Die meisten Einbrüche in Firmenwebsites laufen nicht über die Kernsoftware, sondern über eine Erweiterung mit einer seit Wochen bekannten Lücke. Bekannt heißt: öffentlich, mit Nummer und Datum.
Wie eine Schwachstelle bekannt wird
Gemeldete Schwachstellen erhalten eine eindeutige Kennung aus Jahreszahl und laufender Nummer. Über diese Kennung ist eine Lücke eindeutig auffindbar, unabhängig davon, wer darüber schreibt.
Zu jeder Kennung gehören eine Beschreibung, betroffene Versionen, eine Bewertung des Schweregrads und in der Regel die Version, ab der die Lücke behoben ist.
Der Schweregrad wird auf einer Skala von 0 bis 10 angegeben. Werte ab 7 gelten als hoch, ab 9 als kritisch, und bei kritischen Lücken zählt die Reaktionszeit in Stunden statt in Tagen.
Wo nachgesehen wird
In den öffentlichen Schwachstellendatenbanken, in den Warnmeldungen des Bundesamts für Sicherheit in der Informationstechnik und in den Veröffentlichungen der jeweiligen Anbieter.
Richten Sie eine Benachrichtigung ein, statt regelmäßig nachzusehen. Bei 20 Erweiterungen und einer manuellen Prüfung je Woche entstehen 1.040 Nachschlagevorgänge im Jahr, und genau deshalb unterbleibt die Prüfung.
Prüfen Sie zusätzlich einmal im Quartal den gesamten Bestand: welche Erweiterung wird noch gepflegt, wann war die letzte Aktualisierung, gibt es einen Nachfolger. Drei Fragen je Erweiterung, rund 30 Minuten für 20 Stück.
| Punkt | Regel oder Wert |
|---|---|
| Kennung | Jahreszahl und laufende Nummer |
| Enthält | Beschreibung und betroffene Versionen |
| Enthält | Schweregrad und behebende Version |
| Skala | 0 bis 10 |
| Hoch ab | 7 |
| Kritisch ab | 9 |
| Bei kritisch | Reaktionszeit in Stunden |
| Quellen | Schwachstellendatenbanken, Warnmeldungen, Anbieter |
| Empfehlung | Benachrichtigung statt manueller Prüfung |
| Bei 20 Erweiterungen wöchentlich | 1.040 Nachschlagevorgänge im Jahr |
| Quartalsprüfung | 3 Fragen je Erweiterung, rund 30 Minuten |
| Schritt bei Fund | Betroffenheit, Schweregrad, handeln, nachsehen |
| Fehlt fast immer | die Prüfung, ob bereits ausgenutzt wurde |
| Ohne Korrekturversion | abschalten |
| Entfernbar | 5 bis 8 von 25 Erweiterungen |
Der Ablauf bei einem Fund
Erstens Betroffenheit prüfen: eingesetzte Version gegen die betroffenen Versionen halten. Zweitens Schweregrad einordnen. Drittens aktualisieren oder abschalten. Viertens prüfen, ob die Lücke bereits ausgenutzt wurde.
Der vierte Schritt fehlt fast immer. Eine geschlossene Lücke sagt nichts darüber, ob vorher etwas passiert ist; ein Blick in die Zugriffsprotokolle und auf geänderte Dateien gehört dazu.
Gibt es keine bereinigte Version, ist Abschalten die richtige Entscheidung. Eine Erweiterung mit bekannter kritischer Lücke im Betrieb zu lassen, weil eine Funktion fehlen würde, ist keine Abwägung, sondern ein Aufschub.
Die Vorbeugung
Weniger Erweiterungen. Jede zusätzliche ist eine zusätzliche Angriffsfläche, und bei einer üblichen Firmenwebsite lassen sich von 25 Erweiterungen erfahrungsgemäß 5 bis 8 ersatzlos entfernen.
Keine Erweiterungen ohne aktive Pflege. Prüfen Sie vor dem Einsatz 3 Angaben: letzte Aktualisierung, Zahl der offenen Meldungen, getestete Version der Kernsoftware.
Und getrennte Zugänge. Ein Konto je Person statt eines gemeinsamen, damit im Ernstfall nachvollziehbar ist, über welchen Weg etwas geschehen ist.
Quellen
Häufige Fragen
Wie ist eine Schwachstellenkennung aufgebaut?
Aus Jahreszahl und laufender Nummer, damit sie eindeutig auffindbar ist.
Ab wann gilt eine Lücke als kritisch?
Ab einem Schweregrad von 9 auf einer Skala von 0 bis 10.
Welcher Schritt fehlt fast immer?
Die Prüfung, ob die Lücke bereits ausgenutzt wurde.
Was tun ohne bereinigte Version?
Die Erweiterung abschalten.