Kwetsbaarheden scannen en opvolgen

NormenBIO2

Levert bewijs voorBIO5.78.8NIST CSFID.RA-01ID.RA-02ID.RA-06AVGA32WpgB4-3W06

Barriere: borg continu kwetsbaarhedenbeheer en spoedpatching. Alle systemen worden periodiek gescand op bekende kwetsbaarheden, werkplekken, servers, netwerkapparatuur, applicaties, met triage en SLA per severity.

Patchbeheer is reactief en gedeeltelijk. Niemand weet welke systemen welke kwetsbaarheden hebben. Een Log4Shell of Citrix-Bleed sluipt erin omdat het audit-overzicht ontbreekt.

Wanneer wel, wanneer niet#

Voor elke organisatie. Wanneer niet zonder eigenaarschap per bevinding: een dashboard zonder triage wordt een 'altijd-rood-dashboard'.

Zo richt je het in#

Een vulnerability-scanner (Tenable, Qualys, Rapid7, open-source als OpenVAS) draait periodiek over alle assets. Bevindingen krijgen severity (CVSS) en eigenaar. SLA's per severity sturen de afhandeling. Patchcyclus en uitzonderingen worden gedocumenteerd.

1. Inventariseer welke assets in scope zijn (intern, extern, cloud).
2. Implementeer de scanner met geauthenticeerde scans waar mogelijk.
3. Beleg eigenaarschap per asset-categorie of -team.
4. Stel SLA's per severity in (kritiek 7 dagen, hoog 30 dagen, etc.).
5. Integreer met patch-management en exposure-management.
6. Rapporteer periodiek aan CISO/MT op trends en achterstand.

AI-gestuurd zoeken naar kwetsbaarheden#

Scanners vinden bekende kwetsbaarheden (CVE's met een signatuur). AI-systemen beginnen ook onbekende te vinden, en de eerste les daaruit is dat systematiek wint van slimheid. Bij de curl-release 8.22.0 werden zes nieuwe kwetsbaarheden (alle laag) gepatcht die een gespecialiseerd AI-systeem had aangedragen, uit 29 kandidaten, nadat de frontier-modellen van de grote aanbieders op dezelfde code niets nieuws meldden. Het systeem gebruikte geen duurder model, maar goedkope modellen die de hele codebase stukje voor stukje afwerkten, met een validatiestap voor elke kandidaat. De les voor wie dit inzet: de kwaliteit zit in de dekking en de triage, niet in het model. En 29 meldingen zijn geen 29 kwetsbaarheden; zonder eigen validatie levert AI een altijd-rood-dashboard met betere zinnen. De curl-advisories staan op curl.se/docs/security.html.

Wie hiermee wil beginnen zonder te bouwen: er zijn open-source agent-skills die een AI-assistent bestaande tooling laten aansturen. Semgrep voor statische code-analyse (github.com/semgrep/skills), een referentie-implementatie van de loop dreigingsmodel, scan, triage, patch (github.com/anthropics/defending-code-reference-harness, niet onderhouden, wel leesbaar als voorbeeld) en PII-detectie en -redactie (github.com/microsoft/presidio). Voorwaarden voordat je zo'n skill toegang geeft tot eigen code of systemen: lees de code, pin de versie, scan de skill zelf (github.com/cisco-ai-defense/skill-scanner) en test hem eerst op iets dat niet gevoelig is. Een skill is code van een derde met de rechten van jouw assistent. Controleer ook de link zelf: van de overzichten die rondgaan klopt een deel van de repo-namen niet.

Wat het kost en wat het oplevert#

Kosten: laag.

Wat het oplevert

• Bekende kwetsbaarheden worden zichtbaar in plaats van per nieuws-incident.
• Sluit aan op NIS2-kwetsbaarheidsbeheer-eis en BIO-maatregelen.
• Maakt patch-prioritering inhoudelijk in plaats van willekeurig.

Waar je op moet letten

• Scans zonder eigenaarschap leveren rapportages zonder herstel.
• Geauthenticeerde scans kunnen tijdelijk performance raken, planning vereist.
• Bevindingen op systemen die niet meer in beheer zijn, opruim-werk.

Bewijs#

• De scanfrequentie en de dekking: welk deel van het landschap wordt gescand, en wat niet.
• De doorlooptijden per risicoklasse, gemeten en niet alleen afgesproken.
• De lijst openstaande kritieke bevindingen met eigenaar en termijn.
• De spoedprocedure voor actief misbruikte kwetsbaarheden, met een voorbeeld waarin hij is gebruikt.

Zo leg je het uit#

Aan de directie. Welke kwetsbaarheden zitten er in onze systemen? Vandaag is het antwoord vaak 'we weten het niet'. Vulnerability scanning levert dat antwoord en dwingt opvolging af.

Aan de informatiemanager. Scanner over alle assets; integratie met patch-management en de asset-administratie.

Aan het MT. Asset-eigenaren krijgen bevindingen; SLA-bewaking is doorlopende taak.

Hoe dit samenhangt#

Deze handleiding hoort bij barriere vuln uit de zelfcheck aanvalspaden. Wat je hiermee aantoont in BIO 2.0, NIST CSF, het Wpg-kader en de AVG staat op Van aanvalspad naar norm.

De verdieping erop is Exposure management: niet alles wat kwetsbaar is, is ook bereikbaar.

Licentie#

EUPL-1.2.