});

Schwachstellenerkennung

Erkennung bekannter und potentieller Sicherheitsprobleme

Die Schwachstellenerkennung, also das Erkennen von Schwachstellen oder das Vulnerability Assessment zielt darauf ab, Schwachstellen auf einem Computer, in einem Netzwerk oder innerhalb eines Kommunikationsinfrastruktur zu ermitteln, mengenmäßig zu bestimmen um diese danach entsprechend priorisieren zu können.

Diese Bewertung findet üblicherweise wie folgt statt:

1. Katalogisieren der Bestandteile und Ressourcen innerhalb eines Netzwerks (Inventarisierung)
2. Zuordnen quantifizierbarer Werte (oder zumindest eine Reihenfolge davon) und deren Wichtigkeit für die Ressourcen
3. Bestimmen der Schwachstellen bzw. möglichen Gefahren für die einzelnen Ressourcen
4. Abschwächen oder Eliminieren der gravierendsten Schwachstellen der wertvollsten Ressourcen
5. Festlegung einer Strategie, die Auswirkung eines Angriffs zu minimieren

Das Vulnerability Assessment stellt ebenso eine Wirksamkeitsprognose von skizzierten Gegenmaßnahmen dar und schätzt die Wirksamkeit nach der Aufnahme des Produktivbetriebs ab.

So weit man diese beiden Begriffe Schwachstellenerkennung und Vulnerability Assessment allgemeinverständlich, kurz und bündig beschreiben möchte, so kann dies so getan werden.
Genau genommen und in der Praxis wird noch ein weiterer Begriff verwendet: Schwachstellenanalyse. Dies ist auf den ersten Blick eine Übersetzung des englischen Begriffs Vulnerability Assessment, in der deutschen Praxis besteht allerdings ein feiner Unterschied bzw. wird etwas anderes unter den beiden Begriffen:

– Schwachstellenanalyse und

– Vulnerability Assessment

verstanden. So wird unter Vulnerability Assessment in der Regel tiefer in die Analyse und der eventuellen Auswirkungen einer Schwachstelle auf die Informationen und das gesamte Unternehmen eingegangen. Dazu wird eine entsprechende Priorisierung der Schwachstellen (z.B. nach CVSS) vorgenommen und einer zu treffenden Maßnahme zugeordnet. Mit dem Verhältnis kann dann ein Wert errechnet werden, wie wahrscheinlich die Abwehr eines Angriffes auf die entsprechende Schwachstelle (Vulnerability) ist.

Bei der Verwendung des deutschen Wortes Schwachstellenanalyse wird in der Regel ein Abgleich mit Standards und Normen verstanden wie z.B. einer ISO Norm wie 27001 oder dem IT-Grundschutz und ob die geforderten Kriterien erfüllt werden.