Cluster 01
Fernzugriff
2 CVEs3,5 h Aufwand61% Ausnutzbarkeit
Beide sind ohne Anmeldung ausnutzbar und beide tauchen in Ransomware-Ketten auf. Das Edge-Gerät ist die Tür: zuerst patchen, dann nach der Webshell suchen.
Konzept für ein Bug-Bounty- und Schwachstellenprogramm
Die Liste des Ausgenutzten, als Warteschlange, die sich abarbeiten lässt.
bountystash liest den Katalog bekannter ausgenutzter Schwachstellen von CISA, gruppiert die Einträge nach dem Aufwand, den eine Behebung tatsächlich kostet, und schreibt daraus einen Arbeitsauftrag: was gegen deinen Stack ausgenutzt wird, in der Reihenfolge, die pro investierter Stunde das meiste Risiko entfernt. Kein Scanner-Rauschen. Kein tausendseitiger Bericht. Eine Warteschlange mit Zuständigen und einem Abschlussvermerk.
Beispiel-Warteschlange ansehen Über einen Pilot sprechen
1.482verfolgte Katalogeinträge
61 %der Beispiel-Exposition durch drei Patches geschlossen
3,5 hMedian-Aufwand pro Cluster
0Befunde ohne Zuständigen
01 Beispiel-Warteschlange
sortiert nach entferntem Risiko pro Stunde, nicht nach CVSS
| CVE | Hersteller / Produkt | Schweregrad | Ransomware | Cluster | Aufwand |
|---|---|---|---|---|---|
| CVE-2024-21887 | Ivanti — Connect Secure | kritisch 9.1 | ja | Fernzugriff | 1,5 h |
| CVE-2023-4966 | Citrix — NetScaler ADC | kritisch 9.4 | ja | Fernzugriff | 2 h |
| CVE-2023-44487 | IETF — HTTP/2 (Rapid Reset) | hoch 7.5 | nein | Edge-Geräte | 2 h |
| CVE-2024-3400 | Palo Alto Networks — PAN-OS GlobalProtect | kritisch 10.0 | nein | Edge-Geräte | 3 h |
| CVE-2022-22965 | VMware — Spring Framework | kritisch 9.8 | nein | Java-Landschaften | 4 h |
| CVE-2023-34362 | Progress — MOVEit Transfer | kritisch 9.8 | ja | Dateitransfer | 5 h |
| CVE-2021-44228 | Apache — Log4j 2 | kritisch 10.0 | ja | Java-Landschaften | 6 h |
| CVE-2019-0708 | Microsoft — Remotedesktopdienste | kritisch 9.8 | ja | Windows-Landschaften | 7 h |
Beispieldaten. Die CVE-IDs und Produkte sind echt und allgemein bekannt; Aufwand, Exposition und Reihenfolge sind erfunden, um die Oberfläche zu zeigen. Hier läuft kein Programm.
02 Aufwands-Cluster
ein Cluster pro Sitzung
Cluster 02
Edge-Geräte
2 CVEs5 h Aufwand24% Ausnutzbarkeit
Ein Pfad über die Management-Ebene, ein Reset auf Protokollebene. Der Reset ist eine Grenzwertänderung am Load Balancer; der andere braucht ein Wartungsfenster.
Cluster 03
Java-Landschaften
2 CVEs11 h Aufwand15% Ausnutzbarkeit
Der Aufwand steckt in der Bestandsaufnahme: welche Jars wirklich geladen werden und welche davon der Application Server in ein ausgeliefertes Verzeichnis entpackt.
Die drei größten Cluster der Beispiel-Warteschlange. Ein Cluster ist eine Gruppe von Einträgen, die ein Team in einer Sitzung schließen kann — sortiert nach dem Risiko, das er entfernt, nicht nach CVSS.
03 Wie eine Warteschlange entsteht
jede Streichung hat eine Begründung in der Akte
-
01
Eingang
Zwei Eingaben: der Katalog, bei jeder Veröffentlichung neu geladen, und deine Asset-Liste. Was keinen Zuständigen hat, gilt als exponiert, bis das Gegenteil belegt ist.
-
02
Triage
Einträge, die deinen Stack nicht treffen können, fallen mit schriftlicher Begründung heraus. Die Warteschlange bleibt kurz, und jede Streichung ist nachvollziehbar.
-
03
Nachstellen
Für die Spitze der Warteschlange ein Nachweis in deiner eigenen Umgebung: die Anfrage, die Antwort und die Zeile in der Konfiguration, die es möglich gemacht hat.
-
04
Abschließen
Patch-Reihenfolge, die Prüfung, die belegt, dass sie gegriffen hat, und ein einseitiger Vermerk für die Revision. Ein Eintrag verlässt die Warteschlange erst, wenn der Vermerk existiert.
04 Programmformen
was ein geschlossener Befund kostet
Pilot
zwei Wochen
Ein Produktteam, eine nach Aufwand sortierte Warteschlange, Nachweise für die fünf obersten Einträge und ein Patch-Plan, mit dem das Team am Montag starten kann.
Retainer
monatlich
Neue Katalogeinträge werden beim Erscheinen Zuständigen zugeordnet, dazu ein Abschlussbericht, den die Revision akzeptiert, und ein Quartalsblick darauf, was die Warteschlange über deine Umgebung sagt.
Incident
pro Ereignis
Wenn etwas von der Liste dich trifft: Eingrenzung, Prüfung der Exposition, die Reihenfolge zum Patchen und der Bericht am Tag danach.
Konzept, kein Angebot. Jede Form beantwortet eine Frage, die jedes Sicherheitsbudget stellt: Was kostet uns ein geschlossener Befund?