Continuous Threat Exposure Management (CTEM)

Continuous Threat Exposure Management (CTEM) ist ein von Gartner 2022 beschriebenes Programm, das die Angriffsfläche eines Unternehmens in fünf sich wiederholenden Phasen laufend reduziert: Scoping, Discovery, Priorisierung, Validierung und Mobilisierung. CTEM ist kein Produkt, sondern eine Arbeitsweise, die Werkzeuge wie Attack Surface Management, Schwachstellenscanner, Darknet Monitoring und Penetrationstests in einen gemeinsamen Zyklus einbindet.

Warum CTEM wichtig ist

Klassisches Schwachstellenmanagement produziert lange Listen mit CVSS-Werten, die kaum jemand abarbeiten kann. Gleichzeitig bleiben Risiken außerhalb der CVE-Welt unsichtbar: Fehlkonfigurationen, exponierte Identitäten, geleakte Zugangsdaten, ungeschützte Cloud-Ressourcen. CTEM setzt an beiden Problemen an. Es erweitert den Blick von „Schwachstellen“ auf „Exposure“, also alles, was Angreifer ausnutzen könnten, und zwingt zu einer Priorisierung nach tatsächlicher Ausnutzbarkeit und Geschäftsauswirkung statt nach reinem Schweregrad. Gartner prognostiziert, dass Unternehmen, die ihre Sicherheitsinvestitionen an einem CTEM-Programm ausrichten, deutlich seltener von Sicherheitsverletzungen betroffen sind. Der Grund ist plausibel: Wer laufend weiß, was erreichbar und ausnutzbar ist, schließt die Lücken, die Angreifer tatsächlich nutzen.

Die fünf Phasen von CTEM

1. Scoping: Festlegen, welche Systeme, Geschäftsprozesse und Daten betrachtet werden, von der externen Angriffsfläche über SaaS und Cloud bis zur Lieferkette.
2. Discovery: Assets, Schwachstellen, Fehlkonfigurationen und exponierte Identitäten im festgelegten Scope finden, inklusive dessen, was niemand dokumentiert hat.
3. Priorisierung: Funde nach Ausnutzbarkeit (EPSS, CISA KEV, verfügbare Exploits), Erreichbarkeit, Kritikalität des Assets und vorhandenen Kompensationen ordnen.
4. Validierung: Prüfen, ob ein Angriff tatsächlich möglich ist, etwa durch automatische Proof-of-Concept-Scans oder manuelle Penetrationstests.
5. Mobilisierung: Behebung organisieren: Zuständigkeiten, Tickets, Fristen, Nachweis durch Retest.

Danach beginnt der Zyklus von vorne, weil sich Scope, Assets und Bedrohungslage ständig ändern.

So setzt blacklens.io CTEM um

blacklens.io bildet den Zyklus in einer Plattform ab: Scope-Verwaltung mit automatischen Vorschlägen (Scoping), externe, interne und Cloud-Discovery samt Darknet-Abgleich (Discovery), Bewertung nach EPSS, CISA KEV, Exploit-Verfügbarkeit und CVSS (Priorisierung), automatische PoC-Verifikation neuer Bedrohungen im Threat Center und optionale manuelle Pentests (Validierung) sowie ein Finding-Workflow mit Zuweisung, Jira-/ServiceNow-Integration, Retest-Scans und automatischer Schließung (Mobilisierung). Der KI-Remediation-Plan bündelt offene Findings nach gemeinsamer Ursache und ordnet sie nach Risikoreduktion.

Ist CTEM dasselbe wie Vulnerability Management?

Nein. Vulnerability Management ist ein Teil davon. CTEM umfasst zusätzlich die Discovery unbekannter Assets, Exposure jenseits von CVEs (Konfiguration, Identitäten, Darknet) und den ausdrücklichen Schritt der Validierung.

Braucht CTEM ein eigenes SOC?

Nicht zwingend. Der Zyklus lässt sich mit einer Plattform, die Discovery, Priorisierung und Workflow bündelt, auch von kleinen Teams oder über einen MSSP betreiben. Entscheidend ist, dass jemand die Phase Mobilisierung verantwortet.

Wie fängt man mit CTEM an?

Mit einem kleinen, klaren Scope, meist der externen Angriffsfläche der Hauptdomains. Sobald Discovery und Priorisierung dort laufen, erweitern Sie den Scope schrittweise um Cloud, interne Netze und Lieferkette.