ICS-Advisories systematisch zu verfolgen klingt einfacher, als es ist. Nachdem wir das ein Jahr lang strukturiert für mehrere OT-Umgebungen im Energiesektor getan haben, haben sich drei Lehren ergeben, die breiter anwendbar sind.
Lehre 1: Die Menge ist kein guter Maßstab für das Risiko
Die Anzahl der Advisories pro Woche sagt wenig über das tatsächliche Risiko für eine bestimmte Organisation aus. Viele Advisories betreffen Produkte, die in der eigenen Umgebung nicht eingesetzt werden, oder Funktionen, die nicht aktiv konfiguriert sind. Ohne ein aktuelles Asset-Inventar führt das Verfolgen von Advisories vor allem zu Rauschen, nicht zu einer brauchbaren Priorisierung.
Lehre 2: Revisionen enthalten oft die wichtigsten Informationen
Eine Erstveröffentlichung eines Advisories enthält häufig noch keine Patch-Informationen — diese folgen in einer späteren Revision („Update A“ oder „Update B“). Wer nur die Erstveröffentlichung betrachtet und Revisionen nicht aktiv verfolgt, verpasst oft genau den Moment, in dem eine konkrete Maßnahme verfügbar wird. Das ist einer der Gründe, warum diese Plattform die Revisionshistorie auf der Seite ICS-Advisories ausdrücklich zeigt.
Lehre 3: Industrielle Relevanz erfordert mehr als Stichwortsuche
Die bloße Suche nach Produktnamen liefert Falschtreffer und verpasst Treffer: Hersteller verwenden nicht immer einheitliche Produktbezeichnungen, und dieselbe zugrunde liegende Komponente wird mal unter einer Modellnummer, mal unter einem Markennamen veröffentlicht. Eine wirksame Triage erfordert eine Kombination aus CPE-Abgleich, Herstellerinformationen und menschlicher Überprüfung — keines der drei genügt für sich allein.
Was das für den Aufbau eines Prozesses bedeutet
Die wichtigste Schlussfolgerung ist vielleicht, dass das Verfolgen von Advisories kein Selbstzweck ist, sondern ein Input für einen umfassenderen Prozess: von der Meldung über die Bewertung der industriellen Relevanz bis zu einer ausdrücklichen Behandlungsentscheidung. Siehe auch diesen Wissensartikel für einen ausgearbeiteten Schritt-für-Schritt-Plan.