Schwachstellen (CVEs)

Pulse gleicht veröffentlichte CVEs (Common Vulnerabilities and Exposures) mit Ihrem Geräteinventar ab und stellt jeden Treffer als Fund dar, den Sie bewerten können. Anders als ein Vorfall — der ein Ausfallen oder Wiederanlaufen eines Monitors abbildet — löst sich eine Schwachstelle selten von selbst. Sie erfordert eine Entscheidung: Betrifft sie dieses Gerät, wird das Gerät auf eine Weise eingesetzt, die es angreifbar macht, und wie gehen Sie damit um? Schwachstellen sind deshalb ein eigenständiger Bereich in Pulse mit eigenem Lebenszyklus, eigener Aktivitätshistorie und eigener Berichterstattung, getrennt von Vorfällen.

CVE-Monitore

Ein CVE-Monitor steht für ein Gerät in Ihrem Inventar, das auf bekannte Schwachstellen geprüft werden soll. Sie legen ihn mit der Geräteidentität an:

• Hersteller — der Gerätehersteller (zum Beispiel Siemens).
• Bestellnummer — die Bestellnummer des Herstellers (die Siemens-MLFB, zum Beispiel 6ES7515-2AN03-0AB0).
• Firmware (optional) — die installierte Firmware-Version, damit versionsspezifische Sicherheitsmeldungen präzise ausgewertet werden können.

CVE-Monitore befinden sich neben Ihren übrigen Monitoren unter CVE-Monitore. Sie können einen Monitor direkt anlegen oder von der Datenquelle eines Geräts ausgehen: Dabei wird der Hersteller vorausgefüllt und der Monitor mit dieser Datenquelle verknüpft. Die Verknüpfung wird beim Anlegen festgelegt — um auf eine andere Datenquelle zu zeigen, legen Sie einen neuen Monitor an.

Pulse prüft jeden CVE-Monitor regelmäßig erneut gegen den Schwachstellenkatalog. Ein Monitor wird als fehlerhaft angezeigt, solange er eine Schwachstelle enthält, die noch bearbeitet werden muss, und als fehlerfrei, sobald jeder Fund bewertet wurde oder keine Schwachstellen zutreffen.

Funde und ihr Lebenszyklus

Jede zutreffende CVE wird zu einem Fund, der seinem CVE-Monitor zugeordnet ist. Ein Fund trägt die Details der Sicherheitsmeldung (CVSS-Wert und Schweregrad, betroffenes Produkt und betroffene Version, Hinweise zur Behebung und einen Link zur Quellmeldung) sowie einen Bewertungsstatus:

• Offen — neu erkannt, noch nicht bewertet.
• In Bearbeitung — wird aktiv untersucht oder behoben.
• Behoben — die Schwachstelle wurde behoben.
• Wird nicht behoben — eine tatsächliche Schwachstelle, aber die bewusste Entscheidung, sie nicht zu beheben (akzeptiertes Risiko). Erfordert eine Begründung.
• Nicht betroffen — als nicht zutreffend bewertet (zum Beispiel wird die betroffene Funktion nicht genutzt, oder der Versionsabgleich war ein Fehlalarm). Erfordert eine Begründung.
• Risiko akzeptiert — vorübergehend bis zu einem von Ihnen gewählten Datum akzeptiert. Verstreicht dieses Datum, kehrt der Fund automatisch zu Offen zur erneuten Bewertung zurück. Erfordert eine Begründung und ein Ablaufdatum in der Zukunft.

Bewertungsentscheidungen sind beständig: Sie bleiben über erneute Prüfungen hinweg erhalten. Verschwindet eine Schwachstelle aus einer Prüfung und taucht später wieder auf, wird die frühere Bewertungsentscheidung beibehalten statt zurückgesetzt.

Funde werden nie gelöscht. Erkennt eine erneute Prüfung eine CVE nicht mehr, wird der Fund als nicht mehr erkannt markiert und aufbewahrt, damit Historie und Trends vollständig bleiben. Verwenden Sie den Filter Nicht mehr erkannte anzeigen, um diese in der Liste einzublenden.

Einen Fund bewerten

Öffnen Sie einen Fund, um seine vollständige Sicherheitsmeldung, das Bewertungsfeld und die Liste der betroffenen Geräte zu sehen.

Das Panel Betroffene Geräte listet alle Geräte in Ihrer Organisation auf, die einen Fund zur selben CVE aufweisen — nicht nur das gerade angezeigte. Jeder Eintrag zeigt den Gerätenamen, den Bewertungsstatus und ob die CVE noch erkannt wird. Klicken Sie auf ein Gerät, um direkt zu dessen Fund zu gelangen. Das aktuell angezeigte Gerät ist mit (dieses Gerät) gekennzeichnet und nicht verlinkt. Nutzen Sie dieses Panel, um die Reichweite einer CVE in Ihrer Geräteflotte einzuschätzen und einheitlich zu bewerten.

Administratoren können den Bewertungsstatus über die Aktion Bewertung ändern anpassen:

1. Wählen Sie den neuen Status.
2. Geben Sie bei Wird nicht behoben, Nicht betroffen oder Risiko akzeptiert eine Begründung ein.
3. Wählen Sie bei Risiko akzeptiert das Datum, an dem die Akzeptanz abläuft.
4. Speichern Sie.

Jedes Mitglied kann einem Fund Kommentare hinzufügen, um Untersuchungsnotizen festzuhalten.

Aktivitätshistorie

Jeder Fund führt eine chronologische Aktivitätshistorie über alles, was mit ihm geschehen ist — automatische Prüfereignisse (erkannt, nicht mehr erkannt, wieder aufgetaucht, Risikoakzeptanz abgelaufen) und Aktionen von Personen (Bewertungsänderungen mit vorherigem und neuem Status sowie Begründung, und Kommentare). Prüfungsbedingte Einträge werden System zugeordnet; Einträge von Personen zeigen, wer sie vorgenommen hat.

Der Reiter Aktivität auf der Schwachstellen-Seite zeigt dieselben Ereignisse über alle Funde Ihrer Organisation hinweg, die neuesten zuerst, sodass Sie die jüngste Bewertungs- und Erkennungsaktivität auf einen Blick sehen.

Die Schwachstellen-Seite

Die Seite Schwachstellen hat vier Reiter:

• Übersicht — ein Überblicks-Dashboard mit Anzahl nach Bewertungsstatus und Schweregrad, einem 30-Tage-Trend für Erkannt vs. behoben und den am stärksten betroffenen Geräten.
• CVEs — eine aufklappbare Zeile pro eindeutiger CVE, zusammengefasst über alle Ihre Geräte. Jede Zeile zeigt die CVE-Kennung, den Titel, die Anzahl der betroffenen Geräte, den Schweregrad sowie eine Aufschlüsselung der Bewertungsstatus über alle Funde dieser CVE. Klicken Sie auf eine Zeile, um sie aufzuklappen und die einzelnen Funde direkt einzusehen.
• Funde — eine Zeile pro einzelnem Fund (eine flache Liste).
• Aktivität — die organisationsweite Aktivitätshistorie (siehe Aktivitätshistorie).

Filtern und suchen

Die Reiter CVEs und Funde teilen sich dieselben Filter- und Suchoptionen:

• Suche — nach CVE-Kennung, Titel oder betroffenem Produkt.
• Filter — nach Bewertungsstatus, Schweregrad und Monitor-Tags; und ob nicht mehr erkannte Funde angezeigt werden.

Sammelbewertung

In der CVEs-Ansicht können Organisationsadministratoren alle Funde einer CVE auf einmal bewerten, ohne jeden Fund einzeln öffnen zu müssen. Klicken Sie auf das ⋯-Menü einer CVE-Zeile und wählen Sie Alle bewerten. Der Dialog funktioniert genauso wie der Bewertungsdialog für einen einzelnen Fund — wählen Sie einen Status, fügen Sie bei Bedarf eine Begründung hinzu und bestätigen Sie. Die Entscheidung wird auf jeden Fund dieser CVE über alle Geräte Ihrer Organisation angewendet.

Sind beim Öffnen des Sammelbewertungs-Dialogs Filter aktiv, weist ein Hinweis darauf hin, dass die Aktion organisationsweit gilt — nicht nur für den gefilterten, aktuell sichtbaren Ausschnitt.

Sammelbewertungs-Ereignisse erscheinen in der Aktivitätshistorie mit der Bezeichnung Sammelbewertung, sodass Sie sie von Bewertungsänderungen einzelner Funde unterscheiden können.

Untersuchung mit AI Canvas

Auf der Detailseite eines CVE-Funds öffnet die Schaltfläche KI fragen den AI Canvas mit einer vorausgefüllten Frage zu dieser spezifischen CVE und diesem Gerät. Der Assistent erklärt die Schwachstelle verständlich — worum es geht, wie schwerwiegend sie ist und was ein Angreifer damit tun könnte — und analysiert anschließend, wie sie den jeweiligen überwachten Monitor betrifft: ob er in einer OT-Umgebung wahrscheinlich ausnutzbar ist und welche konkreten Behebungs- oder Minderungsmaßnahmen ergriffen werden sollten.

Sie können den AI Canvas auch ohne Öffnen eines bestimmten Funds nach Schwachstellen befragen. Aus dem Canvas heraus kann der Assistent Ihre CVE-Funde nach Bewertungsstatus, Schweregrad, betroffenem Gerät und weiteren Filtern abfragen — zum Beispiel: „Welche meiner Geräte haben kritische offene CVEs?" oder „Gib mir einen Schwachstellenbericht für meine Siemens-Geräte."

Berichterstattung

Pulse versendet wöchentlich eine Schwachstellen-Zusammenfassung per E-Mail an die Administratoren der Organisation: Anzahl nach Bewertungsstatus sowie die Anzahl neuer Funde mit kritischem und hohem Schweregrad aus der vergangenen Woche. Es ist keine Konfiguration erforderlich.

Lizenzierung

Die Schwachstellen-Funktion wird pro Organisation durch Ihre Lizenz freigeschaltet. Ohne sie stehen CVE-Monitore und Funde nicht zur Verfügung.