Zero-day: cosa vuol dire
Una vulnerabilità zero-day è un difetto che gli attaccanti conoscono e possono sfruttare prima che il produttore abbia rilasciato una correzione. Il nome viene da lì: chi difende ha avuto zero giorni per prepararsi.
In breve
Il termine si usa in tre accezioni vicine: la vulnerabilità zero-day (il difetto non ancora corretto), l'exploit zero-day (il codice che lo sfrutta) e l'attacco zero-day (l'uso di quell'exploit contro un bersaglio). Quando il produttore pubblica la patch, la vulnerabilità diventa "n-day": nota, con un rimedio disponibile, ma ancora pericolosa per chi non ha aggiornato.
Come funziona
Il ciclo tipico è questo: qualcuno scopre il difetto, lo sfrutta o lo vende, il produttore se ne accorge (da un ricercatore, da un cliente colpito, da un'indagine), sviluppa e pubblica la correzione, poi le aziende la installano. Fra la scoperta e la patch possono passare giorni o mesi. Fra la patch e l'installazione, in molte aziende, passano altri mesi: ed è lì che avviene la maggior parte degli attacchi reali.
Gli zero-day hanno un valore economico alto e vengono usati con parsimonia, spesso contro prodotti molto diffusi ed esposti su Internet: VPN, firewall, server di posta, piattaforme di trasferimento file.
Perché è importante
Contro uno zero-day non c'è un aggiornamento da installare, quindi la difesa si sposta su ciò che puoi controllare comunque:
- ridurre ciò che è esposto: un servizio che non è raggiungibile da Internet non può essere attaccato da Internet (è il lavoro dell'Attack Surface Management);
- sapere cosa hai: quando esce l'avviso, l'inventario ti dice in pochi minuti se usi quel prodotto e in quale versione;
- osservare i comportamenti: un SIEM o un EDR possono notare l'attività anomala che segue lo sfruttamento, anche se la vulnerabilità è sconosciuta;
- applicare subito le mitigazioni temporanee indicate dal produttore, e la patch appena esce.
Esempio
A fine maggio 2023 un gruppo criminale ha sfruttato una vulnerabilità sconosciuta di MOVEit Transfer, un software per lo scambio di file usato da migliaia di organizzazioni, poi catalogata come CVE-2023-34362. Gli attaccanti hanno sottratto dati a moltissime aziende e enti prima che la correzione fosse disponibile, e li hanno poi usati per estorsioni. Le organizzazioni che non esponevano quel servizio su Internet, o che sono riuscite a isolarlo appena uscito l'avviso, hanno limitato il danno.
La lezione vale anche per una PMI: non puoi prevedere il prossimo zero-day, ma puoi sapere in anticipo cosa esponi e chi chiamare quando succede. Sulla gestione della crisi vedi la voce CSIRT.
Termini collegati
Dove lo trovi in Dottor Box
Con la Threat Intelligence imposti parole chiave sui prodotti e sui fornitori che usi e ricevi un digest quando una fonte di sicurezza ne parla. Asset Management e Superficie di Attacco ti dicono dove quel prodotto è installato o esposto.
Threat Intelligence
Le notizie e le minacce che riguardano il tuo settore e i tuoi fornitori, raccolte in un digest.
Scopri di più VedereAsset Management
L'inventario IT unificato di dispositivi e software, con la mappa a grafo della rete.
Scopri di più VedereSuperficie di Attacco
Il registro ragionato di reti, indirizzi, applicazioni e domini da proteggere, con la criticità di ciascuno.
Scopri di più