Vulnerability Management Implementierung

[kimura]

Hallo zusammen,

derzeit möchte ich in einem Netzwerk mit mehreren Firewalls, mobilen Devices und virtualisierter Server Landschaft zwei Dinge tuen:

 

1. Eine Bestandsaufnahme aller vorhandenen Hosts und Devices 

2. Potenzielle Schwachstellen erkennen und dokumentieren

 

Das ganze ist für mein Abschlussprojekt im Rahmen meiner Ausbildung zum Fisi und sollte dementsprechend kostenfrei sein. 

Gibt es hier Tools die alles vereinen? Vulnscans führe ich bis dato auf größere Umgebungen mit Nessus und Openvas durch. Am liebsten hätte ich aber eine Software, welche alles vereint und auch eine grafische Darstellung des Netzwerks und allem darin vorhandenen ermöglicht. 

 

Vlt. liest das hier ja auch der ein oder andere Security Engineer und hat andere Lösungsansätze für mein Vorhaben. 

 

Vielen Dank schonmal! 

 

 

[Bitschnipser]

vor 18 Minuten schrieb kimura:

mein Abschlussprojekt im Rahmen meiner Ausbildung

vor 18 Minuten schrieb kimura:

sollte dementsprechend kostenfrei sein

Hä? ne, sollte es nicht.

Ausserdem darf dir dabei

 

vor 19 Minuten schrieb kimura:

mein Abschlussprojekt

keiner helfen

[charmanta]

ich bestätige nochmals die korrekten Anmerkungen des Vorredners.

Du hast offensichtlich ein genehmigtes Abschlußprojekt. Da Du als FiSi in dessen Rahmen auch Evaluationsleistung zu erbringen hast ist die Aussage dass eine Lösung nix kosten darf Unsinn. DU kostet übrigens auch was

Eine KONKRETE Hilfe bei einer laufenden Prüfung darf nicht gegeben werden, also mal pauschal:

vor 26 Minuten schrieb kimura:

sollte dementsprechend kostenfrei sein. 

Du bist Dir über die Kosten und rechtliche Auswirkungen bei einem Versagen Deiner Lösung im Klaren ?

vor 27 Minuten schrieb kimura:

1. Eine Bestandsaufnahme aller vorhandenen Hosts und Devices 

2. Potenzielle Schwachstellen erkennen und dokumentieren

Gibt es beides und zwar sowohl lizenztechnisch kostenfrei und kostenpflichtig.

Eine Wollmilchsau habe ich noch nicht gefunden und ich suche auch keine.

Analysesoftware gegen bekannte Sicherheitsprobleme wäre zb openscap oder Flexera CSIA ... wobei ich von letzterer nix gutes sagen kann ausser wenn ich sie verkaufen würde

Google hilft übrigens auch hier:

https://www.dnsstuff.com/de/network-vulnerability-schwachstellen-scanner

 

 

[alex123321]

Die TCO einer Lösung setzen sich aus verschiedensten Bausteinen zusammen. Lizenzkosten sind da nur einer der Bausteine.

Was für einen Aufwand wird für die Pflege der Software benötigt? Was passiert wenn man Support benötigt? Wie steht es um die Weiterentwicklung in der Zukunft? etc.

Nur auf kostenlose Lizenzen zu schauen ist zu kurz gedacht. Außer das Projekt ist sowieso nur eine Beschäftigungsmaßnahme wie so häufig und das Ergebnis sowieso nicht für die Produktion gedacht.

[charmanta]

und bei dem Thema drängen sich sogar TBOs auf ....

[kimura]

Moment mal, also ich darf mir nicht einmal Hilfe in Form von Informationen einholen? Ich frage hier nicht danach, ob mir jemand das Ganze implimentiert und am besten noch gleich die Doku für den Prüfer fertig macht. Es gab nicht einmal einen Projektantrag bis heute! Ich wollte lediglich wissen, was es da für Tools gibt, bzw. ob es da ein All In One Tool gäbe. 

 

Kostenfrei sollte es sein, weil ich versuche das erstmal für mich zu testen, um dann, WENN das ganze mir Spaß macht, von meinem Chef für sinnig befunden und akzeptiert wir, mir zu überlegen wie ich das für mein Projekt nutzen könnte. Wieviel Zeit es Anspruch nehmen könnte. Und und und... 

Oder verstehe ich hier etwas falsch? 

[charmanta]

Nene, ist korrekt, Du hast Dich nur unklar ausgedrückt. Bei einem genehmigtem Projekt darf niemand konkret helfen. Bei einer Idee schon und das haben wir ja auch ...

[awesomenik]

Da im GSM - der Bezahlversion von Openvas - beide Anforderungen von dir erfüllt werden und sich die beiden Lösungen hauptsächlich im Feed unterscheiden, würde mich sehr wundern, wenn das nicht in der kostenfreien Version auch schon möglich ist.

Unter Assets solltest du alle relevanten Informationen finden.

[cortez]

vor 23 Stunden schrieb kimura:

Kostenfrei sollte es sein, weil ich versuche das erstmal für mich zu testen, um dann, WENN das ganze mir Spaß macht, von meinem Chef für sinnig befunden und akzeptiert wir, mir zu überlegen wie ich das für mein Projekt nutzen könnte.

Die meisten kostenpflichtigen Produkte bieten eine Probephase zum ausprobieren an.