Patch management: cos'è

In breve

Una patch è una correzione rilasciata dal produttore. La maggior parte degli attacchi riusciti non sfrutta vulnerabilità sconosciute ma difetti per cui la correzione esiste da settimane o mesi e non è stata installata. Il patch management serve a chiudere quella finestra in modo ordinato, invece che "quando capita".

Come funziona

1. Inventario: sapere quali sistemi e quali software ci sono, in che versione. Senza inventario non si può sapere cosa aggiornare.
2. Monitoraggio dei rilasci: bollettini dei produttori (Microsoft pubblica i suoi il secondo martedì di ogni mese), avvisi dei CSIRT, risultati del vulnerability assessment.
3. Priorità: si combinano la severità CVSS, l'esistenza di attacchi in corso (il catalogo KEV della CISA elenca le vulnerabilità sfruttate attivamente), l'esposizione su Internet e la criticità del sistema.
4. Prova su un gruppo ridotto di macchine, per i sistemi critici.
5. Installazione entro i tempi decisi per ciascuna fascia di priorità.
6. Verifica: la scansione successiva conferma che la vulnerabilità è chiusa.

Perché è importante

La gestione delle vulnerabilità tecniche è richiesta da ISO/IEC 27001, dai CIS Controls e dalla NIS2. Nella pratica le difficoltà sono tre: il software di terze parti (lettori PDF, browser, plugin, firmware di stampanti e NAS) che non si aggiorna con Windows Update; i sistemi che "non si possono fermare"; i prodotti fuori supporto, che non riceveranno più correzioni. Quando una patch non si può installare, l'eccezione va decisa, motivata e compensata con altre misure: diventa un rischio residuo accettato consapevolmente, non una dimenticanza.

Esempio

Un'azienda stabilisce queste regole: vulnerabilità critiche su sistemi esposti su Internet entro 72 ore, critiche e alte interne entro 15 giorni, il resto con il ciclo mensile. Un mercoledì il produttore del firewall pubblica una correzione per una falla già sfruttata: si applica entro la sera, con un breve fermo programmato. Il server del vecchio software di produzione, invece, non può essere aggiornato: viene isolato in una rete separata e l'eccezione è registrata con il nome di chi l'ha approvata e la data di revisione.

Ogni mese un rapporto confronta le vulnerabilità aperte con i tempi stabiliti: quante sono in ritardo, su quali sistemi, per quale motivo. È il dato che la direzione e l'auditor chiedono per sapere se il processo funziona.

Termini collegati

• CVE
• Zero-day
• Hardening
• Vulnerability assessment