Open Access

Mika Hanke

• Ziel dieser Arbeit war es, den Umgang mit einer großen Anzahl von Softwareschwachstellen, konkret Common Vulnerabilities and Exposures (CVEs) zu erleichtern. Dazu wurden drei Ansätze untersucht: die Entwicklung eines eigenen Vulnerability Management Systems (VMS), die Untersuchung von Filtermöglichkeiten für CVEs und die Identifizierung von Attributen zur Priorisierung von Schwachstellen. Das eigens entwickelte VMS, der CVE-Tracker, ermöglicht die effiziente Verwaltung und Organisation der über 1300 gefundenen CVEs, insbesondere im Hinblick auf Mehrfachvorkommen in verschiedenen Software-Releases sowie die automatische Abfrage der CVEs von der National Vulnerability Database (NVD). Als Ergebnis konnten wichtige Erkenntnisse gewonnen werden, die bei der Implementierung eines VMS berücksichtigt werden müssen. Die Untersuchung von verschiedenen Anfragetypen zum Filtern der CVEs gibt einen detaillierten Einblick in das Verhalten der CVE-API der NVD. Es konnte ein Anfragetyp identifiziert werden, der für den Einsatz in VMS geeignet ist. Im letzten Ansatz wurden Attribute für eine mögliche Priorisierung von CVEs identifiziert, darunter CVSS-Scores, Common Weakness Enumeration (CWE) und Social Media Analysen. Insgesamt wurden sieben Attribute gefunden, die, wenn sie richtig verstanden werden, zu einer guten Priorisierung beitragen können. Die Arbeit verdeutlicht die Herausforderungen bei der Verwaltung der Sicherheit einer Software mit großen Mengen an CVEs und bietet eine Grundlage für zukünftige Forschung. Mögliche Erweiterungen umfassen den Einsatz von künstlicher Intelligenz für eine präzisere Filterung, die Einbeziehung weiterer Schwachstellendatenbanken und die Vertiefung der Analyse von Social-Media-Plattformen für eine umfassendere Bewertung der Relevanz von CVEs.