Security Watchtower

Security watchtower behält Schwachstellen in den Plattformen, Plugins und der zugrunde liegenden Technik deines Shops im Blick. Du erfasst, was du nutzt, WISEPIM gleicht es mit einer Datenbank bekannter Schwachstellen ab, und ein Mensch prüft jede Warnung, bevor sie an dich geht. Es ist in jedem Plan enthalten, auch in Free. Was diese Seite dir bringt: Du siehst auf einen Blick, welche bekannten Schwachstellen genau die Versionen betreffen, die du nutzt, liest in verständlicher Sprache, was jede bedeutet und was zu tun ist, und bekommst eine geprüfte E-Mail, wenn etwas deinen Shop betrifft. Wo du sie findest: Geh zu Einstellungen > Security watchtower. Es ist der letzte Eintrag in der Projekt-Sidebar, unter Team. Du brauchst ein ausgewähltes Projekt; ohne eines sagt die Seite „Wähle ein Projekt, um Security watchtower zu öffnen.“ Drei Kacheln oben fassen das Projekt zusammen: Erfasste Technologien, Bestätigte Treffer und Kürzlich geprüfte Warnungen.

​

Deine Sicherheitsmails

Der Schalter Freigegebene Sicherheitswarnungen per E-Mail erhalten ist für alle WISEPIM-Nutzer standardmäßig an. Du kannst ihn jederzeit ausschalten. Es ist eine persönliche Einstellung: Jedes Mitglied des Projekts entscheidet für die eigene Adresse. Eine Warnmail geht nur raus, wenn zwei Dinge zutreffen:

• Ein Mensch bei WISEPIM hat die Warnung geprüft und freigegeben.
• Die Schwachstelle betrifft eine Version, die in deinem Projekt erfasst und bestätigt wurde.

​

Deine Technologien erfassen

Der Bereich Erfasste Technologien listet die genauen Produkte und Pakete, die dein Shop nutzt, mit ihren Versionen. Ohne bekannte Version kann WISEPIM nicht sagen, ob dich eine Schwachstelle betrifft, diese Liste ist also die Grundlage für alles andere auf der Seite.

​

Automatische Erkennung über deine Verbindungen

Testest du eine Shop-Verbindung in den Integrationseinstellungen, liest der Watchtower die Technik dahinter und erfasst sie für dich: Die Erkennung braucht eine saubere öffentliche HTTPS-Shop-URL. Einträge aus einer Verbindung bekommen dieselben Badges wie manuelle, prüf sie also und korrigiere alles, was nicht stimmt.

​

Eine Technologie von Hand hinzufügen

Klick auf Technologie hinzufügen, um das Formular Technologiedetails zu öffnen. Füll aus:

• Technologiefamilie: eine durchsuchbare Auswahl aus dem Katalog mit 184 Familien. Filtere nach Kategorie: Laufzeitumgebungen, Bibliotheken, Infrastruktur, Datenbanken und Cache, Nachrichtenwarteschlangen, Suche, Frameworks, Frontend, E-Commerce, Content-Management, PIM und Produktdaten, Automatisierung, Marketing, Analyse, Betrieb, Identität und Zugriff, Zusammenarbeit, ERP und Lager, Zahlungen, CRM, Versand und KI-Dienste. Such nach Paketnamen wie symfony/http-kernel oder nach einem Alias wie postgres.
• Produkt oder Paket: der genaue Name im Ökosystem. Bei Composer-Paketen sind das Anbieter und Paket, etwa shopware/core. Bei WordPress-Plugins und -Themes ist es der genaue Name oder der wordpress.org-Slug, etwa elementor. API-Versionen sind keine installierten Softwareversionen.
• Installierte Version: die Version, die du nutzt, zum Beispiel 6.5.8.2.
• Derzeit verwendet: Schalte das für Software aus, die du erfasst lässt, aber nicht mehr nutzt. Sie erscheint dann als Inaktiv.
• Versionsnachweis: wo du die Version gesehen hast, zum Beispiel composer.lock, dein Hosting-Panel oder der Admin-Footer.
• Ich habe diese Version an der produktiven Installation überprüft: Hak das an, sobald du die Version im Live-Shop geprüft hast, nicht in einer Staging-Kopie.

Klick auf Technologie speichern. Jeder Eintrag zeigt ein Status-Badge: Die Seite zeigt die ersten 300 Technologien. Ist dein Bestand größer, wende dich an den Support, um den Rest zu prüfen.

​

Bekannte Schwachstellen in deinem Stack

Dieser Bereich listet bis zu 50 bekannte Schwachstellen für die Technologie, die du erfasst hast. Die, die deine Versionen betreffen, kommen zuerst, danach ältere Probleme, die du vielleicht nicht kennst. Eine gelistete Schwachstelle heißt nicht, dass deine Installation betroffen ist. Jeder Eintrag trägt ein oder mehrere Badges: Jede Karte erklärt das Problem in verständlicher Sprache:

• Worum es geht: die Schwachstelle in ein, zwei Sätzen.
• Was passieren kann: die realistische Folge für einen Shop.
• Was du tun kannst: die Lösung, mit dem Release, das das Problem behebt.

Klapp Originaltext der Meldung anzeigen auf, um die Quellmeldung so zu lesen, wie sie veröffentlicht wurde, oder klick auf Originalmeldung lesen, um sie an der Quelle zu öffnen. Passt nichts, sagt der Bereich „Noch passen keine bekannten Schwachstellen zu deiner erfassten Technologie. Das beweist nicht, dass dein Shop keine hat.“

​

So funktioniert der Abgleich

Der Abgleich ist bewusst vorsichtig. Eine Warnung ist nur etwas wert, wenn sie stimmt.

• Versionen werden über exakte Nummern oder numerische Bereiche aus der Meldung abgeglichen. Eine unbekannte Version passt nie.
• WordPress-Core passt nie zu einer Plugin- oder Theme-Schwachstelle. Ein Plugin passt nur, wenn du es mit seinem genauen Namen oder Slug erfasst hast.
• Vom Anbieter verwaltete Dienste werden nie abgeglichen.

​

Abdeckung und Datenquellen

Der Watchtower verfolgt Magento und Adobe Commerce, WooCommerce und WordPress, Shopware, PrestaShop, OpenCart, PHP, MySQL und MariaDB. Für WordPress enthält er außerdem mehr als 42.000 Plugin- und Theme-Einträge aus Wordfence Intelligence, auch Schwachstellen, für die es noch keinen Fix gibt. Quellen sind CVE.org, der CISA-Katalog Known Exploited Vulnerabilities, OSV, Herausgeber-Meldungen auf GitHub, NVD und Wordfence. Jede Karte nennt ihre Quelle und Lizenz unter Datenquellen und Lizenzen. Der Monitor prüft alle 15 Minuten auf neue und geänderte Einträge.

​

Deinen Technologie-Stack verstehen

Unter dem Bestand schlägt Deinen Technologie-Stack verstehen verwandte Komponenten vor, die eine Prüfung wert sind, basierend auf der Architektur dessen, was du erfasst hast. Jeder Vorschlag nennt die Beziehung:

• Erweitert diese Plattform: ein Plugin, eine App oder ein Theme, das in einer erfassten Plattform läuft.
• Basiert auf dieser Technologie; bereitgestellte Version prüfen: eine Abhängigkeit, die die Plattform mitbringt.
• Kann diese Komponente nutzen; Konfiguration prüfen: eine optionale Komponente, die verbreitet, aber nicht garantiert ist.

Er sagt dir auch, ob diese Komponente schon in derselben Verbindung, anderswo im Projekt oder gar nicht erfasst ist. Jeder Vorschlag hat einen eigenen Button, etwa MySQL hinzufügen, der das Formular mit bereits gewählter Familie öffnet. Technologiekatalog durchsuchen öffnet die vollständige Liste mit 184 Familien, mit Wahrscheinlich in deinem Stack hervorgehoben.

​

Warnverlauf und die E-Mail

Kürzlich geprüfte Warnungen listet deine letzten 20 freigegebenen Warnmails, die der E-Mail-Anbieter angenommen hat. Die Annahme durch den Anbieter bestätigt keine Zustellung im Posteingang, schau also in deinen Spam-Ordner, wenn du eine erwartest und sie fehlt. Eine Warnmail:

• Hat einen Betreff, der mit „Security watchtower:“ beginnt.
• Beginnt damit, dass das nicht heißt, dass dein Shop gehackt wurde, weil es um eine bekannte Schwachstelle in einer Version geht, die du nutzt, nicht um einen Einbruch.
• Enthält dieselben Abschnitte Worum es geht, Was passieren kann und Was du tun kannst wie die Karte auf dieser Seite und weist darauf hin, wenn die Schwachstelle laut CISA aktiv ausgenutzt wird.
• Hat einen Button Originalmeldung lesen und einen Abmeldelink pro Projekt, der dasselbe bewirkt wie das Ausschalten des Schalters oben.

Jede angenommene Warnung erscheint außerdem als Glocken-Benachrichtigung in der App, wenn der Benachrichtigungstyp Security watchtower an ist.

​

Was es nicht ist

Security watchtower ist ein Frühwarndienst. Es ist kein Penetrationstest, es scannt deinen Shop nicht auf Einbrüche und installiert keine Patches. Eine Warnung benennt eine bekannte Schwachstelle in einer bestätigten Version; dein Team bleibt verantwortlich dafür, die Hinweise zu bewerten, das Update einzuspielen und das Ergebnis zu prüfen. Kennt WISEPIM deine Version nicht, rät es nicht.

​

Berechtigungen

• Bearbeiter, Admins und der Inhaber des Projekts verwalten Technologie-Einträge.
• Betrachter sehen die Seite und die Schwachstellen, können aber nur ihre eigene E-Mail-Präferenz ändern. Die Seite sagt das: „Ein Projektbearbeiter kann Technologien verwalten. Deine E-Mail-Präferenz verwaltest du selbst.“
• Der E-Mail-Schalter ist immer persönlich, egal welche Rolle du hast.

​

Auf Erkenntnisse reagieren

​

Verwandte Themen