Vigil: Fehlalarme und Unterdrückungsregeln verwalten

Das Vigil-Subsystem von StateWarden nimmt globale Threat-Intelligence-Feeds (OSV, NVD, MalwareBazaar) auf und gleicht sie mit dem Software-Inventar Ihrer Geräte ab. Sicherheitsfeeds sind gelegentlich verrauscht: Ein technisch korrekter Treffer ist in Ihrer spezifischen Umgebung möglicherweise nicht ausnutzbar oder nicht relevant.

Ein Schwachstellen-Scanner ist nur dann nützlich, wenn seine Ausgabe umsetzbar ist. Alarmmüdigkeit durch Hunderte von „Fehlalarmen" führt dazu, dass Ihr SecOps-Team das Dashboard vollständig ignoriert.

StateWarden löst dies über die Ansicht Schwachstellen-Triage: einen Entscheidungs-Workflow mit verbindlicher Nachvollziehbarkeit, Unterdrückungsregeln und einem vollständigen Audit-Trail.

1. Was ist ein Fehlalarm?

Ein von Vigil gemeldeter Befund ist technisch korrekt: Der Hash stimmt mit MalwareBazaar überein, oder die Paketversion stimmt mit einer bekannten CVE in der NVD-Datenbank überein. Ein „Fehlalarm" bedeutet in diesem Kontext, dass die Bedrohung in Ihrer spezifischen Betriebsumgebung nicht ausnutzbar oder nicht relevant ist.

Typische Szenarien:

• Isolierte Umgebungen: Eine veraltete Version von curl wird mit einem hohen CVSS-Score markiert, aber der Server ist vollständig abgeschottet (air-gapped) und hat keinen ausgehenden Internetzugang, was die Schwachstelle unausnutzbar macht.
• Upstream-Backports (Linux): Enterprise-Linux-Distributionen (wie Ubuntu LTS oder Red Hat) patchen kritische Schwachstellen häufig per „Backporting": Der Fix wird in eine ältere Softwareversion eingepflegt, ohne die Hauptversionsnummer zu erhöhen. Standard-CVE-Feeds betrachten die Versionsnummer und markieren die Software fälschlich als verwundbar.
• Interne Sicherheitswerkzeuge: Eigene Penetration-Testing-Werkzeuge oder aggressive Administrationsskripte (z. B. PSExec) können mit Verhaltensheuristiken oder spezifischen Hashes übereinstimmen, die von MalwareBazaar markiert werden.

2. Die Ansicht Schwachstellen-Triage

Alle Triage-Arbeiten finden in Schwachstellen-Triage (/triage) statt, die in drei Tabs organisiert ist:

• AKTIV - alle Befunde, die derzeit Aufmerksamkeit erfordern, mit Schweregrad, betroffenem Gerät und Erkennungsdatum. Befunde können nach Gerät gefiltert und nach CVE-ID, Paket oder Gerätename durchsucht werden.
• BEHOBEN / IGNORIERT - der Verlauf geschlossener Befunde: Befunde, die automatisch als behoben markiert wurden, nachdem die zugrunde liegende Software gepatcht wurde, sowie Befunde, die durch eine Triage-Entscheidung unterdrückt wurden.
• UNTERDRÜCKUNGSREGELN - dauerhafte Regeln, die passende Befunde automatisch unterdrücken (siehe Abschnitt 4).

3. Einen Befund triagieren (der Dialog ENTSCHEIDEN)

Wenn Ihr Sicherheitsteam einen Befund untersucht, protokolliert es das Ergebnis als formale Entscheidung:

1. Suchen Sie im Tab AKTIV den Befund und klicken Sie auf ENTSCHEIDEN.
2. Wählen Sie im Dialog eine von vier Entscheidungen:
   • Bestätigen (aktiv) - der Befund ist real und bleibt aktiv/bestätigt.
   • Fehlalarm - der Befund trifft nicht zu; er wird in den Verlaufs-Tab verschoben.
   • Risiko akzeptieren - der Befund ist real, wird aber bewusst akzeptiert; er wird in den Verlaufs-Tab verschoben.
   • Zurückstellen - der Befund wird bis zu einem von Ihnen gewählten Datum ausgeblendet.
3. Geben Sie eine Begründung ein (z. B. „Patch über Ubuntu-Backports verifiziert. Nicht ausnutzbar."). Die Begründung wird mit der Entscheidung gespeichert und in den Audit-Datensatz aufgenommen.
4. Übermitteln Sie die Entscheidung.

Die Entscheidungen Fehlalarm, Risiko akzeptieren und Zurückstellen entfernen den Befund aus der Liste AKTIV; Bestätigen belässt ihn aktiv und zeichnet die Entscheidung auf.

4. Unterdrückungsregeln

Für wiederkehrende Störungen reicht eine einmalige Entscheidung nicht aus. Klicken Sie im Dialog ENTSCHEIDEN auf Regel erstellen, um eine dauerhafte Unterdrückungsregel zu definieren:

• Bereich: ein einzelnes Gerät oder das gesamte Realm.
• Ziel: ein bestimmtes Paket oder eine bestimmte Schwachstellen-ID.
• Grund: Fehlalarm, Akzeptiertes Risiko oder Nicht zutreffend, plus ein Freitext-Kommentar.

Regeln werden im Tab UNTERDRÜCKUNGSREGELN aufgelistet und können dort gelöscht werden. Passende zukünftige Befunde werden automatisch unterdrückt.

5. Sammel-Triage und CSV-Export

• Sammel-Triage: Wählen Sie im Tab AKTIV mehrere Befunde über die Checkboxen aus (oder alle gefilterten Ergebnisse) und klicken Sie anschließend in der Sammelaktionsleiste auf ENTSCHEIDEN. Eine Entscheidung mit einer Begründung wird auf jeden ausgewählten Befund angewendet.
• CSV-Export: Die Schaltfläche CSV exportieren im Tab AKTIV lädt die aktuell gefilterten Befunde herunter (Schweregrad, CVE-ID, Paket, Gerät, Erkennungsdatum, Triage-Status und Notiz), für Berichte oder weitere Analysen.

6. Berechtigungen und Nachprüfbarkeit

In einer HighSec-Umgebung ist das Ausblenden einer Schwachstelle eine sensible Aktion und wird strikt kontrolliert:

• Realm-Berechtigung: Das Erfassen einer Triage-Entscheidung oder das Verwalten von Unterdrückungsregeln erfordert die Realm-Berechtigung vigil.triage_risks. Benutzer ohne diese Berechtigung können Befunde ansehen, aber nicht entscheiden oder unterdrücken.
• Plattform-Support-Rollen sind schreibgeschützt: Die Plattformrollen SUPPORT_L1 und SUPPORT_L2 haben schreibgeschützten Zugriff (Dashboards und Audit-Protokolle). Sie können Befunde nicht unterdrücken oder Regeln verwalten.
• Audit-Trail: Jede Entscheidung, einschließlich des entscheidenden Benutzers, des gewählten Status und der Begründung, wird im Audit-Trail des Realms aufgezeichnet, sichtbar auf der Seite Ereignisse & Protokolle (/events).
• Nichts wird gelöscht: Unterdrückte Befunde bleiben im Tab BEHOBEN / IGNORIERT erhalten, wo Compliance-Beauftragte oder externe Auditoren die Sicherheitsentscheidungen des Teams jederzeit überprüfen können.

7. Eine Entscheidung erneut prüfen

Wenn sich der Umgebungskontext ändert (z. B. wird ein abgeschotteter Server mit dem öffentlichen Internet verbunden), wird ein zuvor unterdrückter Befund wieder relevant.

1. Öffnen Sie den Tab BEHOBEN / IGNORIERT.
2. Suchen Sie den Befund und klicken Sie auf ENTSCHEIDEN.
3. Setzen Sie die Entscheidung auf Bestätigen (aktiv) und übermitteln Sie.

Der Befund kehrt in die Liste AKTIV zurück. Zurückgestellte Befunde werden ebenfalls wieder sichtbar, sobald ihr Zurückstellungsdatum verstrichen ist, und Befunde, deren zugrunde liegende Software gepatcht wurde, werden von nachfolgenden Scans automatisch als behoben markiert.

StateWarden: Resilience Engineered.