LA SOLUZIONE

Vulnerability Detection and Response per identificare e correggere le vulnerabilità più critiche: ecco come

Una misura basilare per la valutazione della sicurezza in azienda è rappresentata dalle analisi di vulnerabilità. La gestione delle vulnerabilità rappresenta, quindi, un ambito di lavoro e un impegno quotidiano dei gruppi di sicurezza informatica delle aziende e/o de gruppi di security che operano in outsourcing per i propri clienti

05 Set 2022
V
Alessia Valentini

Giornalista, Cybersecurity Consultant e Advisor

In uno scenario internazionale di continuo mutamento delle cyber minacce, considerando l’accelerazione digitale imposta dal periodo pandemico e l’acuirsi della minaccia informatica di matrice russa a seguito del conflitto russo-ucraino, la gestione della cyber security si complica progressivamente complice anche la quantità di sistemi e strumenti eterogenei, l’aumento nello scambio di messaggi e informazioni, la presenza di dati che possono costituire falsi positivi e soprattutto la difficoltà nel reperire personale qualificato.

Una misura basilare per la valutazione della sicurezza è rappresentata dalle analisi di vulnerabilità. La gestione delle vulnerabilità in azienda è una delle tematiche più delicate e discusse in termini di Business Security e rappresenta un ambito di lavoro e un impegno quotidiano dei gruppi di sicurezza informatica delle aziende e/o de gruppi di security che operano in outsourcing per i propri clienti.

Quando i test di vulnerabilità sono effettuati con regolarità, possono permettere l’identificazione e la correzione di criticità, riducendo il rischio su vasta scala e liberando il personale che può dedicarsi ad altre urgenze.

Quando i test sulle vulnerabilità adottano automazione e l’apprendimento automatico (machine learning), i risultati possono essere ulteriormente migliorati, senza dimenticare che le competenze dei team di security sono cruciali per l’applicazione dei piani di risoluzione e patching.

L’esigenza del vulnerability assessment automatizzato

Secondo il rapporto CLUSIT 2022 (associazione di sicurezza italiana), nel 2021 si è assistito all’aumento del 180% degli eventi di sicurezza e alla crescita del 350% malware all’interno delle aziende. Il cospicuo incremento delle perdite derivanti da questa situazione ribattezzata “Far West digitale” è stata stimata in 1 trilione di dollari per il 2020 e in 6 trilioni per il 2021.

I processi d’attacco che possono verificarsi sono molto articolati ed in particolare la cosiddetta kill chain di attacco (ovvero la catena di eventi che porta l’attaccante a compiere un crimine informatico n.d.r.) comprende le fasi di: ricognizione, adescamento, dirottamento, exploit, installazione, comando e controllo; in ultimo l’azione vera e propria di danneggiamento può consistere nel furto dati o nella cifratura degli stessi chiedendo un riscatto per non avere danni peggiori (solitamente consistenti nella pubblicazione dei dati in chiaro o nell’avvisare i clienti dell’azienda vittima che la stessa è sotto attacco causando un problema serio di brand reputation n.d.r.).

La gestione degli attacchi e il ripristino dei parametri e dei dati originari possono richiedere tempo e causare problemi e rallentamenti nei processi di business aziendale che risultano limitati se non del tutto bloccati dall’attacco subìto. Quindi il rischio di perdite in termini economici per ogni azienda è elevato.

L’obiettivo primario degli attaccanti è lo sfruttamento delle debolezze digitali nascoste nel codice e quindi il test delle vulnerabilità rappresenta da anni una delle prassi base di sicurezza utilizzata per scopi preventivi unitamente ai correlati processi di vulnerability assessment e di vulnerability Management. Infatti, Il numero di vulnerabilità dei sistemi e applicazioni aziendali e delle Web application è cresciuto enormemente ed ha superato le 13.000 nuove vulnerabilità riscontrate da inizio2022 (fonte: nvd.nist.gov), aumentando l’esposizione dei sistemi informatici.

Inoltre, la capacità di sfruttare le vulnerabilità è aumentata grazie anche alla disponibilità di tool di exploit ed alla possibilità di sfruttare servizi d’intrusione offerti da terzi a pagamento, che di fatto consentono d’intraprendere un’attività cyber criminale anche a chi non ha competenze elevatissime. Andrea Toneguzzi, Founder e Sales Manager di Brainwise spiega in questo senso che: “Le vulnerabilità rappresentano il canale per aggirare le protezioni aziendali per compromettere ed ottenere il controllo dei sistemi. Mantenere la visione aggiornata delle vulnerabilità presenti nei sistemi aziendali è molto difficile, sia a causa della continua scoperta di nuove falle, sia per la complessità di individuare tutti i dispositivi e web application presenti in azienda”.

“Si pensi alla quantità di dispositivi dotati d’interfaccia di configurazione web”, continua Toneguzzi, “e quindi contenenti una web application, installati e “dimenticati”, come ad esempio Switch di rete, print server, rilevatori di presenze o telecamere. Mantenere una mappa aggiornata delle vulnerabilità presenti in azienda è molto complesso senza un sistema intelligente che automaticamente scopra tutti i dispositivi e servizi in rete, ne controlli costantemente le vulnerabilità e gli assegni un grado di criticità contestualizzato alla singola rete aziendale. Riporto solo alcuni dati aggiuntivi per comprendere le criticità da affrontare: Il 92% delle aziende riceve più di 500 avvisi al giorno, ma in genere un singolo analista può gestirne solo 10, molte aziende hanno 30 o più strumenti in funzione, ma solo personale e competenze sufficienti per gestirne 12, solo il 4% degli avvisi viene indagato: non ci sono abbastanza persone per mantenere le organizzazioni al sicuro. Per questo motivo si rendono necessari strumenti di Vulnerability, Detection and Response (VDR) che possano supportare le fasi di test e di risoluzione delle criticità”.

Ambiti applicativi e risposta alle sfide del vulnerability management

L’analisi e gestione delle vulnerabilità permette all’azienda di contestualizzare i risultati e risolvere in modo focalizzato quelle minacce che costituiscono realmente un rischio.

Tuttavia, affinché il processo di analisi e risoluzione delle debolezze informatiche sia realmente efficace, sarebbe necessario: ridurre l’impegno delle ore uomo (dell’analista), avere visibilità di tutto il perimetro applicabile all’analisi, coniugare l’approccio proattivo a quello reattivo, automatizzare le analisi utilizzando anche feature di apprendimento automatico, semplificare la remediation, ridurre la complessità, comprendere gli eventi analizzati.

Per rispondere a queste sfide gli strumenti di vulnerability management di nuova generazione dovrebbero rilevare tutti i dispositivi IT aziendali e tutte le vulnerabilità presenti, sia nella rete interna sia esterna comprendendo anche il perimetro Cloud ed adattandosi a tutti i contesti.

In particolare, il vulnerability management di tipo automatizzato si rivela molto importante nelle custom Web application perché generalmente queste applicazioni non sono testate per la sicurezza e rappresentano quindi un rischio alto. L’automazione delle analisi di vulnerabilità (vulnerability assessment – VA) risolve in parte anche l’annoso problema della carenza di risorse specializzate, la cui mancanza spesso potrebbe causare un ritardo o l’assenza di esecuzione.

Andrea Toneguzzi in tema utilità reale delle scansioni di vulnerabilità automatizzate chiarisce che: “Il trend in crescita di oltre 13.000 nuove vulnerabilità per la prima parte del 2022 fa comprendere che non è più sensato pensare ad una periodicità della verifica, per questo l’automazione della piattaforma fa si che di ogni nuova vulnerabilità mappata nel CVE venga avviata una scansione nei sistemi e applicazioni sotto monitoraggio. Oltre a questo, anche il calcolo del rischio potenziale viene quotidianamente ricalcolato, in modo di rendere efficiente la pianificazione del rimedio”.

“Ma se si pensa a benefici di efficacia ed efficienza e di economics allora l’introduzione di algoritmi d’intelligenza artificiale e machine learning nei sistemi di VDR”, continua Andrea Toneguzzi, “permette di comprendere il contesto in cui i sistemi operano ed emerge l’indicazione del reale rischio connesso, che è dato sia dalla percentuale di sfruttamento della singola vulnerabilità stessa, sia da quanto il sistema compromesso possa fungere da ponte verso altre aree aziendali”.

Ancora Toneguzzi evidenzia anche che “gli strumenti classici di Vulnerability Management (open source o proprietari), assegnano un grado di rischio alle vulnerabilità ricavandolo dal DB standard CVSS, richiedendo poi un grande lavoro manuale di analisi e riclassificazione per selezionare su quali vulnerabilità intervenire con attività di rimedio. Invece i Sistemi di Vulnerability management di nuova generazione grazie al ML automatizzano completamente la riclassificazione, riducendo drasticamente l’impegno e gli effort economici, perché assegnano un grado di rischio che riflette il reale contesto di rete e di utilizzo presente in azienda. L’output fornito da questo tipo di piattaforme è direttamente utilizzabile, anche senza l’intervento di un analista”.

Un case esemplificativo di applicazione

Per comprendere l’applicazione reale di un prodotto di vulnerability management, Andrea Toneguzzi ha descritto un case history con un’azienda cliente del settore Horeca: “l’infrastruttura informatica dell’azienda, così come l’area logistica e quella produttiva si presentavano già con una profonda digitalizzazione dei processi. Gli obiettivi principali dell’intervento erano mirati alla riduzione del rischio cyber e dei costi di gestione della vulnerabilità che si presentava dispendiosa per l’azienda, a causa del grande numero di vulnerabilità presenti e per la difficoltà di comprendere quali di queste potessero essere realmente critiche nel contesto aziendale specifico”.

“La tecnologia applicata è stata la piattaforma Taegis di Securworks, che ha permesso di ridurre il tempo necessario all’analisi e gestione del vulnerability e patch management grazie all’uso di algoritmi di intelligenza artificiale e machine learning. Il sistema di automazione del discovery dei servizi in rete e di comprensione della reale potenzialità di sfruttamento delle vulnerabilità ha permesso di rimodulare la priorità di mitigazione, sulla base della reale possibilità di sfruttamento in quello specifico contesto. I server rilevati sono stati automaticamente raggruppati in funzione della reale area operativa, predisponendo quindi in maniera dinamica remediation plan dettagliati e prioritizzati ad hoc. Quindi il progetto è stato sviluppato tenendo conto del reale rischio apportato nello specifico contesto aziendale piuttosto che valutare la pericolosità teorica delle vulnerabilità. Lo strumento VDR scelto ha abilitato: l’analisi aggiornata in tempo reale, la mappatura e l’analisi della vulnerabilità delle web app, la verifica dello stato d’avanzamento della remediation, la creazione di remediation plans distinti per area di servizi”.

“È importante chiarire”, sottolinea infine Toneguzzi, “che in questo tipo di progettualità un punto decisivo di tutta la gestione della Business Security aziendale è l’approccio e il know how del top management rispetto a questo tipo di problematiche”.

@RIPRODUZIONE RISERVATA

Speciale PNRR

Tutti
Incentivi
PA
Sostemibilità
Analisi
Formazione
Salute digitale
Sicurezza
Sostenibilità
Digital Economy
Formazione
Trasferimento tecnologico, il Mise mette sul piatto 7,5 milioni
Strategie
PSN e Strategia Cloud Italia: a che punto siamo e come supportare la PA in questo percorso
Dispersione idrica
Siccità: AI e analisi dei dati possono ridurre gli sprechi d’acqua. Ecco gli interventi necessari
PNRR
Cloud, firmato il contratto per l’avvio di lavori del Polo strategico
Formazione
Competenze digitali, stanziati 48 milioni per gli Istituti tecnologici superiori
Iniziative
Digitalizzazione delle reti idriche: oltre 600 milioni per 21 progetti
Competenze e competitività
PNRR, così i fondi UE possono rilanciare la ricerca e l’Università
Finanziamenti
PNRR, si sbloccano i fondi per l’agrisolare
Sanità post-pandemica
PNRR, Missione Salute: a che punto siamo e cosa resta da fare
Strategie
Sovranità e autonomia tecnologica nazionale: come avviare un processo virtuoso e sostenibile
La relazione
Pnrr e PA digitale, l’alert della Corte dei conti su execution e capacità di spesa
L'editoriale
Elezioni 2022, la sfida digitale ai margini del dibattito politico
Strategie
Digitale, il monito di I-Com: “Senza riforme Pnrr inefficace”
Transizione digitale
Pnrr: arrivano 321 milioni per cloud dei Comuni, spazio e mobilità innovativa
L'analisi I-COM
Il PNRR alla prova delle elezioni: come usare bene le risorse e centrare gli obiettivi digitali
Cineca
Quantum computing, una svolta per la ricerca: lo scenario europeo e i progetti in corso
L'indice europeo
Desi, l’Italia scala due posizioni grazie a fibra e 5G. Ma è (ancora) allarme competenze
L'approfondimento
PNRR 2, ecco tutte le misure per cittadini e imprese: portale sommerso, codice crisi d’impresa e sismabonus, cosa cambia
Servizi digitali
PNRR e trasformazione digitale: ecco gli investimenti e le riforme previste per la digitalizzazione della PA
Legal health
Lo spazio europeo dei dati sanitari: come circoleranno le informazioni sulla salute nell’Unione Europea
Servizi digitali
PNRR e PA digitale: non dimentichiamo la dematerializzazione
Digital Healthcare transformation
La trasformazione digitale degli ospedali
Governance digitale
PA digitale, è la volta buona? Così misure e risorse del PNRR possono fare la differenza
Servizi digitali
Comuni e digitale, come usare il PNRR senza sbagliare
La survey
Pnrr e digitale accoppiata vincente per il 70% delle pmi italiane
Missione salute
Fascicolo Sanitario Elettronico alla prova del PNRR: limiti, rischi e opportunità
Servizi pubblici
PNRR: come diventeranno i siti dei comuni italiani grazie alle nuove risorse
Skill gap
PNRR, la banda ultra larga crea 20.000 nuovi posti di lavoro
Il Piano
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUMPA2022
PNRR e trasformazione digitale: rivedi i Talk di FORUM PA 2022 in collaborazione con le aziende partner
I contratti
Avio, 340 milioni dal Pnrr per i nuovi propulsori a metano
Next Generation EU
PNRR, a che punto siamo e cosa possono aspettarsi le aziende private
Fondi
Operativo il nuovo portale del MISE con tutti i finanziamenti per le imprese
Servizi comunali
Il PNRR occasione unica per i Comuni digitali: strumenti e risorse per enti e cittadini
Healthcare data platform
PNRR dalla teoria alla pratica: tecnologie e soluzioni per l’innovazione in Sanità
Skill
Competenze digitali, partono le Reti di facilitazione
Gli obiettivi
Scuola 4.0, PNRR ultima chance: ecco come cambierà il sistema formativo
Sistema Paese
PNRR 2, è il turno della space economy
FORUM PA 2022
FORUM PA 2022: la maturità digitale dei comuni italiani rispetto al PNRR
Analisi
PNRR: dalla Ricerca all’impresa, una sfida da cogliere insieme
Innovazione
Pnrr, il Dipartimento per la Trasformazione digitale si riorganizza
FORUM PA 2022
PA verde e sostenibile: il ruolo di PNRR, PNIEC, energy management e green public procurement
Analisi
PNRR, Comuni e digitalizzazione: tutto su fondi e opportunità, in meno di 3 minuti. Guarda il video!
Rapporti
Competenze digitali e servizi automatizzati pilastri del piano Inps
Analisi
Attuazione del PNRR: il dialogo necessario tra istituzioni e società civile. Rivedi lo Scenario di FORUM PA 2022
Progetti
Pnrr, fondi per il Politecnico di Torino. Fra i progetti anche IS4Aerospace
Analisi
PNRR, Colao fa il punto sulla transizione digitale dell’Italia: «In linea con tutte le scadenze»
La Svolta
Ict, Istat “riclassifica” i professionisti. Via anche al catalogo dati sul Pnrr
Analisi
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUM PA 2022
Ecosistema territoriale sostenibile: l’Emilia Romagna tra FESR e PNRR
Il Piano
Innovazione, il Mise “centra” gli obiettivi Pnrr: attivati 17,5 miliardi
Analisi
PNRR: raggiunti gli obiettivi per il primo semestre 2022. Il punto e qualche riflessione
Analisi
PNRR: dal dialogo tra PA e società civile passa il corretto monitoraggio dei risultati, tra collaborazione e identità dei luoghi
Webinar
Comuni e PNRR: un focus sui bandi attivi o in pubblicazione
Analisi
Formazione 4.0: cos’è e come funziona il credito d’imposta
PA e Sicurezza
PA e sicurezza informatica: il ruolo dei territori di fronte alle sfide della digitalizzazione
PA e sicurezza
PNRR e servizi pubblici digitali: sfide e opportunità per Comuni e Città metropolitane
Water management
Water management in Italia: verso una transizione “smart” e “circular” 
LE RISORSE
Transizione digitale, Simest apre i fondi Pnrr alle medie imprese
Prospettive
Turismo, cultura e digital: come spendere bene le risorse del PNRR
Analisi
Smart City: quale contributo alla transizione ecologica
Decarbonizzazione
Idrogeno verde, 450 milioni € di investimenti PNRR, Cingolani firma
Unioncamere
PNRR, imprese in ritardo: ecco come le Camere di commercio possono aiutare
I fondi
Industria 4.0: solo un’impresa su tre pronta a salire sul treno Pnrr
Formazione
Trasferimento tecnologico, il Mise mette sul piatto 7,5 milioni
Strategie
PSN e Strategia Cloud Italia: a che punto siamo e come supportare la PA in questo percorso
Dispersione idrica
Siccità: AI e analisi dei dati possono ridurre gli sprechi d’acqua. Ecco gli interventi necessari
PNRR
Cloud, firmato il contratto per l’avvio di lavori del Polo strategico
Formazione
Competenze digitali, stanziati 48 milioni per gli Istituti tecnologici superiori
Iniziative
Digitalizzazione delle reti idriche: oltre 600 milioni per 21 progetti
Competenze e competitività
PNRR, così i fondi UE possono rilanciare la ricerca e l’Università
Finanziamenti
PNRR, si sbloccano i fondi per l’agrisolare
Sanità post-pandemica
PNRR, Missione Salute: a che punto siamo e cosa resta da fare
Strategie
Sovranità e autonomia tecnologica nazionale: come avviare un processo virtuoso e sostenibile
La relazione
Pnrr e PA digitale, l’alert della Corte dei conti su execution e capacità di spesa
L'editoriale
Elezioni 2022, la sfida digitale ai margini del dibattito politico
Strategie
Digitale, il monito di I-Com: “Senza riforme Pnrr inefficace”
Transizione digitale
Pnrr: arrivano 321 milioni per cloud dei Comuni, spazio e mobilità innovativa
L'analisi I-COM
Il PNRR alla prova delle elezioni: come usare bene le risorse e centrare gli obiettivi digitali
Cineca
Quantum computing, una svolta per la ricerca: lo scenario europeo e i progetti in corso
L'indice europeo
Desi, l’Italia scala due posizioni grazie a fibra e 5G. Ma è (ancora) allarme competenze
L'approfondimento
PNRR 2, ecco tutte le misure per cittadini e imprese: portale sommerso, codice crisi d’impresa e sismabonus, cosa cambia
Servizi digitali
PNRR e trasformazione digitale: ecco gli investimenti e le riforme previste per la digitalizzazione della PA
Legal health
Lo spazio europeo dei dati sanitari: come circoleranno le informazioni sulla salute nell’Unione Europea
Servizi digitali
PNRR e PA digitale: non dimentichiamo la dematerializzazione
Digital Healthcare transformation
La trasformazione digitale degli ospedali
Governance digitale
PA digitale, è la volta buona? Così misure e risorse del PNRR possono fare la differenza
Servizi digitali
Comuni e digitale, come usare il PNRR senza sbagliare
La survey
Pnrr e digitale accoppiata vincente per il 70% delle pmi italiane
Missione salute
Fascicolo Sanitario Elettronico alla prova del PNRR: limiti, rischi e opportunità
Servizi pubblici
PNRR: come diventeranno i siti dei comuni italiani grazie alle nuove risorse
Skill gap
PNRR, la banda ultra larga crea 20.000 nuovi posti di lavoro
Il Piano
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUMPA2022
PNRR e trasformazione digitale: rivedi i Talk di FORUM PA 2022 in collaborazione con le aziende partner
I contratti
Avio, 340 milioni dal Pnrr per i nuovi propulsori a metano
Next Generation EU
PNRR, a che punto siamo e cosa possono aspettarsi le aziende private
Fondi
Operativo il nuovo portale del MISE con tutti i finanziamenti per le imprese
Servizi comunali
Il PNRR occasione unica per i Comuni digitali: strumenti e risorse per enti e cittadini
Healthcare data platform
PNRR dalla teoria alla pratica: tecnologie e soluzioni per l’innovazione in Sanità
Skill
Competenze digitali, partono le Reti di facilitazione
Gli obiettivi
Scuola 4.0, PNRR ultima chance: ecco come cambierà il sistema formativo
Sistema Paese
PNRR 2, è il turno della space economy
FORUM PA 2022
FORUM PA 2022: la maturità digitale dei comuni italiani rispetto al PNRR
Analisi
PNRR: dalla Ricerca all’impresa, una sfida da cogliere insieme
Innovazione
Pnrr, il Dipartimento per la Trasformazione digitale si riorganizza
FORUM PA 2022
PA verde e sostenibile: il ruolo di PNRR, PNIEC, energy management e green public procurement
Analisi
PNRR, Comuni e digitalizzazione: tutto su fondi e opportunità, in meno di 3 minuti. Guarda il video!
Rapporti
Competenze digitali e servizi automatizzati pilastri del piano Inps
Analisi
Attuazione del PNRR: il dialogo necessario tra istituzioni e società civile. Rivedi lo Scenario di FORUM PA 2022
Progetti
Pnrr, fondi per il Politecnico di Torino. Fra i progetti anche IS4Aerospace
Analisi
PNRR, Colao fa il punto sulla transizione digitale dell’Italia: «In linea con tutte le scadenze»
La Svolta
Ict, Istat “riclassifica” i professionisti. Via anche al catalogo dati sul Pnrr
Analisi
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUM PA 2022
Ecosistema territoriale sostenibile: l’Emilia Romagna tra FESR e PNRR
Il Piano
Innovazione, il Mise “centra” gli obiettivi Pnrr: attivati 17,5 miliardi
Analisi
PNRR: raggiunti gli obiettivi per il primo semestre 2022. Il punto e qualche riflessione
Analisi
PNRR: dal dialogo tra PA e società civile passa il corretto monitoraggio dei risultati, tra collaborazione e identità dei luoghi
Webinar
Comuni e PNRR: un focus sui bandi attivi o in pubblicazione
Analisi
Formazione 4.0: cos’è e come funziona il credito d’imposta
PA e Sicurezza
PA e sicurezza informatica: il ruolo dei territori di fronte alle sfide della digitalizzazione
PA e sicurezza
PNRR e servizi pubblici digitali: sfide e opportunità per Comuni e Città metropolitane
Water management
Water management in Italia: verso una transizione “smart” e “circular” 
LE RISORSE
Transizione digitale, Simest apre i fondi Pnrr alle medie imprese
Prospettive
Turismo, cultura e digital: come spendere bene le risorse del PNRR
Analisi
Smart City: quale contributo alla transizione ecologica
Decarbonizzazione
Idrogeno verde, 450 milioni € di investimenti PNRR, Cingolani firma
Unioncamere
PNRR, imprese in ritardo: ecco come le Camere di commercio possono aiutare
I fondi
Industria 4.0: solo un’impresa su tre pronta a salire sul treno Pnrr

Articolo 1 di 5