Das Vigil-Subsystem: Lokale Bedrohungserkennung

Herkömmliche Schwachstellen-Scanner benötigen für die Prüfung von Dateien häufig die Kommunikation mit Cloud-APIs Dritter. Dieser Ansatz überträgt Metadaten oder Datei-Hashes aus der lokalen Infrastruktur heraus, was Latenz verursachen und Fragen des Datenschutzes aufwerfen kann.

Die Vigil Active Defense Engine von StateWarden ist ein lokales Bedrohungserkennungssystem, das vollständig innerhalb eines privaten Netzwerks arbeitet und die Triage von Bedrohungen ohne externe APIs während der Scans ermöglicht.

1. Lokale Scan-Architektur

Die Abhängigkeit von externen APIs für Threat Intelligence bringt mehrere Probleme mit sich:

• Rate Limiting: Cloud-Anbieter können API-Abfragen drosseln, was beim Scannen großer Dateisysteme zu Verzögerungen führt.
• Datenschutz: Die Übertragung von Hashes proprietärer Software oder interner Konfigurationen an Dritte kann mit unternehmensinternen Sicherheitsrichtlinien und der DSGVO kollidieren.
• Latenz: Netzwerk-Roundtrips für API-Abfragen verlängern die Gesamtdauer eines Sicherheitsscans.

2. Die Architektur von Vigil

Vigil löst diese Probleme, indem globale Threat Intelligence in eine lokale, optimierte Umgebung gespiegelt wird.

Der Aggregator (Control Plane)

Die StateWarden Control Plane lädt Datenbanken aus etablierten Threat Feeds herunter und wertet sie aus:

1. OSV (Open Source Vulnerabilities): Schwachstellendaten für Softwarepakete (dpkg, rpm, pip, npm).
2. NVD (National Vulnerability Database): Das Repository der US-Regierung für standardisierte Schwachstellendaten (CVEs).
3. MalwareBazaar: Eine Datenbank bekannter schädlicher Datei-Hashes (SHA256).

StateWarden importiert diese JSON-Daten, dedupliziert sie und speichert sie in einer PostgreSQL-Datenbank innerhalb der lokalen Control Plane.

Der Bloom-Filter (Speicherstruktur)

Um die Suchgeschwindigkeit während eines Live-Scans zu optimieren, verwendet Vigil Bloom-Filter, eine probabilistische Datenstruktur.

Beim Start lädt der Vigil-Dienst Malware-Signaturen aus der Datenbank in einen speicherresidenten Bloom-Filter. Dadurch kann Vigil schädliche Hashes mit geringer Latenz prüfen, ohne Festplattenzugriffe auszuführen.

Der Scanner (der Agent)

Wenn Artemis eine Scan-Aufgabe einplant, führt der StateWarden-Agent die folgenden Schritte aus:

1. Inventarerfassung: Der Agent katalogisiert installierte Pakete (z. B. über dpkg oder die Windows-Registry) und berechnet die SHA256-Hashes ausführbarer Dateien.
2. Lokale Übertragung: Der Agent sendet dieses Inventar-JSON direkt über mTLS an die lokale Artemis Control Plane.
3. Triage: Vigil verarbeitet die Nutzlast, indem es Hashes gegen den Bloom-Filter prüft und Paketversionen mit der CVE-Datenbank abgleicht.

Der gesamte Prozess findet innerhalb des privaten Netzwerks statt, ohne Daten nach außen zu übertragen.

3. Berichte und Verwaltung

Vigil ist über zwei Seiten in das StateWarden Dashboard integriert: Bedrohungslandschaft und Schwachstellen-Triage.

Bedrohungslandschaft (/security-dashboard)

Die Seite Bedrohungslandschaft bietet einen flottenweiten Überblick über die aktuelle Sicherheitslage:

• Flotten-KPIs: Aggregierte Kennzahlen wie aktive Bedrohungen, Schweregradverteilung und Scan-Volumen über einen wählbaren Zeitraum.
• Bedrohungsdiagramme: Zeitreihendiagramme zu Schwachstellen- und Malware-Erkennungen, Engine-Durchsatz und Behebungsgeschwindigkeit.
• Flight-Recorder-Protokoll: Ein 30-Tage-Verlauf der Scan-Aktivität und des Alarmstatus pro Tag.
• Prioritäre Geräte: Geräte, sortiert nach aktuellem Risiko-Score, mit direkter Navigation zu ihren Befunden.
• Berichtserstellung: On-Demand-PDF-Sicherheitsberichte für das gesamte Realm oder ein einzelnes ausgewähltes Gerät.

Schwachstellen-Triage (/triage)

Die Seite Schwachstellen-Triage ist die Entscheidungsunterstützungsoberfläche für einzelne Befunde:

• Tabs: Die Befunde sind auf die Tabs AKTIV, BEHOBEN / IGNORIERT und UNTERDRÜCKUNGSREGELN verteilt.
• Risikobewertung: Befunde werden ihren CVSS-Severity-Stufen (Common Vulnerability Scoring System) zugeordnet (0,0 bis 10,0).
• Gerätekontext: Befunde können als flache Liste oder gruppiert nach Gerät angezeigt werden, einschließlich der konkreten physischen oder virtuellen Geräte, die zu jedem Befund gehören.
• Massen-Triage: Administratoren können Triage-Entscheidungen auf mehrere ausgewählte Befunde gleichzeitig anwenden und die Befundliste als CSV exportieren.
• Verwaltung von Unterdrückungsregeln: Administratoren können bestimmte Befunde (z. B. Fehlalarme) unterdrücken, indem sie Unterdrückungsregeln erstellen; jede Regel erfordert eine dokumentierte Begründung. Die Vigil-Engine ignoriert unterdrückte Befunde bei künftigen Scans. Das Anwenden von Triage-Entscheidungen und das Erstellen von Unterdrückungsregeln erfordert die Berechtigung vigil.triage_risks.

Geräte, die noch nie gescannt wurden, werden mit einem neutralen Risikostatus "Keine Daten" statt eines Severity-Scores angezeigt.

4. Verfolgung der Behebung

Vigil aktualisiert seinen Status auf Grundlage von Systemänderungen.

Wenn ein verwundbares Paket auf einem Server gepatcht wird, katalogisiert der StateWarden-Agent die aktualisierte Paketversion beim nächsten Scan. Vigil registriert die Aktualisierung, verifiziert, dass der CVE behoben ist, und aktualisiert den Status im Dashboard automatisch.