Die CVEs auf Ihren Assets, mit ihren Lieferanten und die ausgenutzten zuerst.
Gleicht die kritischen und hohen CVEs (veröffentlichte Schwachstellen) auf Ihren Assets mit den zugehörigen Lieferanten ab und stellt aktiv ausgenutzte (KEV, Katalog der CISA) an den Anfang. Es gleicht täglich mit NVD, KEV und EPSS (Ausnutzungswahrscheinlichkeit) ab.
Für: CISOs und Lieferantenverantwortliche, die wissen müssen, welche bekannten Schwachstellen ihr Inventar betreffen und welche Drittpartei sie zuerst fragen sollten.
- Täglicher Abgleich mit NVD, CISA KEV und EPSS
- ATT&CK®-Techniken aus Ihren offenen CVEs, keine Erkennung
Meine ExpositionEinheit A
BeispieldatenCVE-2099-0101
vpn-gateway 4.2Lieferant A und Lieferant C
Kritisch 9.8In KEVJa
CVE-2099-0102
erp-portal 11.0Lieferant B
Hoch 8.1In KEVNein
CVE-2099-0103
sftp-client 3.1Lieferant A
Hoch 7.5In KEVNein
MITRE-ATT&CK®-Techniken Ihrer CVEs
- T1195 Lieferkette
- T1190 Exponierte Anwendung
- T1199 Vertrauensbeziehung
Das CTID ordnet Techniken CVEs aus dem KEV-Katalog der CISA zu. Eine Zuordnung bedeutet nicht, dass Sie angegriffen wurden.
Von einer veröffentlichten CVE zu Ihrer Expositionsliste
Der Weg von einer Schwachstelle zum Lieferanten, den Sie fragen sollten, samt dem, was jeder Schritt nicht abdeckt.
Es gleicht täglich ab
Ein täglicher Prozess holt CVEs aus NVD (anhand der CPE Ihrer Assets), markiert die im CISA-KEV-Katalog und ergänzt den EPSS-Score.
Geltungsbereich. Es ist ein täglicher Abgleich, kein kontinuierlicher Fluss.
Es wird mit Ihrem Inventar abgeglichen
„Meine Exposition“ zeigt die offenen kritischen und hohen CVEs auf Ihren Assets, gruppiert mit den betroffenen Lieferanten. Es erscheinen nur solche, die mit einem aktiven Lieferanten verknüpft sind.
Geltungsbereich. Was nicht in Ihrem Inventar steht, erscheint nicht.
Ausgenutzte kommen zuerst
Die Reihenfolge stellt CVEs aus dem KEV-Katalog der CISA an den Anfang, also die bereits ausgenutzten, und danach den Rest.
Geltungsbereich. Es ist eine Leseordnung, um zu entscheiden, wen Sie fragen, keine Prognose.
Sie sehen, was diese Woche zunimmt
CVEs mit steigender Tendenz in den letzten sieben Tagen auf Ihrem eigenen Inventar, mit ihrem CVSS und einem Link zu NVD.
Geltungsbereich. Es ist Best Effort: Schlägt die Abfrage fehl, sagt das Panel es, statt eine Null zu zeigen.
MITRE ATT&CK® aus Ihren eigenen CVEs
Der Tab ATT&CK des Radars zeigt die Techniken, die das Center for Threat-Informed Defense (CTID) den offenen CVEs Ihrer Assets zuordnet. Er liefert Kontext für die Priorisierung und ist kein Detektor.
- Was er zeigt
- Die ATT&CK-Techniken, die von den offenen CVEs Ihrer Assets erreicht werden, nach Taktik gruppiert, mit der Art der Zuordnung (Ausnutzungstechnik, primäre Auswirkung oder sekundäre Auswirkung) und den CVEs hinter jeder Technik.
- Woher er stammt
- ATT&CK 16.1 (Enterprise) und die CTID-Zuordnungen zum Known-Exploited-Vulnerabilities-Katalog der CISA, Stand 28. Juli 2025. Ein CVE außerhalb dieses Satzes hat keine Technik: Es wird keine angenommen, und das CVE erscheint als nicht zugeordnet.
- Was er nicht ist
- Eine Zuordnung beschreibt, wie eine Schwachstelle ausgenutzt wird oder wozu sie führen kann, nicht dass Sie angegriffen wurden. Er erkennt keine Techniken auf Ihren Systemen und ordnet Ihre Vorfälle nicht ATT&CK zu.
- Verfügbarkeit
- Es ist eine Zusatzfunktion: Ohne Aktivierung bleibt das Panel leer.
- Quellenangabe
- Inhalte von MITRE ATT&CK®: © 2026 The MITRE Corporation. Dieses Werk wird mit Genehmigung der The MITRE Corporation vervielfältigt und verbreitet. CTID Mappings Explorer: © 2024 MITRE. Zur Veröffentlichung freigegeben. Dokumentnummer CT0104. Lizenziert unter der Apache License, Version 2.0.
Was der Radar ist und was nicht
Damit Sie wissen, mit welchen Daten er arbeitet und wo er endet.
Was er leistet
- Gleicht die kritischen und hohen CVEs auf Ihren Assets mit Ihren Lieferanten ab.
- Stellt aktiv ausgenutzte CVEs (KEV) an den Anfang.
- Gleicht täglich mit NVD, CISA KEV und EPSS ab.
- Zeigt die CVEs mit steigender Tendenz auf Ihrem eigenen Inventar.
Was er nicht ist
- Er ist keine Quelle für branchenspezifische Bedrohungsinformationen: Er geht von Ihren Assets aus.
- Er erkennt keine ATT&CK-Techniken auf Ihren Systemen und ordnet Ihre Vorfälle keiner Technik zu.
- Er löst keine eigenen Warnungen aus: Er ist eine Ansicht zum Priorisieren.
- Er entdeckt Ihre Angriffsfläche nicht: Er arbeitet mit dem Inventar, das Sie geladen haben.
Wie es mit den anderen Lösungen zusammenhängt
Der Radar speist den Score des Lieferanten und gibt dem Gespräch mit ihm eine Reihenfolge.
- Drittparteien-RisikomanagementAusgenutzte CVEs wiegen im Score des Lieferanten und in der Konzentration stärker.
- Lieferkette und SBOMDie SBOM eines Lieferanten liefert die Komponenten, die mit CVEs abgeglichen werden.
- Virtueller CISOMacht aus der Exposition einen Fahrplan mit Reihenfolge und Verantwortlichem.
Expositionsradar: direkte Fragen
Die Fragen von Menschen, die wissen wollen, was er abdeckt und was nicht.
Sind das Bedrohungsinformationen für meine Branche?
Nein. Der Radar geht von Ihren Assets und Ihren Lieferanten aus: Er sagt Ihnen, welche bekannten CVEs Sie betreffen, nicht, was in Ihrer Branche geschieht.
Wie oft aktualisiert er sich?
Der CVE-Abgleich läuft täglich, mit NVD, dem CISA-KEV-Katalog und dem EPSS-Score. Er ist kein kontinuierlicher Fluss.
Was bedeutet KEV?
Es ist der Katalog der CISA mit aktiv ausgenutzten Schwachstellen. Der Radar stellt diese CVEs an den Anfang, und sie wiegen im Score des Lieferanten stärker.
Erkennt er Angriffe oder ordnet er meine Vorfälle ATT&CK zu?
Nein. Der Tab MITRE ATT&CK® zeigt die Techniken, die das CTID den offenen CVEs Ihrer Assets zuordnet (ATT&CK 16.1 Enterprise, KEV-Katalog der CISA, Stand 28. Juli 2025); ein CVE außerhalb dieses Satzes erscheint ohne Zuordnung. Das ist Kontext, keine Erkennung: Er identifiziert keine Angriffe und ordnet Ihre Vorfälle keinen Techniken zu.
Was braucht er, um zu funktionieren?
Die Assets in Ihrem Inventar, mit ihren Lieferanten. Was nicht im Inventar steht, erscheint nicht unter „Meine Exposition“.
Warnt er mich, wenn eine neue CVE erscheint?
Der Radar löst keine eigenen Warnungen aus: Er ist eine Ansicht, um zu priorisieren, wen Sie zuerst fragen.
Sehen Sie, welche CVEs Ihr Inventar betreffen
Fragen Sie eine Demo an, und wir gleichen mit Beispieldaten die CVEs eines Assets mit den zugehörigen Lieferanten ab.
Täglicher Abgleich; keine Quellen für branchenspezifische Bedrohungsinformationen.