Vernünftiges und brauchbares Vulnerability Management ist bei weitem viel mehr als nur 1337-hax0r-Kali oder openVAS.
Das suchen nach Schwachstellen und regelmäßige Pentests sind da nur ein kleiner Teil.
Um gefundene oder bekannte Schwachstellen zu fixen muss man idR wissen, was man alles hat > asset management/inventory.
Daraus ergibt sich ein Patchmanagement.
Was übersehen wurde oder unsichere Config wird dann durch Scanner und Pentests gefunden.
Des Weiteren gibt es das SecDev Hardening Framework (
https://dev-sec.io/) und haufenweise andere security best practices für alle möglichen Betriebssysteme und Anwendungen als auch sonstiger Infrastruktur wie Router, Switche, Firewalls, Server-Management-Ports (ipmi, ilo, idrac, etc).
Gesetzte Härtungsmaßnahmen sollten überwacht werden auf Einhaltung (entweder durch regelmäßige Umsetzung per "Zwang", z.B. per GPOs oder Puppet o.ä.) oder Monitoringlösungen.
All dies muss regelmäßig angepasst werden denn IT ist ja nicht in Beton gegossen und stets im Wandel.
Die ganzen Kali-Hax0r übersehen dabei leider oft, dass die meisten Securityprobleme heute größtenteils durch Configfehler oder Vergesslichkeiten entstehen. Die letzten Audits die ich mitbekam oder begleitet habe kamen mit shodan, google, bing und curl aus
Die meisten gefundenen Treffer bei einem OpenVAS sind nicht geänderte Standardkennwörter oder veraltete Software.
edit: Wem das alles nicht reicht, schafft sich dann noch ein
SIEM an. Da kannst zentral Logs sammeln und korrelieren, Anomalien erkennen (nachdem du wochenlang die false-positives heraus gefiltert hast und eine vernünftige Baseline des Hintergrundrauschens des Netzwerks erstellt hast), regelmäßig die Ergebnisse von Vulnerability Scans einsehen wo sich im besten Fall nach einiger Anfangszeit eine sinkende Anzahl Incidents ergeben sollte.
