Valutazione delle Vulnerabilità

Perché È Importante

Le aziende moderne gestiscono migliaia di asset in cloud, on-premises, mobile e IoT. Ognuno può ospitare vulnerabilità conosciute (CVE), configurazioni errate o impostazioni di default insicure. Senza un programma sistematico, le organizzazioni sono cieche di fronte alle debolezze che gli attaccanti troveranno.

L'incidente Equifax 2017 sfruttò una vulnerabilità Apache Struts non patchata divulgata due mesi prima. Log4Shell (CVE-2021-44228) ha dato esecuzione remota su milioni di sistemi. La valutazione di vulnerabilità è prerequisito per la gestione del rischio.

Il Processo

1. Asset Discovery

Non si può proteggere ciò che non si conosce. Combina network discovery, telemetria agenti, API cloud, integrazione CMDB e gestione superficie d'attacco esterna.

2. Scansione

La scansione autenticata produce risultati molto migliori.

3. Validazione

Gli scanner producono falsi positivi. Valida i finding critici manualmente o tramite correlazione.

4. Priorizzazione

Rischio = CVSS × EPSS × Criticità × Esposizione

Indicatori critici:
- CVE in CISA KEV
- EPSS > 50%
- Asset esposto a Internet
- Dati sensibili
- Nessun controllo compensativo

5. Remediation

Patch, modifiche di configurazione, controlli compensativi o accettazione documentata del rischio. SLA: Critico 7 giorni, Alto 30 giorni, Medio 90 giorni.

6. Verifica

Re-scan per confermare. MTTR come KPI chiave.

Standard e Fonti

• CVE (MITRE), NVD, CWE
• CISA KEV
• EPSS

Migliori Pratiche

1. Scansione continua anziché trimestrale.
2. Scansioni autenticate dove possibile.
3. Priorizzazione basata sul rischio (CVSS + EPSS + contesto).
4. CISA KEV come priorità immediata.
5. Integrazione con ticketing per SLA.
6. Misurare MTTR.

Concetti Correlati

• Gestione del Rischio
• Threat Hunting
• Framework di Sicurezza
• Exploit