Seminar Outpost24 – OutscanNX Findings, Farsight und risikobasierte Priorisierung

Analystenseminar zur risikobasierten Auswertung von Schwachstellen. Finding-Details, Scores, Exploit-, Malware- und Kampagnensignale, Assetkritikalität, Status und Ausnahmen werden in eine transparente Priorisierungs- und Maßnahmenlogik überführt. Die Inhalte werden in einer kontrollierten Übungsumgebung schrittweise aufgebaut, geprüft und in betriebsfähige Arbeitsabläufe übertragen.

Inhaltsübersicht

• Zielsetzung
• Seminarinhalte
• Kapitel 1: Findings-Ansichten und Befundanalyse
• Kapitel 2: CVSS, EPSS und Farsight
• Kapitel 3: Exploit-, Malware- und Kampagnenkontext
• Kapitel 4: Assetkritikalität und Geschäftskontext
• Kapitel 5: Status, Akzeptanz und False-Positive-Prozess
• Kapitel 6: Priorisierungsworkshop und Maßnahmenbacklog
• Zielgruppe
• Voraussetzungen
• Methodik

Zielsetzung

Ein reproduzierbares Verfahren priorisiert Findings anhand realer Bedrohung, Exposition und Geschäftskontext statt nach einem einzelnen Score.

Seminarinhalte

Die Bearbeitung folgt einem durchgängigen Ablauf aus Einordnung, Konfiguration, Analyse, Validierung und Dokumentation. Jeder Arbeitsschritt wird zunächst fachlich begründet und anschließend praktisch ausgeführt.

Kapitel 1: Findings-Ansichten und Befundanalyse

1. Schritt 1: Findings nach Asset, Schwachstelle, Service, Status und Zeitpunkt filtern.
2. Schritt 2: Beschreibung, Match-Details, Lösung, CVE, CWE und betroffene Instanz strukturiert lesen.
3. Schritt 3: Mehrere Vorkommen derselben Schwachstelle über Assets und Dienste vergleichen.
4. Schritt 4: Analyseansicht als View Template für wiederkehrende Triage speichern.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 2: CVSS, EPSS und Farsight

1. Schritt 1: Theoretische Schwere, statistische Ausnutzungswahrscheinlichkeit und prädiktive Risikoeinschätzung unterscheiden.
2. Schritt 2: CVSS-Vektor, EPSS-Wert und Farsight-Indikatoren gemeinsam mit der Assetexposition interpretieren.
3. Schritt 3: Wertänderungen und aktuelle Bedrohungsaktivität in die Prioritätsentscheidung einbeziehen.
4. Schritt 4: Eine nachvollziehbare Priorisierungsregel jenseits eines einzelnen Scores formulieren.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 3: Exploit-, Malware- und Kampagnenkontext

1. Schritt 1: Verfügbare Exploits, beobachtete Malware und aktive Kampagnen als getrennte Signale bewerten.
2. Schritt 2: Aktualität und Relevanz der Bedrohungsaktivität mit betroffenem Produkt und Einsatzkontext abgleichen.
3. Schritt 3: Akute Bedrohung von allgemeiner Verwundbarkeit und bloßer technischer Schwere unterscheiden.
4. Schritt 4: Eskalationsentscheidung mit verwendeten Signalen und verbleibender Unsicherheit dokumentieren.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 4: Assetkritikalität und Geschäftskontext

1. Schritt 1: Geschäftsdienst, Datenbezug, Verfügbarkeit, Exposition und Wiederherstellbarkeit je Asset erfassen.
2. Schritt 2: Technisch identische Findings auf unterschiedlich kritischen Assets differenziert priorisieren.
3. Schritt 3: Kompensierende Kontrollen und vorhandene Segmentierung als Kontext, nicht als automatische Entwarnung, berücksichtigen.
4. Schritt 4: Priorität und Frist mit Asset-Owner und Risikoverantwortung abstimmen.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 5: Status, Akzeptanz und False-Positive-Prozess

1. Schritt 1: Offen, beobachtet, behoben, akzeptiert und falsch positiv anhand eindeutiger Kriterien unterscheiden.
2. Schritt 2: Ausnahmen mit Begründung, Gültigkeit, Owner, Kontrollmaßnahme und Wiedervorlage versehen.
3. Schritt 3: False-Positive-Verdacht mit technischen Nachweisen prüfen und kontrolliert melden.
4. Schritt 4: Abgelaufene Akzeptanzen und ungeklärte Status automatisch oder regelmäßig überprüfen.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 6: Priorisierungsworkshop und Maßnahmenbacklog

1. Schritt 1: Repräsentative Findings mit Score, Threat Context und Assetkritikalität vorbereiten.
2. Schritt 2: Priorität nach einheitlicher Entscheidungslogik im Team festlegen.
3. Schritt 3: Findings zu umsetzbaren Lösungen und verantwortbaren Arbeitspaketen bündeln.
4. Schritt 4: Backlog mit Reihenfolge, Fristen, Blockern und Verifikationskriterien freigeben.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Zielgruppe

Vulnerability Management, Security Operations, System- und Netzwerkadministration, Patchmanagement, Service Ownership und technische Risikoverantwortung.

Voraussetzungen

Grundkenntnisse in Netzwerken, Betriebssystemen, Schwachstellen und Patchmanagement. Für praktische Übungen wird ein OutscanNX-Testzugang benötigt.

Methodik

Fachlicher Kurzvortrag, geführte Demonstration, schrittweise Konfiguration, Analyse realitätsnaher Befunde, praktische Übungen am System sowie dokumentierte Kontroll- und Abnahmeschritte.