Seminar WithSecure Elements Exposure Management – Angriffspfade, Exposure Scores und Priorisierung

Ein langer Befundkatalog beantwortet noch nicht, welche Schwachstelle zuerst behoben werden muss. Angriffspfade verbinden technische Befunde, Identitäten, Berechtigungen, erreichbare Systeme und geschäftliche Bedeutung zu einer entscheidungsfähigen Risikosicht.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Exposure Scores, Einzelbefunde und Angriffspfadkontext voneinander unterscheiden
• Angriffspfade systematisch lesen, Evidenz prüfen und kritische Knoten erkennen
• Maßnahmen nach Risikoreduktion statt ausschließlich nach Schweregrad priorisieren
• Priorisierungsentscheidungen, Ausnahmen und Neubewertungen nachvollziehbar dokumentieren

Zielgruppe

Security Analysts, Vulnerability Management, SOC, Incident Response, System- und Cloud-Administration, Risikomanagement sowie technische Service Owner.

Voraussetzungen

Grundkenntnisse zu Schwachstellen, CVSS-orientierter Bewertung, Netzwerken, Identitäten und typischen Angriffsphasen.

Seminarinhalte

Tag 1 – Bewertungsmodell und Angriffspfad lesen

1. Asset-, Identitäts-, Cloud- und externe Expositionsdaten als Bausteine eines Angriffspfads einordnen.
2. Unterschied zwischen Einzelrisiko, aggregierter Exposition und vollständiger Angriffskette erklären.
3. Startpunkt, Übergänge, Berechtigungen, erreichbare Ziele und kritische Endpunkte in einer Pfadansicht identifizieren.
4. Exposure Score und Einflussfaktoren auf Plausibilität, Aktualität und Datenvollständigkeit prüfen.
5. Mehrere Pfade auf gemeinsame Knoten und wiederkehrende Schwachstellen untersuchen.
6. Unsichere Annahmen, fehlende Telemetrie und mögliche Fehlklassifikationen markieren.
7. Analysesicht mit einer schriftlichen Risikohypothese und belastbarer Evidenz abschließen.

Tag 2 – Priorisierung und Maßnahmenfolge

1. Geschäftskritikalität, Erreichbarkeit, Ausnutzbarkeit und laterale Bewegungsmöglichkeiten zusammenführen.
2. Maßnahmen nach erwarteter Unterbrechung mehrerer Angriffspfade bewerten.
3. Technische Korrekturen, kompensierende Kontrollen und organisatorische Maßnahmen unterscheiden.
4. Minimale Maßnahmenmenge für maximale Risikoreduktion bestimmen.
5. Abhängigkeiten, Wartungsfenster, Testbedarf und Rückfalloptionen in die Reihenfolge einbeziehen.
6. Ausnahmen mit Ablaufdatum und erneuter Bewertung versehen.
7. Nach Umsetzung Scans und Pfadberechnung erneut auswerten und Restexposition dokumentieren.

Praxisübungen

Übung 1: Angriffspfad in Einzelschritte zerlegen

Ein internetnaher Einstiegspunkt führt über ein verwaltetes Gerät und eine privilegierte Identität zu einem geschäftskritischen Cloud-Ziel.

1. Alle Knoten und Übergänge des Pfades erfassen.
2. Für jeden Übergang die erforderliche Angreiferfähigkeit notieren.
3. Evidenz und Annahmen voneinander trennen.
4. Gemeinsame Schwachstellen mit weiteren Pfaden markieren.
5. Eine priorisierte Liste möglicher Unterbrechungspunkte erstellen.

Kontrollpunkt: Die Analyse enthält einen belegten Einstieg, nachvollziehbare Übergänge, Zielwirkung und mindestens zwei alternative Unterbrechungspunkte.

Übung 2: Maßnahmenpaket priorisieren

Mehrere Teams können in einem Wartungsfenster nur einen Teil der offenen Maßnahmen umsetzen.

1. Maßnahmen nach Risikoreduktion, Aufwand, Abhängigkeit und Betriebswirkung bewerten.
2. Maßnahmen mit Mehrfachwirkung auf mehrere Pfade bevorzugen.
3. Nicht sofort umsetzbare Korrekturen mit kompensierenden Kontrollen versehen.
4. Entscheidung in einer kurzen technischen und einer Managementbegründung formulieren.
5. Nachkontrolle und Erfolgskriterien festlegen.

Kontrollpunkt: Die ausgewählte Reihenfolge ist technisch begründet, berücksichtigt Betriebsrisiken und besitzt messbare Nachkontrollen.

Methodik

Die Schulung arbeitet mit grafischen Angriffspfaden, Bewertungsmatrizen und moderierten Triage-Sitzungen. Entscheidungen werden nicht aus einer einzelnen Kennzahl abgeleitet, sondern durch Evidenz, Kontext, Abhängigkeiten und erwartete Risikoreduktion abgesichert.