SchildmarkRatgeber
XDR mit integriertem Patch-Management: Erkennung und geprüftes Patching in einem Produkt
Ein XDR mit integriertem Patch-Management findet eine Schwachstelle, behebt sie und belegt die Behebung in derselben Konsole, sodass nichts zwischen Sicherheitswerkzeug und separatem Patch-Tool verloren geht. Entscheidend ist die Prüfung: Ein Patch gilt erst als erledigt, wenn ein neuer Scan bestätigt, dass die Schwachstelle weg ist, nicht wenn der Installer Erfolg meldet.
Warum Erkennung und Patching zusammengehören
Viele Angriffe nutzen Schwachstellen, für die es längst einen Patch gibt; die US-Behörde CISA führt genau deshalb einen öffentlichen Katalog aktiv ausgenutzter Schwachstellen. Selten ist der Patch das Problem. Schwierig ist zu wissen, welcher Rechner welchen Fix zuerst braucht, und sicher zu sein, dass er installiert wurde.
Mit zwei Produkten sieht das Sicherheitswerkzeug den Angriff, während das Patch-Tool ein eigenes Inventar, eigene Prioritäten und eine eigene Vorstellung von „erledigt“ hat. Jemand gleicht beides ab, meist von Hand, und in dieser Lücke bleibt ein exponierter Server einen weiteren Monat offen.
In einem Produkt meldet derselbe Agent das verwundbare Paket, dieselbe Konsole priorisiert es neben den Alarmen dieses Rechners, aktiv ausgenutzte Schwachstellen zuerst, der Fix wird dort geplant und freigegeben, und der nächste Scan schließt den Fund. Der Prüfer bekommt einen durchgehenden Nachweis vom Fund bis zum bestätigten Fix. Die Seite Patchen zeigt das in der Konsole, und der KI-Analyst findet das verwundbare Paket und schlägt den Fix vor.
Was „geprüftes Patching“ bedeutet
Installiert heißt nicht behoben. Ein geprüfter Patch durchläuft sechs Schritte, und der letzte ist ein neuer Scan, nicht der Rückgabewert des Installers.
Bestätigen
Ausgangspunkt ist eine mit Hersteller- und NVD-Daten bestätigte Schwachstelle und der aktuelle Zustand des Rechners.
Version wählen
Die genaue Paketversion oder Windows-KB, die sie behebt. Nicht „die neueste“.
Proben
Ein Probelauf der Installation auf dem Rechner, ohne ihn zu verändern.
Freigeben
Ein Mensch oder eine von Ihnen eingeschaltete Richtlinie. Kritische Rechner brauchen zwei Personen.
Installieren
Im Wartungsfenster des Rechners, mit Neustart nur, wenn er ihn erlaubt.
Neu scannen
Erledigt erst, wenn die Version installiert ist und der Scan die Behebung bestätigt.
Bei Schildmark endet ein Auftrag erst mit Remediated, wenn die installierte Version mindestens dem Ziel entspricht, die Softwareliste des Rechners sie zeigt und die Prüfung jede behebbare Schwachstelle des Auftrags als behoben meldet. Sonst lautet der Status Not verified oder Reboot required. Ein Kernel-Fix wartet auf den Neustart, und ein Fund, der binnen 30 Tagen zurückkehrt, wird wieder geöffnet.
Automatische Patch-Freigabe: was ohne Freigabe laufen darf und was nie
Die automatische Freigabe nimmt Ihrem Team die Routine ab, nicht das Urteil. Eine gute Richtlinie begrenzt sie nach Umgebung, Kritikalität des Rechners und Paket, und jede automatische Entscheidung bleibt nachvollziehbar.
- Routine-Fixes
- Automatische Freigabe nur in den Umgebungen, die Sie nennen, auf Rechnern ohne hohe oder kritische Einstufung und für Pläne ohne gesperrte Pakete. Solche Aufträge tragen Approved automatically by policy und werden trotzdem geprobt und neu gescannt.
- Hohe und kritische Rechner
- Nie automatisch freigegeben. Kritische Rechner brauchen zwei verschiedene Personen.
- Gesperrte Pakete
- Pakete wie Container-Laufzeiten brauchen eine erhöhte Freigabe, unabhängig von der Richtlinie.
- Wartungsfenster und Neustarts
- Geplante Aufträge warten auf das Wartungsfenster; Neustarts außerhalb werden abgelehnt. Ohne Erlaubnis kann weder ein Patch noch ein Mensch den Rechner neu starten.
- Ringe
- Ein Paket über Ringe von Rechnern; der nächste Ring startet erst, wenn der vorige erfolgreich war.
- Nicht installierbare Fixes
- Halten Sie ein akzeptiertes Risiko mit Verantwortlichem, Begründung und Ablaufdatum fest, statt einen Fund unkommentiert offen zu lassen.
- Die Grenzen
- Ein Probelauf findet fehlende Abhängigkeiten und Konflikte, nicht jede Regression einer Anwendung. Halten Sie die Einstufungen aktuell, und stufen Sie Rechner, deren Ausfall den Betrieb stoppt, hoch oder kritisch ein.
Patch-Management für Windows, Linux und macOS: woraus installiert wird
Verlangen Sie diese Tabelle von jedem Anbieter, mit dem Status jedes Kanals, statt einer Reihe von Logos. Das ist der heutige Stand bei Schildmark.
| Kanal | Status |
|---|---|
| apt, dnf (Linux) | Verfügbar |
| Windows-Update-KBs | Pilot |
| winget, pip | Pilot |
| Homebrew (macOS) | Pilot |
| macOS-Systemupdates, andere Drittanbieter-Anwendungen | Auf dem Rechner installiert; die Konsole zeigt sie als behoben, sobald der Scan es bestätigt |
Patching nutzt denselben Schildmark Agent, installiert mit --patching. Er baut nur ausgehende Verbindungen auf, signiert jede Anfrage und führt nur Aufträge aus, die Ihre Konsole signiert hat, aus einer festen Liste von Aktionen: genaue Paketversionen, Windows-KBs, Neustart, Start, Stopp, Deinstallation. Es gibt keine Shell und kein „Befehl ausführen“.
Was Sie Anbieter von XDR mit Patch-Management fragen sollten
Sechs Fragen, die eine Patch-Funktion von Patching unterscheiden, auf das Sie sich verlassen können.
- Wann ist ein Patch „erledigt“?
- Beim Rückgabewert des Installers oder wenn ein neuer Scan bestätigt, dass die Schwachstelle weg ist? Lassen Sie sich einen Auftrag zeigen, der die Prüfung nicht bestanden hat.
- Kann ich den Probelauf sehen?
- Ein Probelauf auf dem Rechner vor der Freigabe zeigt, was sich ändern würde.
- Was wird nie automatisch freigegeben?
- Welche Rechner, Umgebungen und Pakete sind ausgenommen, und kann eine einzelne Person die Ausnahmen aufheben?
- Welche Kanäle sind allgemein verfügbar?
- Je Betriebssystem und Paketquelle: verfügbar, Pilot oder nicht unterstützt.
- Was kann man dem Agenten auftragen?
- Ein Patch-Agent, der beliebige Befehle ausführt, ist eine Fernsteuerung auf jedem Rechner. Fragen Sie nach der festen Liste von Aktionen und danach, wie Aufträge signiert werden.
- Welche Nachweise bekomme ich?
- Freigaben, Ablehnungen, Ausführungen und bestätigte Fixes für einen Zeitraum, als Dateien, die ein Prüfer öffnen kann.
Patch-Nachweise für NIS2, ISO 27001 und PCI DSS
Alle drei nennen den Umgang mit Schwachstellen. NIS2 verlangt in Artikel 21 Absatz 2 Buchstabe e, in Deutschland § 30 Absatz 2 Nummer 5 BSIG, das Management und die Offenlegung von Schwachstellen; ISO/IEC 27001:2022 Anhang A 8.8 das Management technischer Schwachstellen; PCI DSS 4.0.1 Anforderung 6.3.3 kritische Patches binnen eines Monats nach Veröffentlichung.
Das Nachweispaket von Schildmark enthält für den gewählten Zeitraum vulnerabilities_fixed.csv mit dem Nachweis jeder Prüfung und patch_activity.csv mit Freigaben, Ablehnungen und Ausführungen. Mehr auf der Compliance-Seite und der NIS2-Seite.
Häufige Fragen
Was ist ein XDR mit integriertem Patch-Management?
Ein XDR, das Angriffe nicht nur erkennt, sondern die Fixes für gefundene Schwachstellen auch installiert, mit demselben Agenten und aus derselben Konsole. Sinnvoll ist das, wenn jeder Fix mit einem neuen Scan geprüft und protokolliert wird: Erkennung, Behebung und Prüfnachweis liegen dann an einer Stelle.
Kann die Patch-Freigabe vollständig automatisiert werden?
Für Routine-Fixes auf gewöhnlichen Rechnern ja, wenn eine Richtlinie sie begrenzt. Bei Schildmark gilt die automatische Freigabe nur in den Umgebungen, die Sie nennen, nie für Rechner mit hoher oder kritischer Einstufung und nie für Pläne mit gesperrten Paketen. Kritische Rechner brauchen immer zwei Personen. Auch automatische Aufträge werden geprobt und erneut gescannt.
Wie prüft man, ob ein Patch wirklich gewirkt hat?
An drei Punkten: Die installierte Version ist mindestens die behebende Version, das Software-Inventar des Rechners zeigt sie, und ein neuer Schwachstellenscan meldet die Schwachstelle nicht mehr. Ein Installer ohne Fehlermeldung belegt für sich genommen nichts davon.
Welche Betriebssysteme patcht Schildmark?
Linux-Pakete über apt und dnf sind verfügbar. Windows-Update-KBs, winget, pip und Homebrew unter macOS sind im Pilotbetrieb. macOS-Systemupdates und andere Drittanbieter-Anwendungen werden auf dem Rechner selbst installiert; die Konsole zeigt sie als behoben, sobald der Scan es bestätigt.
Brauchen wir dann noch ein separates Patch-Management-Tool?
Vielleicht. Wenn ein anderes Werkzeug Ihre Windows- oder macOS-Updates bereits verteilt, behalten Sie es. Schildmark sieht auch diese Fixes, einschließlich Updates außerhalb von Schildmark, und zählt sie, sobald der Scan sie bestätigt. Ihr Schwachstellennachweis bleibt so in jedem Fall vollständig.
Einen Patch-Auftrag vom Fund bis zum bestätigten Fix sehen
Nennen Sie uns Ihre Systeme und wie Sie heute patchen. Wir zeigen Ihnen Probelauf, Freigabe und Prüfung an einem Rechner wie Ihrem. Der 30-Tage-Test umfasst bis zu 25 Rechner.