In den vergangenen zwei Jahrzehnten hat Tenable rund 50 Billionen Datenpunkte zu mehr als 240.000 Schwachstellen gesammelt und analysiert. Aufsetzend auf diesen umfangreichen Datensatz hat Tenable eine Methodik entwickelt, die zeigt, dass in der Regel nur 3 Prozent dieser Schwachstellen in folgenschweren Breaches resultieren. Security-Teams sind mit Unmengen fragmentierter Schwachstellen- und Threat-Intelligence-Daten konfrontiert. Tenable hat diese Studie durchgeführt, um die Teams dabei zu unterstützen, auf eine proaktive Cybersecurity-Strategie umzusatteln und sich auf die Behebung der kritischsten Bedrohungen zu konzentrieren.
Die Studie greift auf das VPR-Modell (Vulnerability Priority Rating) zurück, das Tenable entwickelt hat, um die aktuelle Bedrohungslandschaft abzubilden. Die VPR-Werte reichen von 0,1 bis 10, wobei höhere Werte auf eine höhere Wahrscheinlichkeit einer Ausnutzung hinweisen. Schwachstellen mit einem VPR über 9,0 werden mit hoher Wahrscheinlichkeit ausgenutzt, wenn sie entdeckt werden – und sollten auf der Prioritätenliste ganz oben stehen. Schwachstellen mit einem VPR zwischen 7,0 und 8,9 stellen dagegen ein moderates Risiko dar, während Schwachstellen der Kategorien „Medium“ und „Low“ (0,1 bis 6,9) weniger wahrscheinlich ausgenutzt werden.
Ein Beispiel: Von den fast 240.000 im Rahmen der Studie am 2. Juni 2024 analysierten Schwachstellen fielen nur 3,1 Prozent – weniger als 7.500 – in die Kategorien „Critical“ oder „High“.
Priorisierung der Sicherheit
„Ohne Kontext ist jede Schwachstelle, jeder Patch und jedes Update kritisch – und es wird fast unmöglich, alle Systeme up to date zu halten“, erklärt Roger Scheer, Regional Vice President Central Europe bei Tenable. „Exposure Management ist unerlässlich, wenn es darum geht, klar zu priorisieren, was wirklich ein Risiko für das Business darstellt. Alle Stakeholder müssen diese Risiken verstehen und diejenigen, die in einem Breach resultieren könnten, priorisiert adressieren. Indem sie sich auf die kritischsten Schwachstellen fokussieren, können Unternehmen ihre Security Posture stärken und Ressourcen effektiver einsetzen. Dabei ist entscheidend, dass die Unternehmensführung diesen Ansatz mitträgt und proaktive Maßnahmen ergreift, um kritische Assets zu schützen.“
