Che cos’hanno in comune le uova di Pasqua e le vulnerabilità?

12. aprile 2023, Alexander Spatzig

La gestione delle vulnerabilità è fondamentale per ogni organizzazione. Ma cosa sono le vulnerabilità nel contesto dell’IT e dell’OT e come bisogna gestirle? Esattamente come la ricerca delle uova la domenica di Pasqua.

In sintesi

La minaccia posta dalle vulnerabilità ai sistemi IT è in costante aumento.
La gestione delle vulnerabilità è un processo olistico e ciclico che migliora costantemente la sicurezza informatica di un’azienda.
Un processo graduale: identificare, qualificare, correggere e segnalare.

Che cosa sono le vulnerabilità?

Le vulnerabilità o lacune di sicurezza in ambito IT e OT sono errori nell’hardware o nel software attraverso i quali un programma o un aggressore riesce a penetrare in un sistema, causare danni o rubare risorse di valore. Le vulnerabilità possono essere suddivise grossomodo in due categorie: quelle già note al pubblico e documentate e quelle che diventano note solo il giorno dell’attacco, i cosiddetti exploit zero day.

Minacce in aumento

Le minacce alla sicurezza informatica sono in veloce aumento e si prevede che continueranno su questa strada. Nel complesso, il Global Threat Report 2023 della società internazionale di cybersecurity CrowdStrike afferma che “il panorama delle minacce informatiche del 2022 è stato definito dalla persistenza, dall’aumento della portata degli obiettivi e dalla determinazione implacabile”.

Il National Vulnerability Database (NVD), gestito dal governo degli Stati Uniti e utilizzato come fonte internazionale di settore, ha pubblicato 25.093 Common Vulnerabilities and Exposures (Vulnerabilità ed Esposizioni Comuni - CVE) nel 2022, con un aumento del 25% rispetto al 2021. Oltre ai sistemi IT, le minacce sono in aumento anche per le infrastrutture OT. Infatti la società di sicurezza cyber-fisica Claroty ha segnalato un aumento del 110% delle vulnerabilità dei sistemi di controllo industriale (ICS) tra il 2018 e il 2022.

Tutte queste statistiche rafforzano l’idea che la gestione delle vulnerabilità debba essere un processo ciclico. Idealmente, dovrebbe essere integrata nella strategia di sicurezza olistica di un’organizzazione. La gestione delle vulnerabilità, specialmente con l’aiuto di una soluzione di Unified Endpoint Management (UEM), aiuta a identificare, qualificare ed eliminare le lacune di sicurezza. Inoltre, contribuisce alla definizione di misure aggiuntive che possono essere applicate. Queste includono la formazione continua per sensibilizzare i collaboratori sui punti di attacco e insegnare loro come affrontarli correttamente.

Dall’identificazione alla documentazione

La fase di individuazione è la base di qualsiasi processo di gestione delle vulnerabilità e aiuta ad identificare le lacune di sicurezza esistenti. Comprende la verifica dei servizi, dei software, delle configurazioni e delle porte aperte nei vari sistemi IT. Le organizzazioni manifatturiere hanno la prerogativa aggiuntiva che la scansione delle vulnerabilità non deve influenzare o interrompere l’attività produttiva. La giusta tecnologia e una configurazione adeguata sono fondamentali in questo caso.

Qualificare – oltre il punteggio CVSS

Dopo la fase di individuazione, le vulnerabilità riscontrate devono essere valutate e classificate come prioritarie. A questo scopo, le buone soluzioni UEM offrono già database con una valutazione del rischio come il punteggio CVSS (Common Vulnerability Scoring System). Tuttavia, questo non è sufficiente, perché si aggiungono criteri individuali: quanto è vecchia la vulnerabilità? Può ancora essere sfruttata attivamente? La scansione ha dato luogo a un falso positivo, vale a dire che la vulnerabilità non riguarda il software attualmente installato?

Rimedio passo dopo passo

Le vulnerabilità ad alto rischio devono essere eliminate il prima possibile. Non esiste un processo universale da seguire, poiché le vulnerabilità differiscono in vari modi su sistemi diversi. Il primo passo, nonché il più ovvio, è installare le patch disponibili, preferibilmente quelle che sono state convalidate e testate per evitare problemi di compatibilità o di prestazioni.

Se non esistono patch, si possono usare altre misure, come bloccare l’accesso alla manutenzione remota dei sistemi a rischio o isolarli in segmenti di rete sicuri. Se il rischio è basso, si può soppesare il costo del tempo e delle risorse per eliminare la vulnerabilità rispetto agli impatti e ai costi potenziali se gli aggressori dovessero sfruttarla.

Documentazione tramite dashboard e reportistica

Infine ma non meno importante, è fondamentale documentare tutte le vulnerabilità. In questo caso, dashboard e report sono utili per mostrare lo stato attuale delle vulnerabilità. I report possono aiutare un’organizzazione a documentare i processi di sicurezza e i progressi complessivi e a generare una valutazione continua dei rischi e delle tendenze. Il punto è rimanere un passo avanti agli aggressori trattando la gestione delle vulnerabilità come un processo essenziale, continuo e coerente per identificare e correggere le lacune della sicurezza.

La gestione delle patch come pratica integrale

In che modo la gestione delle vulnerabilità differisce dalla gestione delle patch? Le due cose vanno di pari passo all’interno di una solida strategia di sicurezza informatica e non dovrebbero esistere l’una senza l’altra. In altre parole, la gestione delle vulnerabilità è un processo. La gestione delle patch è una pratica integrale all’interno di tale processo al fine di eliminare le vulnerabilità identificate. La gestione automatizzata delle patch, abbinata alla scansione regolare delle vulnerabilità, contribuisce a ridurre il tempo e il carico cognitivo del personale IT che gestisce la sicurezza informatica.

Quindi, che cos’hanno in comune le uova di Pasqua e le vulnerabilità?

La gestione delle vulnerabilità offre un valore aggiunto a tutte le organizzazioni perché riduce le superfici di attacco e aumenta la sicurezza. Le pratiche di gestione delle vulnerabilità strutturate e documentate sono necessarie anche per conseguire certificazioni come ISO 27001 o TISAX e per ottenere una copertura assicurativa informatica adeguata e conveniente.

Ma cosa hanno in comune le uova di Pasqua con le vulnerabilità? Devono essere trovate, spesso con la stessa implacabile determinazione, concentrazione, energia e immaginazione che si usa da bambini quando si va a caccia di uova colorate e di altri dolcetti la mattina di Pasqua. La buona notizia, e anche quella cattiva, è che gli amministratori IT e OT esauriranno raramente, se non mai, le vulnerabilità da cercare. Come si suol dire, se tenete tutte le uova in un solo paniere, fate attenzione a quel paniere!

baramundi, con la baramundi Management Suite, supporta i sistemisti in questo processo negli ambienti office IT e production IT con una soluzione olistica.

Rilevare automaticamente le vulnerabilità ed eliminarle rapidamente

Anche il nostro White Paper gratuito può aiutarvi con informazioni su come trovare e gestire le vulnerabilità della sicurezza IT in modo efficace ed efficiente.