Vulnerability assessment: cos'è

In breve

Un vulnerability assessment risponde alla domanda "quali punti deboli conosciuti ci sono nei miei sistemi?". Usa scanner che confrontano servizi, versioni e configurazioni con archivi di test aggiornati, e produce un elenco di rilievi con il loro CVE, la severità CVSS e la correzione consigliata. È un controllo non invasivo: cerca le vulnerabilità, non prova a sfruttarle.

Come funziona

Le scansioni si distinguono per punto di osservazione e per oggetto:

• esterna: parte da Internet e vede ciò che vedrebbe un attaccante esterno (indirizzi pubblici, servizi esposti, certificati);
• interna: parte dalla rete aziendale e simula chi è già dentro, per esempio un malware arrivato con una email;
• web application: verifica siti, portali e applicazioni online con controlli specifici per il web;
• sugli endpoint: un agente installato su PC e server legge software, versioni e aggiornamenti mancanti dall'interno della macchina.

Gli strumenti automatici sbagliano in due direzioni: segnalano problemi che non ci sono (falsi positivi) e ne mancano alcuni (falsi negativi). Per questo un buon assessment prevede una verifica manuale dei risultati da parte di personale qualificato.

Perché è importante

La gestione delle vulnerabilità tecniche è richiesta da tutte le principali norme: ISO/IEC 27001 (controllo A.8.8), i CIS Controls, la direttiva NIS2. E serve a poco se fatta una volta l'anno: ogni mese escono migliaia di nuove vulnerabilità e cambiano i sistemi in rete. Il valore sta nella continuità e nel confronto fra una scansione e la successiva: cosa è nuovo, cosa è stato risolto, cosa è stato accettato e perché.

Il vulnerability assessment non sostituisce il penetration test, che verifica fin dove un attaccante può arrivare davvero. La guida vulnerability assessment e penetration test a confronto spiega quando serve l'uno e quando l'altro.

Esempio

Un'azienda di 40 persone avvia la prima scansione interna e scopre un NAS con firmware di tre anni prima, due stampanti con il pannello di amministrazione accessibile con la password di fabbrica e un vecchio server con un protocollo di condivisione obsoleto ancora attivo. Nessuno dei tre compariva nell'inventario. Dopo le correzioni, la scansione successiva mostra i rilievi chiusi e ne aggiunge uno nuovo: un portatile rientrato da un viaggio senza gli aggiornamenti del mese. È così che lavora un assessment continuo.

Termini collegati

• Attack Surface Management: decide cosa va scansionato
• Patch management: chiude i rilievi
• Hardening
• Penetration test