Ein Provisorium mit Ablaufdatum, kein zweites Härtungswerkzeug
Die Schwachstelle ist bekannt, der Patch nicht einspielbar: Der Hersteller liefert noch nicht, das System ist eine Anlagensteuerung ohne Wartungsvertrag, das Wartungsfenster ist in sechs Wochen. Statt zu warten, wird die Ausnutzbarkeit entfernt. Das Modul führt dafür einen Rezeptkatalog, in dem jedes Rezept aus Schritten, Zuordnung zu CVE, KB, Paket oder Produkt, einer Pflichtangabe zur Nebenwirkung und einem Beleg beim Hersteller besteht. Eine Ersatzmaßnahme gilt befristet, für ein System und gegen eine Schwachstelle, und sie verschwindet wieder. Wer das mit dauerhafter Härtung vermischt, hat nach zwei Jahren eine Flotte abgeschalteter Dienste, an die sich niemand erinnert.
Gäbe es einen Mechanismus „führe dieses Kommando aus“, könnte ein einziger Datenbankeintrag Code als SYSTEM auf der ganzen Flotte ausführen. Deshalb gibt es kein Skript und kein Freitextfeld, das am Gerät landet. Was der Agent nicht kennt, führt er nicht aus, auch nicht signiert.
Das Cockpit vergleicht offene Schwachstellen mit dem Katalog über CVE-Kennung, KB-Nummer und Paketkennung. Nur der Produktname ist eine Textsuche, und ein Treffer darauf trägt deshalb die Konfidenz „Vermutung“.
Vor einer Hostfirewall-Regel löst der Agent den Weg zur Plattform, Proxy, Namensauflösung und DHCP auf und verweigert jede Regel, die sie träfe. Nach dem Setzen prüft er, ob die Plattform noch antwortet, und nimmt die Regel sofort zurück, wenn nicht. Der Mechanismus ist gebaut und bleibt bis zu Design-Review und Pentest gesperrt.
Die Lücke ist geschlossen, bevor der Patch da ist, und die Maßnahme verschwindet wieder, sobald er da ist: nachvollziehbar, befristet, ohne Skript am Gerät.
Vereinbaren Sie eine unverbindliche Demo – wir zeigen Ihnen das Modul an Ihren eigenen Anwendungsfällen.
