Beliebte Schwachstellen-Datenbanken. Der Weg vom Sammeln zur Arbeit

Immer wenn wir über Schwachstellen sprechen, hören wir von verschiedenen Datenbanken, in denen wir sie finden können. Es gibt viele verschiedene Schwachstellen-Datenbanken, aber was war die erste? Und wie gelangen Schwachstellen in diese Datenbanken? In diesem Artikel versuchen wir, es herauszufinden.

Was ist eine Schwachstellen-Datenbank?

Eine Schwachstellen-Datenbank ist ein Werkzeug, das den Zugang zu Informationen über bekannte Schwachstellen ermöglicht. Experten sammeln, verifizieren und teilen Informationen mit einer großen Gemeinschaft, um das Wissen über Cybersicherheit zu verbessern. Schwachstellen-Datenbanken helfen Organisationen, Schwachstellen in ihren Systemen zu verfolgen und zu beheben. Schwachstellen-Scanner basieren auf Schwachstellen-Datenbanken. Ein Schwachstellen-Scanner ist ein automatisiertes Testwerkzeug, das nach Schwachstellen und Fehlern im System sucht. Scanner sind vollständig automatisiert und suchen nur nach Schwachstellen und melden potenzielle Expositionen. Danach erfolgt ein Penetrationstest. Sie sollten diese beiden Werkzeuge unterscheiden, da sie zwar verbunden sind, aber nicht dasselbe sind.

Datenbanken decken eine Vielzahl von Schwachstellen ab. Sie unterscheiden sich voneinander je nach Zweck. Schwachstellen umfassen:

• Hardware – schwache Verschlüsselung, Bauteilverschleiß und Firmware-Schwachstellen.
• Software – Probleme mit der Benutzeroberfläche, Timing-Fehler, Berechtigungsverwirrungsfehler, Speicherzuweisungsfehler und Designfehler.
• Netzwerk – unsichere Architekturen, unzureichende Authentifizierung und unkontrollierter Zugang.

Wie funktioniert eine Schwachstellen-Datenbank?

Der erste Schritt beim Sammeln von Schwachstellen besteht darin, diese zu melden. Berichte können aus verschiedenen Quellen stammen, von Entwicklern bis zu Nutzern. Es gibt eine Wartezeit für jede gemeldete Schwachstelle. Sie dauert 30 bis 90 Tage, bevor die Information öffentlich wird. Diese Wartezeit ist notwendig, damit Entwickler Patches erstellen und veröffentlichen können. Zudem können während dieser Zeit Kunden diese Patches einrichten, um sich selbst zu schützen, noch bevor die öffentliche Benachrichtigung erfolgt. Dies hängt von den Benachrichtigungsrichtlinien und Produkten ab. Nachdem der Patch erstellt wurde, wird die Schwachstelle mit ihren spezifischen Informationen der gesamten Gemeinschaft öffentlich zugänglich gemacht.

Wie werden Schwachstellen bewertet?

Eines der bekanntesten Verzeichnisse von Schwachstellen ist CVE von MITRE, einer gemeinnützigen Organisation, die von der Regierung finanziert wird. Das System wurde im September 1999 eingeführt. Diese Organisation hat eine Klassifikation für Schwachstellen geschaffen. Dieses System ist CVSS – das Common Vulnerability Scoring System. Sobald eine Schwachstelle entdeckt wird, wird sie in der CVE aufgeführt, aber ohne spezifische Details. Nach der Wartezeit werden die spezifischen Details in die CVE aktualisiert.

CVE-Identifikatoren

Identifikatoren wurden geschaffen, um die Nutzung und das Verständnis von Schwachstellen für Menschen auf der ganzen Welt zu vereinfachen. Da jedes System seine eigenen Datenbanken und Identifikatoren hatte, war es zu schwierig, eine und dieselbe Schwachstelle zu identifizieren. Seitdem hat jede Schwachstelle ihre ID, Referenz und Beschreibung:

• CVE-ID enthält das Jahr, in dem eine Schwachstelle untersucht wurde, und die Nummer.
• Referenz enthält Links zu Patches, Dokumente mit Empfehlungen und Kommentare von Entwicklern.
• Beschreibung enthält die Definition der Schwachstelle.

Beliebte Schwachstellen-Datenbanken

• NVD (National Vulnerability Database)
  

  Die NVD wurde 2005 von der US-Regierung gegründet. Es ist die Hauptdatenbank, wenn wir über Open-Source-Schwachstellen-Datenbanken sprechen. Die NVD veröffentlicht keine Schwachstellen, sondern analysiert CVEs aus der MITRE-Liste. Diese Analyse umfasst die CVSS-Bewertung, Links zu verfügbaren Patches, Informationen darüber, wie die Schwachstelle funktioniert, und deren Auswirkungsbewertung. All diese Elemente helfen Ihnen, das Verständnis und die Priorisierung der Behebung der Schwachstellen, die Sie haben, zu erleichtern.

• OSVDB (Open Source Vulnerability Database)
  

  Die OSVDB wurde 2004 von Jake Kouns, dem Gründer von Risk Based Security, gegründet – dem Unternehmen, das eine kommerzielle Version der OSVDB betreibt – die VulnDB. Das Ziel der OSVDB war es, detaillierte Informationen über Sicherheitslücken für nicht kommerzielle Nutzung bereitzustellen. Einige Unternehmen nutzten diese Datenbank jedoch für kommerzielle Zwecke, ohne zu bezahlen. Danach wurde die OSVDB im April 2016 geschlossen. Im Jahr 2011 startete Risk Based Security eine kommerzielle Version namens VulnDB. Diese Datenbank enthält mehr als 140.000 Einträge. Diese Einträge enthalten Informationen zu betroffenen Anbietern, Art der Schwachstelle, Klassifikation und ID-Informationen. Zudem enthalten viele Einträge Bedrohungsinformationen und Gegenmaßnahmen.

Zusätzliche Quellen

Zusammen mit den Schwachstellen-Datenbanken können Sie auch Sicherheitsbulletins verwenden. Dies ist eine Quelle, die Ihnen hilft, über Sicherheitslücken, Behebungsstrategien und Updates für Software informiert zu bleiben. Einige IT-Unternehmen haben ihre eigenen Sicherheitsbulletins, zum Beispiel IBM, Microsoft usw. Aufgrund der sensiblen Informationen, die in Bulletins enthalten sind, enthalten diese keine ausführlichen Informationen zur Schwachstellenausnutzung. Sicherheitsbulletins informieren Kunden über Schwachstellen. Kunden sind dafür verantwortlich, tatsächliche oder potenzielle Schäden durch Schwachstellen zu überprüfen.

Darüber hinaus gibt es Agenturen und Dienste, die Informationen über Schwachstellen bereitstellen. Zum Beispiel werden CIS-Benchmarks durch freiwillige Bemühungen von IT-Experten, Anbietern und CIS-Benchmark-Entwicklern entwickelt. In unserer Datenbank-Sicherheitsbewertung verwenden wir CIS-Benchmarks-Anleitungen und DISA-STIGS, um Sicherheitslücken zu identifizieren und zu beheben und eine sichere Konfiguration festzulegen.

Es gibt viele Schwachstellen-Datenbanken, die Sie zum Schutz Ihres Systems nutzen können. Schwachstellen-Datenbanken bilden die Grundlage für Schwachstellen-Scanner, dank derer Sie den Prozess der Suche nach Schwachstellen automatisieren können. Denken Sie daran, sich der Schwachstellen in Ihren Systemen bewusst zu sein, um sensible Daten und Ihren Ruf zu schützen.