Fondamenti della gestione delle vulnerabilità

La gestione delle vulnerabilità è una combinazione di processi e prodotti finalizzati al mantenimento di un inventario dell’infrastruttura digitale di un’organizzazione, alla ricerca di vulnerabilità e alla risoluzione delle debolezze individuate. È una pratica ciclica e l’antitesi del noto adagio IT che afferma: “Se non è rotto, non ripararlo”. Questo principio semplicemente non funziona nella sicurezza aziendale di oggi. Se gli asset digitali non vengono monitorati e rafforzati continuamente, diventano facile preda.

Uno scanner non è sufficiente

A differenza dei scanner di vulnerabilità, l’obiettivo principale della gestione delle vulnerabilità è quello di rafforzare la sicurezza dell’infrastruttura e fornire una risposta di emergenza a minacce super-pericolose. Trovare una falla in un sistema è solo metà della battaglia, ma deve essere risolta in modo che gli attori delle minacce non possano sfruttarla come punto di ingresso. I metodi di valutazione delle vulnerabilità e di priorità degli problemi rilevati in base all’infrastruttura del cliente sono altrettanto importanti. Gli scanner non lo fanno.

La gestione delle vulnerabilità è, essenzialmente, un aggiunta al processo di scansione che valuta, priorizza e risolve le vulnerabilità rilevate. Le esigenze dei clienti stanno cambiando, mentre l’obiettivo principale era una volta quello di scoprire una vulnerabilità, ora è più sulle modalità per affrontare il problema.

Per quanto riguarda i modelli di licenza utilizzati dai sistemi di gestione delle vulnerabilità, sono solitamente basati sul numero di indirizzi IP protetti. Non importa dove si trovino o quanti installazioni il cliente richieda. Il costo di uno scanner di vulnerabilità, d’altra parte, dipende dal numero di installazioni e dai parametri di scansione, come il numero di host.

Inoltre, esistono diversi tipi di installazioni, con alcuni vendor che offrono un utilizzo illimitato dei loro sistemi. Il prezzo può anche essere influenzato dal set di funzionalità, alcune delle quali sono disponibili come extra a pagamento.

Criteri per la scelta di un sistema di gestione delle vulnerabilità

Le caratteristiche più importanti includono la dimensione dell’organizzazione, il numero dei suoi rami situati in diverse zone orarie, nonché la localizzazione del prodotto, che è la capacità di rilevare vulnerabilità specifiche di regione e settore.

Un fattore interessante riguarda la capacità dei dipartimenti InfoSec e IT dell’azienda di negoziare le funzionalità necessarie della soluzione. Gli specialisti InfoSec di solito priorizzano la rilevazione delle vulnerabilità, mentre i team IT si concentrano principalmente sulla distribuzione dei patch. Pertanto, la sovrapposizione di queste due aree definirà i parametri del sistema.

È anche utile esaminare la completezza e la frequenza degli aggiornamenti, nonché i sistemi operativi supportati dallo scanner. Il sistema di gestione delle vulnerabilità ideale dovrebbe anche adattarsi al contesto del settore che l’organizzazione rappresenta e alle applicazioni che sta attualmente utilizzando.

Nella fase di firma del contratto, il fornitore può rassicurare il cliente della sua disponibilità ad aggiungere nuovi prodotti e funzionalità in futuro. Purtroppo, alcuni fornitori non mantengono sempre tali impegni. Pertanto, è meglio concentrarsi sulla funzionalità già disponibile della soluzione.

Una funzionalità utile di qualsiasi sistema di gestione delle vulnerabilità è la capacità di arricchire il proprio database di vulnerabilità con informazioni da fonti terze. È anche utile se la soluzione può fornire un esempio di sfruttamento di una specifica vulnerabilità.

La maggior parte dei clienti si trova di fronte a un classico dilemma: utilizzare uno scanner gratuito o acquistare una soluzione commerciale fin dall’inizio. Mantenere un database di vulnerabilità aggiornato è un processo tedioso e costoso. Pertanto, nel caso di un prodotto gratuito, il team di sviluppo potrebbe dover priorizzare altre aree della propria attività in cerca di fonti di reddito alternative, il che spiega perché questi scanner hanno alcune limitazioni.

Strumenti sotto l’ombrello della gestione delle vulnerabilità

L’insieme di soluzioni necessarie per organizzare il processo di gestione delle vulnerabilità all’interno di un’azienda può includere:

•       Diversi strumenti per la raccolta di informazioni sulle vulnerabilità, come scanner, strumenti per l’elaborazione dei dati da fonti terze e repository di informazioni ottenute indipendentemente dagli specialisti InfoSec.
•       Strumenti di priorità delle vulnerabilità che definiscono i punteggi CVSS e valutano il valore dell’asset potenzialmente interessato dalla falla.
•       Strumenti per l’interazione con database esterni.
•       Sistemi che gestiscono una vulnerabilità nel contesto dell’organizzazione, della sua infrastruttura e della superficie di attacco globale.

Gestione degli asset e patch automatiche

Il processo di gestione degli asset dovrebbe avere un massimo grado di automazione, coprire l’intera infrastruttura dell’organizzazione e avvenire a intervalli regolari. È impossibile priorizzare le vulnerabilità a meno che queste condizioni non siano soddisfatte. Inoltre, non è possibile controllare l’infrastruttura IT dell’organizzazione senza sapere esattamente di cosa si compone. Pertanto, la gestione degli asset è una parte estremamente importante della gestione delle vulnerabilità.

Il principale requisito per l’automazione del processo di gestione dei patch è quello di assegnare un identificatore specifico a ogni firma di vulnerabilità e assicurarsi che l’aggiornamento successivo la affronti. Questo è un flusso di lavoro complesso con molti trabocchetti. Le conseguenze dell’omissione di un singolo aggiornamento possono essere disastrose, quindi la distribuzione dei patch deve essere ben orchestrata.

È anche importante adattare i patch automatici a un’applicazione specifica. Per le workstation, è accettabile limitare gli aggiornamenti al sistema operativo e al software di base come i browser e le applicazioni di office. Nel caso dei server, le cose sono più complesse perché c’è molto in gioco e un aggiornamento difettoso può influire sulla disponibilità delle risorse IT critiche per l’azienda.

Quando si tratta di monitorare l’infrastruttura aziendale, la maggior parte delle aziende preferisce la scansione all’installazione di agenti sugli endpoint, poiché questi ultimi possono spesso diventare punti di ingresso per il malware. Tuttavia, se l’host non può essere raggiunto in altro modo, è necessario utilizzare applicazioni di raccolta dei dati.

Come menzionato in precedenza, l’interazione senza soluzione di continuità tra i dipartimenti InfoSec e IT fa la differenza. I due team devono concordare sulle politiche che specificano chi è responsabile dell’installazione degli aggiornamenti per determinate risorse e con quale frequenza ciò avverrà. In sostanza, il processo di gestione delle vulnerabilità dovrebbe ridursi al monitoraggio della conformità a tali accordi e all’installazione di patch urgenti.

Cosa riserva il futuro per i sistemi di gestione delle vulnerabilità?

A questo punto, c’è una tendenza distinta verso l’aumento dell’automazione del monitoraggio degli asset e della distribuzione dei patch. Mentre le infrastrutture aziendali continuano a migrare verso il cloud, è possibile che il processo di scansione delle vulnerabilità venga ridotto al controllo delle impostazioni di sicurezza del cloud. Un’altra direzione evolutiva si concentra sul miglioramento dei sistemi di valutazione delle vulnerabilità. Gli strumenti di priorità delle vulnerabilità includeranno più dati, in particolare riguardo alle vulnerabilità più “sfruttabili”.

C’è anche una buona possibilità che questi sistemi passino a una logica tutto-in-uno nei prossimi anni, dove una singola soluzione fornirà una gamma completa di strumenti di gestione InfoSec. L’emergere di una piattaforma onnicomprensiva che include la gestione delle vulnerabilità, la gestione degli asset e la gestione del rischio, insieme ad altre funzionalità di protezione, è abbastanza probabile. Forse, ci sarà una console di gestione delle vulnerabilità tout court per tutti gli elementi dell’infrastruttura digitale – da un server o una stampante a un contenitore su un host dedicato.