Herstellerneutral · CVSS v4 · EPSS · KEV · SSVC
Schwachstellenmanagement betreiben wie ein Operations Center.
Ein herstellerneutraler Praxisleitfaden für den Aufbau eines VOC: jedes Asset kennen, gezielt scannen, mit CVSS v4, EPSS und KEV priorisieren, Verantwortliche an risikobasierte SLAs binden und so berichten, dass die Führung handeln kann.
- Bereiche
- 8
- ausführliche Leitfäden
- 12
- Glossarbegriffe
- 12
Bedrohungssignale
- CVSS-BTE
- EPSS
- KEV
- SSVC
Asset-Kontext
- tier-1 asset
- internet-facing
- owner: payments
Entscheidung
Prioritätsstufe + SLA + Verantwortlicher
Lebenszyklus
Ein Kreislauf, Ende zu Ende verantwortet
Ein VOC betreibt den Schwachstellen-Lebenszyklus als kontinuierlichen Prozess mit klaren Übergaben — nicht als quartalsweisen Scan mit Tabellenkalkulation.
- 01
Inventarisieren
Jedes Asset mit Verantwortlichem, Kritikalitätsstufe und Exposition abgleichen.
- 02
Erkennen
Authentifizierte Scans, Agenten, Cloud- und Code-Scans — mit gemessener Abdeckung.
- 03
Priorisieren
CVSS, EPSS, KEV und Asset-Kontext zu wenigen Stufen verdichten.
- 04
Beheben
Nach Fix bündeln, an Verantwortliche routen, gegen ein risikobasiertes SLA verfolgen.
- 05
Verifizieren
Auf Basis von Scan-Belegen schließen; Ausnahmen mit Ablaufdatum führen.
- 06
Berichten
Behebungszeit, SLA-Einhaltung und Exposition als Trend für die Führung.
VOC-Bereich
Die VOC-Karte
Acht Bereiche, die zusammen ein funktionierendes Vulnerability Operations Center ergeben. Beginnen Sie dort, wo es am meisten schmerzt — jeder Bereich führt zu fokussierten, praxisnahen Leitfäden.
Prinzipien
Was ein VOC von einem Scan-Team unterscheidet
- 01
Risiko statt Schweregrad
Ein CVSS-Basiswert beschreibt eine Schwachstelle. Für die Priorität braucht es außerdem Belege für Ausnutzung und die Bedeutung des Assets für das Geschäft.
- 02
Nach Verantwortlichem beheben, nicht nach CVE
Bündeln Sie Findings in die Änderung, die sie beseitigt — ein Patch, ein Upgrade, eine Konfiguration — und geben Sie sie dem Team, das sie ausrollen kann.
- 03
Verifizieren statt Tickets glauben
Ein geschlossenes Ticket ist eine Behauptung. Ein sauberer Rescan oder aktuelle Agent-Daten sind ein Beleg. Nur Belege schließen ein Finding.
- 04
Fluss messen, nicht Berge
Die reine Anzahl an Findings steigt, sobald sich die Abdeckung verbessert. Behebungszeit, SLA-Einhaltung und Expositionsfenster zeigen, ob das Risiko tatsächlich sinkt.
Leitfäden
Neueste Leitfäden
Die Leitfäden erscheinen zuerst auf Englisch; Übersetzungen folgen.
Dieselbe Sprache sprechen
Kurze, präzise Definitionen der Bewertungssysteme, Kataloge und Kennzahlen, die in den Leitfäden verwendet werden.
Glossar öffnen