Microsoft Defender meldet 500 Schwachstellen. Welche davon sind wirklich gefährlich?

Edouard Jacques

Managing Director, Cyber Culture

Defender for Endpoint ist verteilt, das Vulnerability-Management-Dashboard ist offen, und nach wenigen Tagen stehen dort Hunderte CVEs. Das ist kein Zeichen für eine besonders unsichere Umgebung, sondern die normale Ausgangslage. Hier lesen Sie, mit welchen Ansichten und Filtern im Defender-Portal Sie die wenigen dringenden Fälle herausziehen, wo die Daten Lücken haben und wie daraus ein Wochenrhythmus für Ihren IT-Betrieb wird.

Ein Hinweis vorab: Microsoft verschiebt den Bereich Vulnerability Management im Defender-Portal derzeit unter „Exposure management“. Je nach Tenant heißt die CVE-Liste deshalb „Weaknesses“ oder „Vulnerabilities“. Die Funktionen sind dieselben.

Warum die Zahl so hoch ist

Defender zählt CVEs pro Software und Gerät. Eine veraltete Version eines PDF-Readers auf 150 Notebooks erzeugt viele Einträge, behoben werden sie aber mit einer einzigen Maßnahme. Genau dafür gibt es die Seite „Recommendations“: Sie fasst Schwachstellen zu konkreten Abhilfen zusammen, meist dem Update einer bestimmten Software. Arbeiten Sie deshalb mit den Empfehlungen und nicht mit der CVE-Liste. Die CVE-Liste brauchen Sie für Recherche und Nachweis, als Arbeitsvorrat ist sie zu kleinteilig.

Ein Teil der Einträge ist außerdem schlicht nicht korrekt oder nicht mehr aktuell. Microsoft dokumentiert dazu selbst einige Punkte, die Sie kennen sollten:

• Defender unterscheidet bei der Zuordnung von CVEs derzeit nicht zwischen 32- und 64-Bit-Architektur. Eine Lücke, die nur 32-Bit-Software betrifft, kann deshalb auch auf 64-Bit-Systemen erscheinen.
• Für CentOS weist Microsoft auf bekannte Abweichungen hin, weil die Daten aus den Red-Hat-Advisories abgeleitet werden.
• AppLocker, WDAC oder der PowerShell Constrained Language Mode können die Skripte blockieren, mit denen Defender Daten sammelt. Die Bewertung ist dann unvollständig.
• Nach einem Update dauert es typischerweise 24 bis 48 Stunden, bis eine behobene CVE verschwindet. Ein Ticket, das am Dienstag geschlossen wurde und am Mittwoch noch im Portal steht, ist also kein Widerspruch.

Wer diese Punkte nicht kennt, verliert Vertrauen in die Daten und diskutiert Einzelfälle statt Prioritäten. Für offensichtliche Fehler gibt es im Portal die Funktion „Report inaccuracy“.

Erster Filter: Gibt es eine echte Bedrohung?

Die Spalte „Threats“ in der CVE-Liste lässt sich nach vier Kriterien filtern: zugehöriger aktiver Alarm, Exploit verfügbar, Exploit verifiziert und Exploit Teil eines Exploit-Kits. Beginnen Sie mit „aktiver Alarm“ und „Exploit verifiziert“. Diese Teilmenge gehört sofort auf den Tisch. „Exploit verfügbar“ ist deutlich breiter und eignet sich als zweite Stufe.

Defender zeigt zu jeder CVE auch den EPSS-Wert, also die Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen. Er steht im Detailbereich einer CVE unter „Vulnerability details“ und ist über die API abrufbar. Ab einem Wert über 0,9 erscheint er zusätzlich im Tooltip der Threats-Spalte. Was EPSS leistet und wo seine Grenzen liegen, erklären wir in CVSS reicht nicht.

Ob eine CVE im KEV-Katalog der US-Behörde CISA steht, der Liste nachweislich ausgenutzter Schwachstellen, prüfen Sie zuverlässig mit einem Abgleich: CVE-Liste exportieren und gegen die frei verfügbare CSV-Datei der CISA legen. Beachten Sie dabei, dass der Export aus dem Portal auf 6.000 Einträge begrenzt ist. Bei größeren Umgebungen führt der Weg über die API oder Advanced Hunting.

Zweiter Filter: Wo sitzt die Lücke?

Ein verifizierter Exploit auf einem isolierten Schulungsrechner ist weniger dringend als auf dem VPN-Gateway. Defender liefert dafür zwei Hilfen, die in vielen Tenants ungenutzt bleiben.

Die erste ist die Kennzeichnung internetexponierter Geräte. In der Geräteliste gibt es einen Filter „Internet-facing“, und Defender erzeugt eigene Empfehlungen, um unnötige eingehende Erreichbarkeit aus dem Internet zu reduzieren.

Die zweite ist die Klassifizierung kritischer Assets unter „Exposure management“ und „Critical assets“. Defender erkennt einige Klassen selbst, etwa Domain Controller oder Fileserver. Ihr ERP-System, den Backup-Server oder die Fertigungsdatenbank müssen Sie dagegen über eigene Regeln oder manuell einstufen. Das lohnt sich doppelt: Microsoft stellt derzeit schrittweise auf ein neues Modell für den Exposure Score um, das neben CVSS auch EPSS, die Erreichbarkeit aus dem Internet und die Kritikalität eines Assets gewichtet. Ohne gepflegte Kritikalität fehlt dem Modell genau die Information, die nur Sie liefern können. Während der Umstellung können sich Score und Reihenfolge der Empfehlungen ändern, ohne dass sich in Ihrer Umgebung etwas geändert hat. Das sollten Sie wissen, bevor jemand im Management-Bericht nach dem Sprung fragt.

Dritter Schritt: Arbeitspakete für den Betrieb

Aus jeder Empfehlung lässt sich eine Remediation-Anfrage erzeugen, die als Aufgabe in Microsoft Intune landet und auf der Seite „Remediation“ nachverfolgt wird. Wenn Ihr Betrieb mit einem anderen Ticketsystem arbeitet, übertragen Sie die Empfehlungen dorthin. Wichtig ist nur, dass jedes Paket einen Verantwortlichen und eine Frist hat.

Eine Lücke im Vorgehen über Empfehlungen sollten Sie kennen. CVEs, für die es kein Update gibt, sind mit „No security update“ markiert und erscheinen auf der Empfehlungsseite gar nicht. Genau diese Fälle brauchen aber eine Entscheidung: Workaround, Abschottung, Austausch der Software oder bewusste Risikoakzeptanz. Filtern Sie die CVE-Liste deshalb einmal im Monat gezielt nach diesem Merkmal.

Für Fälle, die Sie bewusst nicht beheben, bietet Defender Ausnahmen mit Begründung und Laufzeit, global oder pro Gerätegruppe. Die Laufzeit lässt sich nachträglich nicht verlängern, nach Ablauf ist eine neue Ausnahme nötig. Das ist gewollt und hilft bei der Disziplin. Weniger bekannt: Mit einer Ausnahme werden auch zugehörige Threat-Analytics-Hinweise und Alarme unterdrückt. Setzen Sie Ausnahmen deshalb sparsam und mit kurzer Laufzeit, und dokumentieren Sie die Kompensationsmaßnahme im Begründungsfeld.

Was Defender nicht sieht

Defender bewertet Geräte, auf denen der Defender-for-Endpoint-Sensor läuft: Windows, macOS, gängige Linux-Distributionen sowie Android und iOS. Unter Linux erkennt Defender CVEs in der Regel nur für Software, die über den Paketmanager installiert wurde. Die authentifizierten Scans für Windows ohne Agent unterstützt Microsoft nicht mehr.

Damit fehlen in vielen Mittelstandsnetzen wichtige Teile: Firewalls, Switches, Drucker, Storage-Systeme, Appliances von Drittherstellern und die Produktions-IT. Gerade Firewalls und VPN-Gateways stehen regelmäßig im KEV-Katalog. Für diese Systeme brauchen Sie eine zweite Quelle, sei es ein Netzwerkscanner oder ein geregelter Abgleich der Herstellerwarnungen. Ob sich dafür ein zusätzliches Werkzeug lohnt, behandelt unser Scanner-Vergleich nach Auswahlkriterien.

Auch innerhalb der Lizenz gibt es Unterschiede. Defender for Endpoint Plan 2 enthält die Kernfunktionen. Bewertungen von Hardware und Firmware, Zertifikaten, Browsererweiterungen und Netzwerkfreigaben gehören zu den Premium-Funktionen, für die Clients das Add-on Defender Vulnerability Management benötigen.

Und noch eine Abgrenzung: Schwachstellenmanagement in Defender sagt nichts darüber, ob die Schutzfunktionen von Defender selbst richtig konfiguriert sind. Welche Einstellungen nach dem Ausrollen typischerweise fehlen, steht in Microsoft Defender richtig konfigurieren.

Ein Wochenrhythmus, der in der Praxis hält

Planen Sie einen festen Termin von 30 Minuten pro Woche mit Security-Verantwortlichem und IT-Betrieb. Gesichtet werden nur neue Fälle mit aktivem Alarm, verifiziertem Exploit oder KEV-Eintrag auf internetexponierten oder kritischen Systemen. Jeder Fall bekommt in diesem Termin einen Verantwortlichen und eine Frist. Alles andere läuft über den regulären Patchzyklus, gesteuert über die Empfehlungen mit der größten Wirkung.

Einmal im Monat kommen zwei Dinge dazu: die Liste der CVEs ohne Update und ein Blick auf ablaufende Ausnahmen. Für den Bericht an die Geschäftsführung reicht eine Kennzahl, die Zahl der dringenden Fälle, die ihre Frist überschritten haben, mit Begründung.

Wenn Sie diesen Ablauf mit Fristen, Rollen und Nachweisen dauerhaft verankern wollen, beschreibt Vulnerability Management in 90 Tagen aufbauen, wie wir dabei vorgehen.