IT-SERVICE WALTER • WINDOWS-SECURITY-TOOLS

ISW CVE Vulnerability Scanner v4.5 NEU: Welche Lücke muss ich zuerst patchen?

Versionsgenaue Schwachstellen-Erkennung für Windows-Server – jetzt mit Server-Import aus dem Active Directory, Dashboards über die ganze Flotte und verlässlichem Inventar auch auf gehärteten Systemen.

Tausende neuer CVEs pro Jahr, hunderte Programme im Bestand – und am Ende bleibt für jeden Administrator dieselbe Frage: Was muss ich wirklich zuerst patchen? Genau diese Frage beantwortet die neue Version 4.5 des ISW CVE Vulnerability Scanners.

Das Problem: „installiert“ ist keine Aussage

Viele Tools melden eine Schwachstelle bereits, wenn ein Produkt überhaupt installiert ist. Das Ergebnis sind hunderte Treffer, von denen ein Großteil längst gepatcht ist – Rauschen statt Übersicht.

Der ISW CVE Scanner geht den genauen Weg: Er prüft jede CVE gegen die tatsächlich installierte Software-Version. Sie sehen damit nicht „Produkt X hatte irgendwann Lücken“, sondern die belastbare Aussage: Diese Version auf diesem System ist verwundbar – oder eben nicht.

Version 4.5 zieht diese Linie konsequent zu Ende: Lässt sich ein Produkt weder über das NVD-CPE-Wörterbuch noch über die interne Zuordnung eindeutig belegen, wird gar nicht erst per Volltext gesucht. Denn Treffer aus einer unscharfen Suche gehören zwangsläufig zu anderen Produkten. Keine Fremdtreffer, keine erklärungsbedürftigen Zahlen im Bericht.

Priorisierung statt Panik

66 offene CVEs auf einem Server klingen dramatisch. Aber welche gehört ins heutige Wartungsfenster, welche kann warten? Dafür kombiniert der Scanner mehrere Threat-Intelligence-Quellen:

✓ CISA KEV – wird die Lücke nachweislich aktiv ausgenutzt? Dann hat sie Vorrang.

✓ EPSS (FIRST.org) – wie wahrscheinlich ist ein Exploit in den nächsten 30 Tagen?

✓ Ransomware-Bezug – steht die CVE im Zusammenhang mit bekannten Kampagnen?

✓ WSUS-Abgleich – bereits ausgerollte Patches werden erkannt und nicht doppelt gemeldet.

Aus einer langen Trefferliste wird so eine klare Aufgabenliste nach Risiko.

Neu in 4.5: Server direkt aus dem Active Directory übernehmen

Bisher hieß „Flotte einrichten“: jeden Server einzeln anlegen oder eine CSV pflegen. Bei 40 Servern ist das ein Abend Arbeit, bei 400 ein Projekt.

Version 4.5 liest die Computerkonten direkt aus einer auswählbaren Organisationseinheit. Links der OU-Baum Ihrer Domäne, rechts die Trefferliste mit Name, DNS-Name, Betriebssystem, letzter Anmeldung – und dem Hinweis, für welche Konten bereits ein Profil existiert. Filter für Unter-OUs, „nur Server“ und deaktivierte Konten sind eingebaut.

Der Import gleicht über den Computernamen ab: Vorhandene Profile werden aktualisiert, neue angelegt – Dubletten entstehen nicht. Die Quell-OU landet als Tag am Profil, sodass Sie später gezielt eine Struktur scannen können. Anmeldedaten rührt der Import nie an.

Vom Einzelplatz bis zur ganzen Server-Flotte

Remote-Scan per WinRM – HTTP/HTTPS, eigener Port, Zertifikatsprüfung. Kein Agent auf dem Zielsystem nötig.
Multi-Server über Profile – ein einziger geplanter Task scannt nachts die gesamte Flotte.
Kein Abbruch mitten im Lauf – im Profil-Modus begrenzt Version 4.5 jeden Server einzeln statt den gesamten Durchlauf. Ein hängender Server kostet nur noch sich selbst, der Batch läuft weiter.
Serverübergreifende CVE-Übersicht – pro Schwachstelle sehen Sie sofort, welche Server betroffen sind. Das ist Ihre Patch-Roadmap.
Geplante Scans als Windows-Task (SYSTEM, gMSA oder dediziertes Konto) – einmal eingerichtet, läuft es automatisch.

Neu in 4.5: Verlässliches Inventar auch auf gehärteten Servern

Wer WDAC oder AppLocker im Einsatz hat, kennt das Phänomen: Die Verbindung steht, der Test ist grün – und trotzdem kommt kein Inventar zurück. Grund ist der eingeschränkte PowerShell-Sprachmodus ConstrainedLanguage, in dem viele gängige Abfrage-Konstrukte stillschweigend abgewiesen werden. Ohne Fehlermeldung.

Version 4.5 liest Registry-Inventar, laufende Prozesse und Host-Kennung ohne .NET-Aufrufe und funktioniert damit in jedem Sprachmodus. Bleibt trotzdem etwas leer, nennt der Scanner den Grund im Klartext – inklusive Sprachmodus und PowerShell-Version der Gegenstelle. Kein Rätselraten mehr.

Ebenfalls gerade gerichtet: Software, die pro Benutzer installiert wird – Chrome, Visual Studio Code, Teams, Zoom – landet wieder zuverlässig im Remote-Inventar.

Berichte, die man auch dem Management zeigen kann

Jeder Scan wird zu sauberen Berichten in den Formaten HTML, PDF und CSV – mit übersichtlichen Kennzahlen, ruhiger Severity-Kennzeichnung, CVSS-Erklärung und einer KEV-Hotlist der aktiv ausgenutzten Lücken. Die automatischen E-Mail-Reports kommen pünktlich nach dem Nacht-Scan ins Postfach – auf Wunsch nur dann, wenn wirklich Handlungsbedarf besteht.

Neu in 4.5 ist das Dashboard mit Diagrammen für die ganze Flotte. Bisher gab es die grafische Auswertung nur nach einem Einzelscan. Jetzt entsteht sie wahlweise je Server – und zusätzlich als Gesamt-Dashboard über den kompletten Lauf: summierte Kennzahlen, Schweregrad-Verteilung, CVEs je Server im direkten Vergleich, die Top-10-Software über alle Systeme hinweg und eine KEV-Hotlist mit Server-Spalte. Sie sehen auf einer Seite, wo die Flotte steht und welcher Server zuerst dran ist.

Praxis-Workflow: Sie importieren die Server-OU einmal aus dem Active Directory. Ein Task scannt nachts alle Kundenserver, schreibt die Ergebnisse in die zentrale Historie und legt morgens Einzelberichte, eine serverübergreifende Übersicht und das Gesamt-Dashboard im Zielordner ab – fertig priorisiert. Sie starten den Tag mit einer konkreten To-do-Liste statt mit einer Rohdaten-Wüste.

Warum das gerade jetzt zählt: NIS2, ISO 27001 & Co.

Schwachstellen-Management ist längst keine Kür mehr. NIS2, ISO 27001, BSI IT-Grundschutz und die DSGVO verlangen einen nachvollziehbaren Umgang mit Sicherheitslücken. Der ISW CVE Scanner liefert genau diesen Nachweis: dokumentiert, wiederholbar und prüffähig – jeder Bericht weist aus, aus welcher Quelle die CVE-Daten stammen und auf welchem Stand sie sind.

Dazu kommt Sicherheit im Werkzeug selbst: AES-256-verschlüsselte Zugangsdaten, keine Klartext-Passwörter, lokale Datenhaltung ohne Cloud-Zwang. Entwickelt in Deutschland, aus über 30 Jahren Windows-Administration heraus.

Sie betreuen Windows-Server oder ein Kunden-Portfolio?

Ich zeige Ihnen den CVE Scanner gerne in Aktion – melden Sie sich einfach.

Mehr auf isw-adtools.de ↗