Frühwarnsystem für Zero-Days und neue CVEs

Häufige Fragen

Was ist ein Frühwarnsystem für Zero-Days und Emerging Threats?

Ein Frühwarnsystem meldet neu veröffentlichte Schwachstellen (CVEs) und Herstellerhinweise, die Ihre eingesetzten Technologien betreffen, bevor der nächste reguläre Scan sie findet. Entscheidend ist der Abgleich mit dem eigenen Inventar: Nur so bleiben von tausenden CVEs pro Monat die wenigen übrig, die Sie wirklich betreffen. Das Threat Center von blacklens.io führt diesen Abgleich in Echtzeit durch und prüft die Ausnutzbarkeit anschließend automatisch.

Wie schnell erfahre ich von einer neuen Schwachstelle?

Neue CVEs werden in Echtzeit mit Ihrem Technologie-Inventar abgeglichen. EPSS-, KEV- und Exploit-Signale werden alle sechs Stunden aktualisiert, und die Alert-Zustellung läuft alle fünf Minuten. Zwischen Veröffentlichung einer CVE und Ihrem Alert liegen also in der Regel nur Minuten, abhängig davon, wann die Quellen den Eintrag bereitstellen.

Was bedeutet „automatisch verifiziert“?

Ein Treffer im Versionsabgleich ist zunächst ein potenzieller Threat. Steht eine passende Prüfvorlage bereit, startet blacklens.io automatisch einen gezielten Scan gegen das betroffene System (Zustand: wird geprüft). Ist die Schwachstelle nachweisbar, wechselt der Threat auf bestätigt, andernfalls auf nicht bestätigt. Nicht mehr relevante Threats laufen ab oder werden von Ihrem Team verworfen. Mit „Jetzt prüfen“ lösen Sie die Verifikation jederzeit manuell aus.

Wie unterscheidet sich das von einem CVE-Newsletter oder dem CERT-Feed?

Newsletter und CERT-Warnungen sind generisch: Sie müssen selbst prüfen, ob und wo das genannte Produkt bei Ihnen läuft. Das Threat Center kennt Ihr Inventar aus externen Scans, Sentry und Cloud-Konnektoren, filtert nach Produkt und Version, ergänzt EPSS und CISA KEV und verifiziert den Treffer per Scan. Sie erhalten eine Liste betroffener Hosts statt eines Hinweises zum Weiterlesen.

Kann ich Alerts nach Teams und Kanälen steuern?

Ja. Benachrichtigungsregeln filtern nach Schweregrad und Alert-Typ und legen Empfänger im Workspace sowie Integrationen fest, etwa kritische Threats an Microsoft Sentinel und per Push an das SOC, mittlere als Jira-Ticket an das Plattformteam. Unterhalb des CVSS-Schwellwerts, standardmäßig 7,0, entsteht kein Alert. Bei EPSS über 0,80 und verfügbarem Exploit wird ein Alert automatisch hochgestuft, und Alerts, die nicht mehr relevant sind, laufen nach 30 Tagen ab.

Welche Quellen nutzt blacklens.io für Threat Intelligence?

Unter anderem NVD, VulDB, EPSS (FIRST), VulnCheck einschließlich CISA KEV, öffentliche Exploit- und PoC-Quellen sowie DarkFeed. Die Signale werden pro CVE zusammengeführt: EPSS-Wert und Perzentil, KEV-Aufnahme mit Frist und Ransomware-Kennzeichen, Exploit-Verfügbarkeit, CVSS v3 und v4, CWE und korrigierte Version. Neue CVEs werden in Echtzeit mit Ihrem Inventar abgeglichen, die Signale alle sechs Stunden aktualisiert.