CVE-Überwachung das führt zum handeln.
Das Anschauen von CVEs reicht nicht aus. Was zählt, ist zu wissen, welche Probleme Sie betreffen, in welcher Reihenfolge Sie damit umgehen müssen und was nach der Warnung passiert.
A CVE (Häufige Schwachstellen und Gefährdungen) ist die öffentliche Kennung einer Schwachstelle. Mehr als 40.000 wurden im Jahr 2024 veröffentlicht und die Kurve hat sich seit 2016 nicht abgeflacht (CVE-Programmmetriken). Ein Team, das rund dreißig Komponenten betreibt, wird im Laufe des Jahres ein paar Dutzend sehen, die es tatsächlich betreffen. Das ganze Problem liegt in diesem Verhältnis.
Die wahren Kosten des Lärms
Das Lesen jedes veröffentlichten CVE würde bei einer Relevanzrate von unter einem Prozent mehr als zwei Stunden pro Arbeitstag in Anspruch nehmen. Niemand hält dieses Tempo durch. Was in der Praxis passiert, ist schlimmer als aufzugeben: Das Team liest zwei Wochen lang, überfliegt es dann, filtert es nach „kritisch“ und hört dann auf, es zu öffnen. An dem Tag, an dem ein Fehler sie wirklich betrifft, landet die Benachrichtigung in einem Kanal, den niemand mehr betrachtet.
Das eigentliche Risiko liegt also im Abschalten, nicht in der Lautstärke. Ein Monitoring-Setup wird anhand einer Frage beurteilt: Wird es in sechs Monaten noch jemand lesen?
Erstellen Sie einen Bereich und halten Sie ihn aktuell
Ein Überwachungsbereich ist die Liste dessen, was Sie ausführen, mit Versionen. Es gibt drei Möglichkeiten, es zu erstellen: manuell eingeben, importieren SBOM (Software-Stückliste, das von Ihrer Software-Build-Pipeline erzeugte Komponenteninventar), oder lassen Sie die Technologien hinter einem öffentlichen URL erkennen. Für etwa zehn Komponenten zwei Minuten einplanen.
Der schwierige Teil besteht nicht darin, es zu erstellen, sondern es auf dem neuesten Stand zu halten. Ein Versions-Upgrade, eine hinzugefügte Bibliothek, ein von einem Client übernommener Server: Jede nicht aufgezeichnete Änderung ist ein blinder Fleck. Das Importieren eines SBOM bei jeder Veröffentlichung ist der einzige Mechanismus, der im Laufe der Zeit Bestand hat, da er nicht vom Arbeitsspeicher anderer Personen abhängt.
Drei Signale zur Priorisierung und wann jeder etwas falsch macht
Sobald die Liste eingegrenzt ist, müssen Sie noch die Reihenfolge auswählen. Drei öffentliche Referenzen beantworten diese Frage und sollten in genau dieser Reihenfolge gelesen werden.
Zuerst KEV: der Katalog aktiv ausgenutzter Schwachstellen, veröffentlicht von der US-amerikanischen Cybersicherheitsbehörde. Es ist keine Prognose, sondern eine Beobachtung: die Liste der bereits brennenden Brände. Ein CVE, das sich im KEV befindet und in Ihrer Umgebung vorhanden ist, wird repariert, keine Diskussion. Seine Einschränkung: Es listet nur das auf, was beobachtet und gemeldet wurde, sodass es manchmal nach der Ausbeutung eintrifft. So lesen Sie den KEV-Katalog.
EPSS als nächstes: eine Wahrscheinlichkeit, dass innerhalb der nächsten dreißig Tage eine Ausbeutung beobachtet wird, die jeden Morgen neu berechnet wird. Es ist die Wettervorhersage: Man bezweifelt nicht, dass es regnen könnte, man nimmt einen Regenschirm mit. Seine Einschränkung: Es beschreibt die Welt, nicht Sie. Ein höchstwahrscheinlicher Fehler in einer Dienstleistung, den Sie nicht offenlegen, beunruhigt Sie kaum. Was EPSS vorhersagt und was nicht.
CVSS zuletzt: die intrinsische Schwere, von 0 bis 10. Es ist die Stärke eines Erdbebens: die Stärke des Ereignisses, unabhängig davon, ob sich darüber eine Stadt befindet. Am wichtigsten ist die Einschränkung, die man kennen sollte: Die meisten als kritisch eingestuften CVEs-Fehler werden niemals ausgenutzt. So lesen Sie einen CVSS-Vektor, und der Rechner einen bauen.
Eine Regel, die Sie unverändert verwenden können: Alles im KEV und in Ihrer Umgebung wird innerhalb von 48 Stunden bearbeitet; als nächstes alles mit einem EPSS über 0,1; CVSS dient lediglich dazu, ein Unentschieden zwischen zwei Kandidaten zu lösen.
Was passiert nach der Warnung?
Eine Warnung, die zu nichts führt, ist ein Kostenfaktor ohne Gegenleistung. Der vollständige Pfad hat vier Zustände: empfangen, analysiert, repariert, gelöst. Jede Warnung hat einen benannten Eigentümer. Jede Zustandsänderung hinterlässt eine datierte Aufzeichnung, die für das Team ebenso nützlich ist wie für einen Prüfer sechs Monate später.
Zwei Verzögerungen, die man nicht verwechseln sollte, denn sie vermischen sich überall. Die Synchronisation: wie oft die Feeds erneut gelesen werden. Die Verarbeitung: die Zeit zwischen dem Lesen eines CVE und dem Versenden der Benachrichtigung, die bei uns unter 30 Sekunden bleibt. Kein Tool kann schneller sein als seine Synchronisierungsfrequenz, und jeder Anbieter, der nur eine Zahl ankündigt, verbirgt die andere.
Ende der Unterstützung, der blinde Fleck
Eine End-of-Life-Version wird nie wieder einen Patch erhalten. Es handelt sich nicht um eine weitere Schwachstelle: Es ist die Garantie dafür, dass jede zukünftige Schwachstelle offen bleibt. Eine ernsthafte Überwachung verfolgt daher die End-of-Support-Termine genauso genau wie CVEs, mit genügend Vorlauf, um eine Migration zu planen, anstatt sie an diesem Tag zu entdecken.
Neun Feeds, gegengeprüft
Keine einzelne Quelle ist für sich genommen vollständig. Seit Februar 2024 erfolgt die CVE-Anreicherung durch die NVD hat sich stark verlangsamt: Viele Schwachstellen blieben monatelang ohne Bewertung oder Produktreferenz. Wir vergleichen neun Feeds (CVE-Liste, NVD, der KEV-Katalog, EPSS-Scores, veröffentlichte Proofs of Concept, GitHub-Advisories, OSV, CERT-FR-Veröffentlichungen und die europäische EUVD-Datenbank), um nutzbar zu bleiben, wenn einer von ihnen ins Hintertreffen gerät. Quellen und deren Lizenzen im Detail.
In der Praxis, am Montagmorgen
Vier Schritte in dieser Reihenfolge für ein Team, das bei Null beginnt.
- Deklarieren Sie zwanzig Komponenten, Versionen enthalten. Nicht hundert: diejenigen, die dem Internet ausgesetzt sind, und diejenigen, die über Daten verfügen.
- Legen Sie den Schwellenwert fest. Alles im KEV, unabhängig von der Punktzahl, plus alles über 7 im CVSS. Das reicht von mehreren Tausend CVEs pro Monat bis hin zu einer Handvoll Warnungen.
- Trennen Sie die Kanäle. Kritische Elemente für Slack oder Teams, der Rest in einer täglichen Zusammenfassung. Alles an Slack zu senden ist dasselbe wie das Stummschalten von Slack.
- Überprüfen Sie das Volumen nach einer Woche. Mehr als zehn Benachrichtigungen? Erhöhen Sie die Schwelle. Null? Ihr Umfang ist wahrscheinlich unvollständig.
Welches Tool, um das alles zu bewältigen?
Die obige Methode ist produktunabhängig. Um denjenigen auszuwählen, der es ausführt, zwei Seiten: die 2026-Ranking von sechs CVE-Überwachungstools wenn Sie bei Null anfangen und die direkte Vergleiche wenn Sie bereits OpenCVE, Cyberwatch oder CVEDetails verwenden. TechWatchAlert wendet diese Methode auf Französisch an, gehostet in Frankreich, mit einem kostenlosen Plan, um sie auf Ihrem eigenen Scope zu testen.
FAQ
Was ist CVE-Überwachung?
Kontinuierliche Überwachung der öffentlichen Schwachstellen, die sich auf die von Ihnen ausgeführte Software und Ausrüstung auswirken, damit Sie diese beheben können, bevor sie ausgenutzt werden. Was es vom einfachen Lesen eines Feeds unterscheidet, ist die Filterung nach einem deklarierten Bereich.
Wie automatisieren Sie die CVE-Überwachung?
Deklarieren Sie Ihren Stack (Anbieter, Produkte, Versionen), dann lassen Sie das Tool den Feed filtern, mit KEV und EPSS priorisieren und Sie auf Ihrem Kanal benachrichtigen. Die Automatisierung, auf die es ankommt, ist nicht die Sammlung, die einfach ist, sondern die Triage, die die eigentliche Arbeit darstellt.
Ist die CVE-Überwachung kostenlos?
Der kostenlose Plan von TechWatchAlert umfasst 3 erfasste Stack-Komponenten, 1 Alert-Webhook und 1 SBOM-Anwendung, keine Kreditkarte erforderlich. Für andere Tools gibt es ebenfalls kostenlose Stufen. Was niemals umsonst ist, ist die Zeit, die Sie mit der Auswahl verbringen, wenn niemand nach Ihnen filtert.
CVE-Überwachung oder Schwachstellenscanner?
Ein Scanner erkennt über einen Agenten oder Netzwerkzugriff, was auf Ihren Computern läuft. Die Überwachung beginnt bei dem von Ihnen deklarierten Stack und benachrichtigt Sie über den passenden CVEs, ohne Agent und ohne Eingriff. Die beiden beantworten unterschiedliche Fragen und ergänzen sich.
Wie lange dauert die Einrichtung der Überwachung?
Nehmen Sie sich zwei Minuten Zeit, um etwa zehn Komponenten zu deklarieren, und eine Woche Beobachtungszeit, um die Rauschschwelle einzustellen. Das Einstellen des Schwellenwerts ist wichtiger als das Setup.
Free-Plan, keine Karte
Holen Sie sich nur das CVEs, das betroffen ist Ihr tatsächlicher Nachlass.
Deklarieren Sie Ihre Komponenten einmal. Wir benachrichtigen Sie, sobald ein Fehler einen von KEV und EPSS bereits priorisierten Fehler auf dem Kanal Ihrer Wahl betrifft. Die erste Warnung erlischt bei der nächsten Synchronisierung.
- Free, keine Kreditkarte
- Gebaut und gehostet in Frankreich
- Exportieren Sie Ihre Daten jederzeit