Grundlagen
Was ist kontinuierliches Threat-Exposure-Management?
CTEM ist ein Programm, kein Produkt. Es ist ein wiederkehrender Zyklus, um die Exposures zu finden, die ein Angreifer tatsächlich gegen Ihre Organisation nutzen könnte, zu beweisen, welche davon zählen, und sie beheben zu lassen.
- 01 Scoping: Festlegen, was im Spiel ist
- 02 Discovery: Jede Exposure finden, nicht nur CVEs
- 03 Priorisierung: Nach Angriffspfad und Auswirkung ordnen
- 04 Validierung: Nachweisen, dass es ausnutzbar ist
- 05 Mobilisierung: Behebung durchsetzen und belegen
Woher der Begriff stammt
Gartner führte den Begriff Continuous Threat Exposure Management 20221 als Antwort auf ein bekanntes Problem ein: Schwachstellenscanner liefern Zehntausende Befunde, Behebungsteams schaffen ein paar Hundert, und niemand kann mit Sicherheit sagen, welche paar Hundert zählen. CTEM formuliert die Aufgabe um – von „alles patchen, was einen hohen CVSS-Wert hat“ zu „die Exposures reduzieren, die zu geschäftlichen Auswirkungen führen“.
Gartner hat es seither zu einem der wichtigsten strategischen Technologietrends erklärt2 und prognostiziert, dass Organisationen, die ihre Investitionen auf ein CTEM-Programm ausrichten, deutlich seltener einen Sicherheitsvorfall erleiden werden. Ob Sie der Prognose trauen oder nicht, der Budgeteffekt ist real: CTEM ist inzwischen ein Posten in vielen Sicherheitsprogrammen, und jeder Exposure-Anbieter hat sich darauf neu ausgerichtet.
Die fünf Phasen
1. Scoping
Legen Sie fest, was der Zyklus abdeckt. Nicht „alles“, sondern einen geschäftlich sinnvollen Ausschnitt: die externe Angriffsfläche, die SaaS-Landschaft, die Systeme hinter einem bestimmten umsatzrelevanten Prozess. Im Scoping einigen sich Sicherheitsteam und Fachbereich darauf, was „kritisch“ bedeutet.
2. Discovery
Erfassen Sie Assets und Exposures innerhalb des Scopes. Das ist breiter als Schwachstellen: Fehlkonfigurationen, offengelegte Zugangsdaten, schwache Identitäten, Schatten-IT, Zugriffe Dritter. Die meisten Organisationen stellen fest, dass sie mehr Assets haben, als ihr Inventar behauptet.
3. Priorisierung
Ordnen Sie Exposures nach Ausnutzungswahrscheinlichkeit und geschäftlicher Auswirkung, nicht nach dem rohen Schweregrad. Gute Priorisierung nutzt Angriffspfadanalyse, Threat Intelligence zu aktiver Ausnutzung wie den CISA-Katalog der bekannt ausgenutzten Schwachstellen (Known Exploited Vulnerabilities)3 und bereits vorhandene kompensierende Maßnahmen.
4. Validierung
Beweisen Sie, dass die priorisierten Exposures in Ihrer Umgebung tatsächlich ausnutzbar sind und ob Ihre Sicherheitsmaßnahmen das erkennen würden oder nicht. Breach-and-Attack-Simulation, automatisierte Penetrationstests und Red-Team-Übungen gehören hierher. In dieser Phase unterscheidet sich CTEM am stärksten vom klassischen Schwachstellenmanagement.
5. Mobilisierung
Machen Sie aus Befunden Behebungen. Leiten Sie die Arbeit an die Teams weiter, denen die Systeme gehören, verfolgen Sie sie bis zum Abschluss und berichten Sie den Fortschritt in Begriffen, die der Fachbereich versteht. Mobilisierung scheitert, wenn das Sicherheitsteam eine Tabelle übergibt und hofft.
CTEM im Vergleich zum Schwachstellenmanagement
| Frage | Schwachstellenmanagement | CTEM |
|---|---|---|
| Was wird gemessen? | Bekannte CVEs auf gescannten Hosts | Jede Exposure, die ein Angreifer nutzen könnte, einschließlich Identität und Konfiguration |
| Wie wird priorisiert? | CVSS-Schweregrad | Ausnutzbarkeit im Kontext plus geschäftliche Auswirkung |
| Wird es bewiesen? | Selten | Validiert durch Simulation oder Tests |
| Wer ist für die Behebung verantwortlich? | Meist der IT-Betrieb, per Ticket | Benannte Systemverantwortliche mit nachverfolgten Ergebnissen |
| Rhythmus | Periodische Scans | Kontinuierlicher Zyklus mit definiertem Scope |
Was CTEM nicht ist
- Kein einzelnes Tool. Kein Produkt deckt alle fünf Phasen gut ab. Die meisten decken zwei oder drei ab und setzen für den Rest auf Partner. Wer was abdeckt, zeigt das Verzeichnis.
- Kein Ersatz für das Patchen. Es entscheidet, was zuerst gepatcht wird.
- Nicht nur extern. Externes Angriffsflächenmanagement ist ein Input; interne Identitäts- und Konfigurations-Exposures sind meist das größere Risiko.
Wie Sie anfangen
- Wählen Sie einen engen Scope mit einem eindeutigen Fachverantwortlichen. Die externe Angriffsfläche ist die übliche erste Wahl, weil sie begrenzt und sichtbar ist.
- Führen Sie die Discovery mit dem durch, was Sie bereits haben: Ihrem Scanner, den Posture-Tools Ihres Cloud-Anbieters, einem Scan der externen Angriffsfläche.
- Priorisieren Sie im ersten Zyklus manuell. Sie werden lernen, welche Daten Ihnen fehlen.
- Validieren Sie die zehn wichtigsten Exposures mit einem gezielten Test.
- Beheben Sie sie, messen Sie die Behebungszeit und berichten Sie darüber. Dann erweitern Sie den Scope.
Weiter
- Schnellcheck: fünf Fragen, um Ihre schwächste Phase zu finden.
- Vollständige Selbstbewertung: zwanzig Aussagen, ein Reifegrad, eine gespeicherte Ergebnisübersicht.
- Anbieterverzeichnis: welche Plattformen welche Phasen abdecken.
Quellen
- Gartner, „Implement a Continuous Threat Exposure Management (CTEM) Program“, 2022 (Gartner-Abonnement). Das Fünf-Phasen-Modell ist in Gartners öffentlichen Materialien zusammengefasst. ↩
- Gartner, „Gartner Identifies the Top 10 Strategic Technology Trends for 2024“, Pressemitteilung, 16. Oktober 2023, in der Continuous Threat Exposure Management aufgeführt ist. ↩
- CISA, Known Exploited Vulnerabilities Catalog. ↩