Ein Schwachstellenscanner ist ein Computerprogramm, das Computer , Netzwerke oder Anwendungen auf bekannte Schwachstellen untersucht . Diese Scanner dienen dazu, die Schwachstellen eines Systems aufzudecken. Sie werden zur Identifizierung und Erkennung von Schwachstellen eingesetzt, die durch Fehlkonfigurationen oder fehlerhafte Programmierung in netzwerkbasierten Geräten wie Firewalls, Routern, Webservern, Anwendungsservern usw. entstehen. Moderne Schwachstellenscanner ermöglichen sowohl authentifizierte als auch nicht authentifizierte Scans. Sie sind typischerweise als SaaS ( Software as a Service ) verfügbar und werden über das Internet als Webanwendung bereitgestellt. Moderne Schwachstellenscanner bieten oft die Möglichkeit, Schwachstellenberichte anzupassen und Informationen zu installierter Software, offenen Ports, Zertifikaten und anderen Hosts abzufragen.

  • Authentifizierte Scans ermöglichen dem Scanner den direkten Zugriff auf netzwerkbasierte Ressourcen mithilfe von Remote-Administrationsprotokollen wie Secure Shell (SSH) oder Remote Desktop Protocol (RDP) und die Authentifizierung mit den bereitgestellten Systemanmeldeinformationen. Dadurch erhält der Schwachstellenscanner Zugriff auf Low-Level-Daten wie spezifische Dienste und Konfigurationsdetails des Host-Betriebssystems. Anschließend kann er detaillierte und genaue Informationen über das Betriebssystem und die installierte Software liefern, einschließlich Konfigurationsproblemen und fehlenden Sicherheitspatches. [ 1 ]
  • Unauthentifizierte Scans sind eine Methode, die zu einer hohen Anzahl falsch positiver Ergebnisse führen kann und keine detaillierten Informationen über das Betriebssystem und die installierte Software des Systems liefert. Diese Methode wird typischerweise von Angreifern oder Sicherheitsanalysten eingesetzt, um den Sicherheitsstatus extern zugänglicher Systeme zu ermitteln. [ 1 ]

Schwachstellenscanner sollten in der Lage sein, die Risiken in Open-Source-Abhängigkeiten zu erkennen. Da Entwickler Open-Source-Software jedoch üblicherweise neu bündeln, erscheint derselbe Code in verschiedenen Abhängigkeiten, was die Leistung und die Fähigkeit der Scanner, die anfällige Open-Source-Software zu erkennen, beeinträchtigt. [ 2 ]

Die CIS Critical Security Controls for Effective Cyber ​​Defense stufen das kontinuierliche Scannen von Schwachstellen als kritische Kontrollmaßnahme für eine effektive Cyberabwehr ein.

Ausschnitt aus einem Serverprotokoll, der die Versuche eines Scanners zeigt, die Administrationsseite zu finden.
220.128.235.XXX - - [26/Aug/2010:03:00:09 +0200] "GET /db/db/main.php HTTP/1.0" 404 - "-" "-" 220.128.235.XXX - - [26/Aug/2010:03:00:09 +0200] "GET /db/myadmin/main.php HTTP/1.0" 404 - "-" "-" 220.128.235.XXX - - [26/Aug/2010:03:00:10 +0200] "GET /db/webadmin/main.php HTTP/1.0" 404 - "-" "-" 220.128.235.XXX - - [26/Aug/2010:03:00:10 +0200] "GET /db/dbweb/main.php HTTP/1.0" 404 - "-" "-" 220.128.235.XXX - - [26/Aug/2010:03:00:11 +0200] "GET /db/websql/main.php HTTP/1.0" 404 - "-" "-" 220.128.235.XXX - - [26/Aug/2010:03:00:11 +0200] "GET /db/webdb/main.php HTTP/1.0" 404 - "-" "-" 220.128.235.XXX - - [26/Aug/2010:03:00:13 +0200] "GET /db/dbadmin/main.php HTTP/1.0" 404 - "-" "-" 220.128.235.XXX - - [26/Aug/2010:03:00:13 +0200] "GET /db/db-admin/main.php HTTP/1.0" 404 - "-" "-" (..)

Regulatorische Anforderungen

Die Überprüfung auf Schwachstellen ist in verschiedenen regulatorischen Rahmenwerken vorgeschrieben oder empfohlen. Die PCI-DSS-Anforderung 11.3 verpflichtet Organisationen, mindestens vierteljährlich und nach wesentlichen Netzwerkänderungen interne und externe Schwachstellenscans durchzuführen. [ 3 ] Im Gesundheitswesen sieht eine im Dezember 2024 veröffentlichte Bekanntmachung zur Aktualisierung der HIPAA- Sicherheitsregel vor, dass regulierte Einrichtungen mindestens alle sechs Monate Schwachstellenscans als Teil der technischen Sicherheitsvorkehrungen für elektronische geschützte Gesundheitsinformationen durchführen müssen . [ 4 ] Das Sicherheitskontrollrahmenwerk NIST SP 800-53 umfasst die Kontrollfamilie RA-5 (Vulnerability Monitoring and Scanning), die Anforderungen an die Häufigkeit von Schwachstellenscans, die Fähigkeiten der Tools und die Zeitrahmen für die Behebung von Schwachstellen in Informationssystemen der Bundesregierung festlegt. [ 5 ]

Siehe auch

Referenzen

  1. ^ a b National Institute of Standards and Technology (September 2008). „Technical Guide to Information Security Testing and Assessment“ (PDF) . NIST . Archiviert (PDF) vom Original am 27.10.2021 . Abgerufen am 05.10.2017 .
  2. Dann , Andreas; Plate, Henrik; Hermann, Ben; Ponta, Serena Elisa; Bodden, Eric (1. September 2022). „Identifizierung von Herausforderungen für OSS-Schwachstellenscanner – Eine Studie und Testsuite“. IEEE Transactions on Software Engineering . 48 (9): 3613–3625 . Bibcode : 2022ITSEn..48.3613D . doi : 10.1109/TSE.2021.3101739 . ISSN 0098-5589 . S2CID 238808679 .  
  3. ^ „PCI DSS“ . PCI Security Standards Council . Abgerufen am 14.03.2026 .
  4. ^ „HIPAA-Sicherheitsregel zur Stärkung der Cybersicherheit elektronischer geschützter Gesundheitsinformationen“ . Federal Register. 06.01.2025 . Abgerufen am 14.03.2026 .
  5. ^ „Sicherheits- und Datenschutzmaßnahmen für Informationssysteme und Organisationen“ . National Institute of Standards and Technology. 23.09.2020 . Abgerufen am 14.03.2026 .

Webanwendung [Link zur offiziellen Website erforderlich, alte Website war ein Betrug]

  • Veröffentlichung des Security Content Automation Protocol ( SCAP ) durch das National Institute of Standards and Technology (NIST).