie die fünf Zahlen.
Es als Projekt behandeln. Zyklus eins endet an Tag 90. Zyklus zwei beginnt an Tag 91 mit einem weiteren Scope. Wenn Zyklus zwei nicht bereits im Kalender steht, war es ein Projekt.
Weiter
Machen Sie vor Woche eins den Schnellcheck, um herauszufinden, welche Phase für Sie am schwierigsten wird, und lesen Sie Was ist CTEM, falls Ihnen eine der fünf Phasen nicht vertraut ist. Die vollständige Selbstbewertung bewertet alle fünf Phasen, und das Anbieterverzeichnis hilft, sobald Sie wissen, welche Lücke Sie füllen.