IT-Service Walter
CVE Vulnerability Scanner Pro
Findet heraus, welche der installierten Programme auf Ihren Windows-Servern bekannte Schwachstellen mitbringen – und welche davon tatsächlich zuerst dran sind. Abgleich gegen die NIST National Vulnerability Database, Betriebssysteme build-genau über den Microsoft-Sicherheitsdienst, Rangfolge über die Ausnutzungsdaten von CISA und FIRST. Auf den Zielsystemen wird nichts installiert.
Warum eine CVE-Liste allein nicht reicht
Eine Liste mit vierhundert Schwachstellen ist kein Ergebnis, sondern eine neue Aufgabe. Die Arbeit beginnt danach: Welcher Eintrag betrifft wirklich die Version, die hier installiert ist? Welcher wird draußen tatsächlich ausgenutzt? Welcher ist längst durch ein Update geschlossen, das im Inventar noch nicht sichtbar ist? Genau an diesen vier Stellen setzt das Werkzeug an.
Vom Programmnamen zum Treffer
„Adobe Acrobat (64-bit)" aus der Registrierung ist keine Kennung, mit der sich eine Datenbank abfragen lässt. Der Scanner bildet daraus eine CPE-Kennung und fragt herstellergenau ab; wo keine CPE existiert, greift ein Rückfall auf den Hersteller.
Vom Treffer zur Rangfolge
Ein CVSS-Wert von 9,8 sagt, wie schlimm es wäre. Er sagt nicht, ob es passiert. Deshalb kommen der CISA-Katalog aktiv ausgenutzter Schwachstellen und die EPSS-Wahrscheinlichkeit dazu – beides je Fund.
Vom Einzelserver zur Flotte
Ein Server ist ein Nachmittag. Vierhundert sind ein Projekt. Der Scanner arbeitet gespeicherte Serverprofile in einem Lauf ab und legt am Ende eine Übersicht über alle Systeme darüber.
Vom Fund zum Nachweis
Jeder Lauf geht in eine Historie. Zwei Läufe lassen sich vergleichen: Was ist neu, was ist weg, was ist geblieben. Das ist der Beleg, den ein Audit sehen will – nicht der Screenshot von heute.
Drei Aufgaben, eine Kette
Erfassen, abgleichen, einordnen. Die Kette bricht an jeder Stelle, an der geraten wird – deshalb sagt das Werkzeug an jeder Stelle, woher der Wert stammt.
Erfassen
Das Software-Inventar entsteht aus der Windows-Registrierung und über PowerShell – lokal oder über WinRM auf dem Zielsystem. Erfasst werden Name, Version, Hersteller und Installationsdatum.
Auf Wunsch kommen die zum Scan-Zeitpunkt laufenden Prozesse dazu. Damit werden auch portable Programme ohne Eintrag in der Deinstallationsliste sichtbar – ein portables 7-Zip, Notepad++ oder PuTTY. Die Option ist bewusst standardmäßig aus, denn sie erfasst nur, was gerade läuft.
Zusätzlich werden die installierten Hotfixes gelesen und der WinGet-Status ausgewertet – beides brauchen die späteren Schritte.
Abgleichen
Jedes Produkt wird auf eine CPE-Kennung abgebildet und gegen die NIST NVD abgefragt. Für Windows und Windows Server läuft der Abgleich nicht über die breite Betriebssystemsuche, sondern build-genau über den Microsoft-Sicherheitsdienst MSRC – anhand von KB-Nummer und Ziel-Build.
Fällt die NVD aus, führt der Weg nicht ins Leere: Es gibt zwei Offline-Ebenen, die einspringen. Welche Quelle einen Fund geliefert hat, steht während des Laufs in der Anzeige und danach im Bericht.
Einordnen
Nach dem Abgleich wird jeder Fund angereichert: Steht die Schwachstelle im CISA-Katalog der aktiv ausgenutzten? Wie hoch ist die EPSS-Wahrscheinlichkeit? Ist auf diesem System bereits ein Hotfix installiert, der sie schließt?
Erst danach entsteht die Rangfolge – und die Zahl in der Kachel „Kritisch" meint die Funde, die nach dieser Prüfung noch offen sind.
Woher die Daten kommen – und in welcher Reihenfolge
Sechs Quellen, klar gestaffelt. Die NIST NVD ist die Primärquelle; alles Weitere greift, wenn sie ausfällt, oder ergänzt sie um etwas, das sie nicht liefert.
| Quelle | Rolle |
|---|---|
| NIST NVD | Primärquelle für alle Produktabfragen, live über die offizielle Schnittstelle. Ein kostenloser API-Schlüssel hebt das Limit von 5 auf 50 Abfragen je 30 Sekunden – bei mehr als einer Handvoll Programme ist er praktisch Pflicht |
| Microsoft MSRC | Betriebssystem-Schwachstellen build-genau statt über die breite NVD-Suche. Braucht ausgehendes HTTPS zu api.msrc.microsoft.com, auch für das Dienstkonto eines geplanten Scans |
| VulnCheck-Offline-Mirror | Vollständiger NVD-Bestand auf der eigenen Platte. Wahlweise dauerhafte Datenquelle – dann läuft der Scan bewusst offline – oder Auffangnetz für einen NVD-Ausfall. Aktualisiert sich im Tagesturnus von selbst. Benötigt einen VulnCheck-Token |
| CVE-JSON 5.x | Token-freie zweite Offline-Ebene aus dem öffentlichen cvelistV5-Bestand. Greift nur, wenn NVD nicht antwortet und kein VulnCheck-Token vorliegt. Der Index wird einmalig aufgebaut und danach im Wochenturnus erneuert |
| CISA KEV | Katalog der nachweislich ausgenutzten Schwachstellen. Ein Treffer hier hat Vorrang vor jedem CVSS-Wert. Wird einmal geladen und einen Tag lang vorgehalten |
| FIRST EPSS | Geschätzte Wahrscheinlichkeit, dass eine Schwachstelle in den nächsten 30 Tagen ausgenutzt wird. Wird je Lauf gebündelt abgerufen |
Was zuerst dran ist
Vier Angaben entscheiden über die Reihenfolge. Sie stehen nebeneinander in derselben Zeile, damit niemand sie erst zusammensuchen muss.
Aktiv ausgenutzt
Steht die Schwachstelle im CISA-Katalog, wird die Zeile markiert. Diese Funde haben Vorrang, unabhängig vom Schweregrad – jemand nutzt sie bereits.
Ausnutzungswahrscheinlichkeit
Der EPSS-Wert trennt die theoretische 9,8 von der, an der gerade gearbeitet wird. Zwei kritische Funde sind selten gleich dringend.
Schweregrad und Punktwert
CVSS-Einstufung und Punktwert wie in der NVD hinterlegt – als eine Angabe unter mehreren, nicht als alleiniges Maß.
Schon geschlossen
Die installierten Hotfixes werden gegen die Funde gehalten. Was auf diesem System bereits gepatcht ist, taucht nicht mehr als offene Baustelle auf.
Der Befund, der keiner ist
Jeder Abgleich über Produktnamen erzeugt Fehltreffer. Ein Werkzeug, das darauf keine Antwort hat, wird nach zwei Wochen ignoriert. Es gibt deshalb zwei Wege, und sie tun bewusst Verschiedenes.
Blacklist – gar nicht erst abfragen
Programme, die für die Bewertung ohne Belang sind, werden vor dem Scan ausgeschlossen. Sie erzeugen keine Abfrage, kosten keine Zeit am Ratenlimit und tauchen im Bericht nicht auf.
Sinnvoll für hauseigene Werkzeuge, Treiberpakete und alles, was ohnehin nie in der NVD steht.
CVE-Filter – den einzelnen Fund entfernen
Hier geht es nicht um das Programm, sondern um die konkrete Schwachstelle: der Treffer, der auf eine andere Version oder ein gleichnamiges Produkt eines anderen Herstellers zeigt.
Der Filter wird gespeichert und gilt für kommende Läufe – die Bereinigung ist damit einmalige Arbeit und nicht Teil jeder Auswertung.
Die ganze Flotte in einem Durchlauf
Server werden als Profile gepflegt, nicht bei jedem Lauf neu eingetippt. Aus diesen Profilen wird der Batch – in der Oberfläche mit Fortschritt je System, über die Kommandozeile als ein einziger geplanter Task.
Server-Manager
Zentrale Pflege aller Profile: Name, Anschrift, Anschluss, Verschlüsselung, Anmeldung, Kennzeichen. Anmeldedaten liegen AES-256-verschlüsselt, gebunden an die Maschine.
Auswahl statt Alles
Ein einzelnes Profil oder alle mit einem bestimmten Kennzeichen – etwa nur die Domänencontroller. Beides geht in der Oberfläche und auf der Kommandozeile.
Ein Bericht je Server
Jedes System bekommt seinen eigenen Bericht und einen Eintrag in der gemeinsamen Historie – auch dann, wenn der Lauf danach weitergeht.
Und eine Übersicht darüber
Am Ende entsteht die serverübergreifende CVE-Übersicht: welche Schwachstelle auf wie vielen Systemen liegt und auf welchen. Als HTML, PDF und CSV.
Ein Server bringt den Lauf nicht um
Ist ein System nicht erreichbar oder braucht zu lange, wird es als Fehler vermerkt und der Batch geht weiter. Das Zeitbudget je Server lässt sich setzen.
Unvollständig heißt unvollständig
Sind einzelne Produktabfragen fehlgeschlagen, wird das ausgewiesen und der Lauf endet mit einem eigenen Rückgabewert. Ein halb gescanntes System gilt nicht als sauber.
Was sich seit dem letzten Lauf verändert hat
Der Wert einer Prüfung entsteht beim zweiten Mal. Vorher ist es eine Momentaufnahme, danach eine Entwicklung.
Historie
Jeder Lauf – ob aus der Oberfläche oder aus dem nächtlichen Task – wird in einer lokalen Datenbank festgehalten: Zeitpunkt, System, Anzahl der Funde, Schweregrade.
Daraus speist sich die serverübergreifende Übersicht, und daraus lässt sich belegen, wann ein Zustand bestand und wann er behoben war.
Momentaufnahmen und Vergleich
Zwei Läufe lassen sich gegenüberstellen: neu hinzugekommen, verschwunden, unverändert. Für den einzelnen Unterschied gibt es eine Detailansicht.
Das ist der Nachweis, den ein Patchzyklus braucht – und die schnellste Antwort auf die Frage, ob das Wartungsfenster etwas gebracht hat.
Berichte, die man weiterreichen kann
Drei Formate aus demselben Lauf, für drei verschiedene Leser: das Lesbare, das Archivierbare, das Weiterverarbeitbare.
HTML
Zum Durchsehen am Bildschirm, mit Firmenname im Kopf. Kein Server nötig, die Datei genügt.
Für die Ablage und die Weitergabe an Leitung, Revision oder Kunde – unveränderlich und zitierbar.
CSV
Für die eigene Auswertung, das Ticketsystem oder die Übergabe an ein SIEM.
Versand über Ihren Mailserver
Der Bericht geht über den eigenen SMTP-Server hinaus, mit TLS und eigenem Absender. Kein fremder Dienst dazwischen.
Alarm ab Ihrer Schwelle
Die Mail lässt sich an eine Mindestschwere binden. Dann kommt sie, wenn etwas ab „Hoch" oder „Kritisch" gefunden wurde – und sonst nicht.
Protokoll je Lauf
Jeder Lauf schreibt eine Protokolldatei an einer zentralen Stelle – dieselbe für die Oberfläche und für den Task unter dem Dienstkonto.
Ein Task, der nachts alles macht
Der Scanner ist vollständig über die Kommandozeile bedienbar. Ein geplanter Task, ein Aufruf: alle Profile scannen, Berichte schreiben, Übersicht bauen, Mail versenden.
| Schalter | Wirkung |
|---|---|
--scan | Führt den Scan aus – lokal, wenn kein Ziel angegeben ist |
--from-server-profiles | Arbeitet alle aktivierten Serverprofile der Reihe nach ab |
--server-profile / --server-tag | Nur ein bestimmtes Profil oder alle mit einem Kennzeichen |
--report und --format | Zielordner und Formate: pdf, html, csv, auch kombiniert |
--email-from-config und --alert-min | Versand über den hinterlegten Mailserver, wahlweise erst ab einer Mindestschwere |
--from-scheduled-store | Holt Schlüssel, Firmenname und Zugangsdaten zur Laufzeit aus einer verschlüsselten, maschinengebundenen Konfiguration – im Task steht kein Kennwort im Klartext |
--server-timeout | Zeitbudget je Server; wird es überschritten, gilt dieser Server als Fehler und der Batch läuft weiter |
--include-processes | Bezieht laufende Prozesse als zusätzliche Inventarquelle ein |
--quiet / --verbose | Stille Ausgabe für den Task, ausführliche Ausgabe für die Fehlersuche |
Was das Werkzeug bewusst nicht tut
Ein Prüfwerkzeug, das seine Grenzen verschweigt, erzeugt falsche Sicherheit. Diese hier sind bekannt und beabsichtigt.
| Nicht enthalten | Warum |
|---|---|
| Es installiert keine Updates | Der Scanner findet und bewertet. Das Einspielen bleibt bei Ihrem Patch-Verfahren – dort, wo Wartungsfenster, Freigaben und Rückwege geregelt sind |
| Es scannt nicht das Netz | Geprüft wird die installierte Software auf benannten Systemen, nicht ein Adressbereich. Ein Portscanner ist es nicht und soll es nicht sein |
| Es prüft nicht auf Ausnutzbarkeit | Ob eine Schwachstelle in Ihrer Konfiguration tatsächlich erreichbar ist, sagt kein Inventarabgleich. Dafür stehen KEV und EPSS daneben – als Einordnung, nicht als Beweis |
| Es erfindet keine Zahlen | Was nicht abgefragt werden konnte, wird als fehlgeschlagen ausgewiesen und nicht als „keine Funde" gezählt |
| Es sendet nichts an uns | Der Scanner läuft in Ihrer Umgebung. Ergebnisse, Berichte und Historie verbleiben auf Ihren Systemen |
Technik und Voraussetzungen
Eine Arbeitsstation, von der aus gearbeitet wird. Auf den Zielsystemen wird nichts installiert.
| Punkt | Anforderung |
|---|---|
| Arbeitsstation | Windows 10/11 oder Windows Server ab 2016, .NET 10, erhöhte Rechte |
| Zielsysteme | Windows Server ab 2016, PowerShell-Remoting über WinRM – agentenlos, auf den Zielsystemen ist nichts zu installieren |
| Verbindung | WinRM, HTTPS über Port 5986 bevorzugt; selbstsignierte Zertifikate lassen sich je Profil zulassen. Auf dem lokalen System wird ohne Remoting gearbeitet |
| Anmeldungen | Angemeldeter Windows-Benutzer oder benannte Anmeldungen je Profil, Kennwörter AES-256-verschlüsselt und an die Maschine gebunden |
| Ausgehend erreichbar | services.nvd.nist.gov für die NVD, api.msrc.microsoft.com für Betriebssystem-Schwachstellen, dazu die Katalogquellen für KEV und EPSS – auch für das Dienstkonto eines geplanten Scans |
| NVD-Schlüssel | Kostenlos bei der NIST; hebt das Limit von 5 auf 50 Abfragen je 30 Sekunden. Ohne Schlüssel dauert ein Lauf mit vielen Programmen deutlich länger |
| Offline-Betrieb | Über den VulnCheck-Mirror oder die token-freie CVE-JSON-5.x-Ebene möglich; die Kataloge liegen dann lokal |
| Geplanter Betrieb | Windows-Aufgabenplanung, wahlweise unter SYSTEM oder einem gruppenverwalteten Dienstkonto. Serverprofile und Zugangsdaten liegen dafür maschinenweit unter %ProgramData%\ISW\CVEScanner |
| Berichte und Protokolle | HTML, PDF und CSV in einen frei wählbaren Ordner; Protokolldateien zentral unter %ProgramData%\ISW\CVEScanner\logs |
| Versand | Eigener SMTP-Server mit TLS; kein fremder Versanddienst |
Bezug und Kontakt
Das Werkzeug wird als Lizenz erworben und läuft vollständig in Ihrer eigenen Umgebung. Fragen zum Umfang, zur Lizenzierung oder zum Einsatz in Ihrer Domäne beantworte ich am schnellsten am Telefon.
Support: support@it-service-walter.com
Schreiben Sie kurz, wie viele Systeme und welche Rollen – dann fällt die Antwort konkreter aus.
Shop
Die Werkzeuge der ISW-ADTools-Reihe werden über den Shop von IT-Service Walter vertrieben – Lizenz ohne Abonnement, unbegrenzte Laufzeit. Alle Angaben zu Ausstattung und Lizenzierung stehen auf der Produktseite.