Bedrohungslandschaft und Schwachstellen-Triage verwenden

Vigil Active Defense macht jedes geschützte Gerät zu einem Sicherheitssensor: Der Agent scannt das Dateisystem nach Malware und katalogisiert installierte Software für den CVE-Abgleich gegen NVD- und OSV-Daten. Zwei Dashboard-Seiten präsentieren die Ergebnisse. Bedrohungslandschaft (/security-dashboard) liefert einen Überblick über die Sicherheitslage auf Realm-Ebene, und Schwachstellen-Triage (/triage) ist die Arbeitswarteschlange, in der Befunde geprüft und entschieden werden.

Diese Anleitung ist prozedural: Scans aktivieren, das Dashboard lesen, Befunde abarbeiten und Unterdrückungsregeln erstellen, ohne reale Risiken zu verdecken. Die zugrunde liegende Erkennungsarchitektur beschreibt The Vigil Subsystem: Local Threat Detection.

1. Scans auf einem Gerät aktivieren

Scans werden pro Gerät konfiguriert. Öffnen Sie die Detailansicht des Geräts und wählen Sie den Tab Sicherheit.

1. Scan-Bereich: Wählen Sie Gesamtes System oder einzelne Partitionen aus. Der Bereich gilt für geplante und manuelle Scans gleichermaßen.
2. Malware-Schutz: Aktivieren Sie den Hintergrund-Scheduler und wählen Sie eine Häufigkeit: Stündlich, Alle 6 Stunden, Alle 12 Stunden, Täglich (24 Stunden) oder Wöchentlich.
3. Schwachstellen-Inventar: Aktivieren Sie das Software-Inventar, damit der Agent installierte Software für den CVE-Abgleich katalogisiert, und legen Sie die Inventar-Häufigkeit fest (Alle 6 Stunden, Alle 12 Stunden oder Täglich). Lassen Sie diese Option auf Systemen mit hohen Datenschutzanforderungen deaktiviert, auf denen keine Software-Metadaten erhoben werden dürfen.
4. Klicken Sie auf ÄNDERUNGEN SPEICHERN. Die neue Richtlinie wird sofort auf das Gerät übertragen; ist das Gerät offline, greift die Richtlinie bei seiner nächsten Verbindung und wird lokal vom Agenten durchgesetzt.

Manuelle Scans und das Tageskontingent: Die Schaltfläche JETZT SCANNEN löst einen sofortigen On-Demand-Scan aus. Jedes Gerät verfügt über ein tägliches Scan-Kontingent, das neben der Schaltfläche angezeigt wird (zum Beispiel KONTINGENT: 1 / 3 Scans verwendet) und um 00:00 UTC zurückgesetzt wird. Ist das Kontingent erschöpft, zeigt die Schaltfläche bis zum Reset LIMIT ERREICHT an. Scheduler-Häufigkeiten, die das Tageslimit überschreiten würden, sind im Dropdown deaktiviert - Stündlich erfordert beispielsweise ein Tageslimit von mindestens 24.

Ein Gerät, das noch nie einen Scan abgeschlossen hat, besitzt kein Sicherheitsurteil: Sein Risiko-Badge zeigt den neutralen Zustand Keine Daten, nicht ein grünes „Sicher". Behandeln Sie „Keine Daten" als Abdeckungslücke - führen Sie einen manuellen Scan aus oder prüfen Sie, ob der Scheduler und das Software-Inventar auf diesem Gerät aktiviert sind.

2. Die Bedrohungslandschaft lesen

Öffnen Sie Bedrohungslandschaft (/security-dashboard) in der Seitenleiste. Alle Diagramme und Verlaufstabellen auf der Seite folgen der Zeitraumauswahl im Kopfbereich: die letzten 7, 30 (Standard) oder 90 Tage oder ein benutzerdefinierter Zeitraum.

KPI-Karten

• AKTIVE BEDROHUNGEN - offene Befunde im gesamten Realm, mit separat ausgewiesenen KRITISCH- und HOCH-Zählern. Untersuchen Sie diese zuerst.
• SCANS (24 STD.) - wie viele Geräte in den letzten 24 Stunden einen Scan abgeschlossen haben, bezogen auf die Gesamtgerätezahl. Ein niedriger Wert weist auf Abdeckungslücken hin.
• GESCANNTE DATEIEN - geprüftes Datenvolumen der letzten 24 Stunden.
• GESAMT BEHOBEN - durch Behebung geschlossene Befunde (gepatchte Software oder entfernte Malware).

Diagramme und Flight Recorder

• BEDROHUNGSERKENNUNGS-STREAM - pro Tag erkannte Schwachstellen und Malware.
• ENGINE-DURCHSATZ - gescannte Dateien und Scan-Häufigkeit pro Tag; nützlich, um Geräte zu erkennen, die das Scannen eingestellt haben.
• RISIKO & BEHEBUNG - Anzahl kritischer Schweregrade gegen die Behebungsgeschwindigkeit; zeigt, ob Sie Befunde schneller schließen, als neue hinzukommen.

Die Tabelle FLIGHT-RECORDER-PROTOKOLL enthält eine Zeile pro Tag: durchgeführte Scans, Malware- und Schwachstellen-Zähler sowie einen ALARM-/OK-Status. Die Tabelle NEUESTE SCHWACHSTELLEN-ERKENNUNGEN zeigt die jüngsten Befunde (Erkennungszeitpunkt, Schweregrad, Schwachstellen-ID, Paket, Gerät, Status); klicken Sie auf eine Zeile, um die Befunddetails zu öffnen.

Prioritäre Geräte

Das Panel PRIORITÄRE GERÄTE listet bis zu fünf Geräte mit aktiven Befunden, sortiert nach kritischem Zähler, Gesamtzahl aktiver Befunde und Risikowert - das Schlimmste zuerst. Ein Klick auf ein Gerät verlinkt direkt in die Schwachstellen-Triage mit voreingestelltem Gerätefilter - der schnellste Einstiegspunkt für die tägliche Triage. Hat kein Gerät aktive Befunde, zeigt das Panel „Alle Geräte sind sicher" an.

Bericht generieren

Bericht generieren im Kopfbereich erzeugt einen PDF-Sicherheitsbericht:

1. Wählen Sie den Umfang: Gesamter Realm oder Einzelnes Gerät.
2. Wählen Sie die enthaltenen Abschnitte: Flottenübersicht (nur Realm-Umfang), Aktive Befunde pro Gerät, Behobene / ignorierte Befunde und Platz für handschriftliche Notizen für gedruckte Prüfexemplare.
3. Klicken Sie auf PDF ERSTELLEN, um das PDF herunterzuladen.

Verwenden Sie den Realm-Umfang für Management- und Compliance-Berichte und den gerätebezogenen Umfang für die Übergabe an das Team, das die betreffende Maschine saniert.

3. Befunde abarbeiten

Öffnen Sie Schwachstellen-Triage (/triage). Die Seite hat drei Tabs:

• AKTIV - Befunde, die derzeit Aufmerksamkeit erfordern, mit der Anzahl offener Befunde im Tab-Label.
• BEHOBEN / IGNORIERT - der kombinierte Verlauf: Befunde, die nach dem Patchen der zugrunde liegenden Software automatisch behoben wurden, durch eine Triage-Entscheidung unterdrückte Befunde und zurückgestellte Einträge.
• UNTERDRÜCKUNGSREGELN - dauerhafte Regeln, die passende Befunde automatisch unterdrücken (Abschnitt 4).

Die richtigen Befunde finden

• Filtern Sie per Dropdown nach Gerät (die Liste zeigt die Befundzahlen pro Gerät) und suchen Sie nach CVE-ID, Paket oder Gerätename.
• Sortieren Sie die Spalten nach Schweregrad, Schwachstellen-ID, betroffenem Asset oder Erkennungsdatum. Der Schweregrad sortiert nach Score, sodass die schwerwiegendsten Befunde oben landen.
• Wechseln Sie zwischen Flache Liste und Nach Gerät gruppieren. Die gruppierte Ansicht rendert ein Accordion pro Gerät mit Zähler-Chips je Schweregrad, sortiert nach Kritikalität - praktisch, wenn wenige Maschinen den Großteil der Befunde verursachen.
• Ein Link der Form /triage?device=<id> öffnet die Seite mit bereits gesetztem Gerätefilter. Das Panel PRIORITÄRE GERÄTE nutzt diesen Mechanismus, und Sie können solche Links im Team teilen.

Klicken Sie auf eine Befundzeile, um den Details-Dialog zu öffnen: Schweregrad und Score, die Schwachstellen-ID und ihre Quelle, das betroffene Paket mit Version, ein Banner Behoben in: <Version>, sofern eine Fix-Version bekannt ist (oder Kein Fix verfügbar), die CVE-Beschreibung mit Vektor-String, die Zeitstempel „Zuerst erkannt" und „Zuletzt gesehen" sowie den aktuellen Triage-Status mit seiner Notiz. Die Fix-Version verrät Ihnen, welches Paket-Update den Befund beseitigt.

Der ENTSCHEIDEN-Dialog

Klicken Sie bei einem Befund auf ENTSCHEIDEN, wählen Sie eine der vier Entscheidungen und geben Sie eine Begründung ein:

Die Begründung wird zusammen mit der Entscheidung gespeichert und in den Audit-Datensatz aufgenommen. Formulieren Sie sie daher für einen zukünftigen Leser: was Sie geprüft haben und warum die Entscheidung sicher ist. Klicken Sie auf Entscheidung übermitteln, um sie anzuwenden.

Sammel-Triage und CSV-Export

• Für einen Stapel ähnlicher Befunde (zum Beispiel dasselbe zurückgeportete Paket auf mehreren Servern) wählen Sie diese über die Checkboxen aus - die Checkbox im Tabellenkopf wählt alles aktuell Gefilterte aus - und klicken in der Sammelaktionsleiste auf ENTSCHEIDEN. Eine Entscheidung mit einer Begründung wird auf alle ausgewählten Befunde angewendet. Sammelentscheidungen können keine Unterdrückungsregeln erzeugen; erstellen Sie Regeln stattdessen aus einem einzelnen Befund heraus.
• CSV exportieren lädt die aktuell gefilterte AKTIV-Liste herunter (Schweregrad, Schwachstellen-ID, Paket, Fix-Version, Gerät, Erkennungszeitpunkt, Triage-Status und -Notiz) für Berichte oder die Tabellenanalyse.

Befunde, die durch ein Software-Update behoben werden, schließen sich selbst: Der nächste Inventar-Scan erkennt die verwundbare Version nicht mehr und markiert den Befund als behoben. Um einen unterdrückten Befund nach einer Umgebungsänderung zu reaktivieren, öffnen Sie ihn im Tab BEHOBEN / IGNORIERT und übermitteln Sie Bestätigen (aktiv).

4. Unterdrückungsregeln sicher erstellen

Einmalentscheidungen behandeln einmaliges Rauschen. Für wiederkehrendes Rauschen erstellen Sie aus dem ENTSCHEIDEN-Dialog eines Befunds über Regel erstellen eine dauerhafte Regel:

• Bereich: Einzelnes Gerät oder Gesamter Realm.
• Ziel: Nach Paket (alle Befunde zu diesem Paket) oder Nach Schwachstellen-ID (nur diese spezifische CVE).
• Grund: Fehlalarm, Akzeptiertes Risiko oder Nicht zutreffend, plus ein Freitext-Kommentar.

Regeln unterdrücken künftige passende Befunde automatisch, und bestehende passende Befunde werden beim nächsten Scan aktualisiert. Alle Regeln sind im Tab UNTERDRÜCKUNGSREGELN aufgelistet und können dort gelöscht werden; das Löschen einer Regel beendet die Unterdrückung für nachfolgende Scans.

Regeln sind mächtig, weil sie auf jeden künftigen Befund wirken, einschließlich Befunden auf Geräten, die Sie später hinzufügen. Arbeiten Sie sicher:

1. Erst eingrenzen, dann verbreitern. Der Dialog wählt standardmäßig die breiteste Kombination vor (Gesamter Realm, Nach Paket). Sofern das nicht wirklich Ihre Absicht ist, beginnen Sie mit Einzelnes Gerät plus Nach Schwachstellen-ID und erweitern Sie erst, wenn sich dieselbe Regel andernorts als notwendig erweist.
2. Behandeln Sie den Kommentar als Audit-Nachweis. Verweisen Sie auf die Grundlage der Regel: ein Vendor-Backport-Advisory, einen Vermerk zur Netzwerk-Isolierung, eine Kompensationsmaßnahme. Eine realm-weite Paketregel ohne Kommentar ist ein Audit-Befund in Wartestellung.
3. Überprüfen Sie Regeln regelmäßig. Eine Regel, die für einen isolierten Server erstellt wurde, wird an dem Tag falsch, an dem dieser Server online geht. Prüfen Sie den Tab UNTERDRÜCKUNGSREGELN nach Infrastrukturänderungen und löschen Sie veraltete Regeln.

Was als Fehlalarm gilt und wie der vollständige Entscheidungslebenszyklus aussieht, beschreibt Vigil False Positives and Suppression Management.

5. Berechtigungen und Audit-Trail

Das Erfassen von Triage-Entscheidungen und das Verwalten von Unterdrückungsregeln erfordert die Realm-Berechtigung vigil.triage_risks. Benutzer ohne diese Berechtigung können Befunde einsehen, aber weder entscheiden noch unterdrücken; Support-Rollen der Plattform sind rein lesend. Jede Entscheidung - der entscheidende Benutzer, der gewählte Status und die Begründung - wird im Audit-Trail des Realms auf der Seite Ereignisse & Protokolle (/events) aufgezeichnet, und unterdrückte Befunde bleiben im Tab BEHOBEN / IGNORIERT sichtbar. Unterdrückung blendet Befunde aus der aktiven Warteschlange aus, niemals aus den Aufzeichnungen.

Verwandt: Ransomware Protection: Response Policies behandelt den entropiebasierten Ransomware-Detektor, eine separate Vigil-Fähigkeit mit eigener Realm-Richtlinie.

StateWarden: Resilience Engineered.