Che cos'è la gestione delle vulnerabilità?

La gestione delle vulnerabilità è il processo di identificazione, valutazione, definizione delle priorità, correzione e segnalazione delle vulnerabilità di sicurezza nelle applicazioni Web, nei computer, nei dispositivi mobili e nei software.

La gestione continua delle vulnerabilità è parte integrante della sicurezza informatica e della rete ed è nell'elenco dei controlli di sicurezza di base del Center for Internet Security (CIS), citando che le organizzazioni devono "acquisire, valutare e agire continuamente su nuove informazioni al fine di identificare le vulnerabilità e per rimediare e ridurre al minimo la finestra di opportunità per gli aggressori. ”

In breve, la gestione delle vulnerabilità fornisce alle organizzazioni un processo per identificare, assegnare priorità e rimediare ai possibili vettori di attacco e ridurre al minimo la superficie di attacco.

Che cos'è una vulnerabilità?

Una vulnerabilità è una debolezza che può essere sfruttata da un attacco informatico per ottenere l'accesso non autorizzato o eseguire azioni non autorizzate su un sistema informatico. Le vulnerabilità possono consentire agli aggressori di eseguire codice, accedere alla memoria di un sistema, installare malware e rubare, distruggere o modificare dati sensibili.

Le vulnerabilità più preoccupanti per i team di sicurezza sono le vulnerabilità wormable come l'attacco ransomware WannaCry cryptoworm. I worm informatici sono un tipo di software dannoso che si autoreplica, infettando altri computer pur rimanendo attivo sui sistemi infetti.

I worm spesso si basano su azioni e sfruttamento delle vulnerabilità nei protocolli di rete, nei sistemi operativi o nelle backdoor per propagarsi all'insaputa dell'utente.

Un primo esempio è il verme Morris. Il worm Morris è stato uno dei primi worm di Internet ed è stato scritto per evidenziare le falle di sicurezza piuttosto che causare danni.

Si diffondeva sfruttando vulnerabilità note, come quelle che ora sarebbero elencate su CVE, in Unix sendmail finger, rsh/rexec, così come le password deboli. Al suo apice, il worm Morris era in esecuzione su quasi il 10% di tutti i computer abilitati a Internet all'epoca.

Il worm Morris evidenzia la necessità di un software di gestione delle vulnerabilità e il motivo per cui i team di sicurezza dovrebbero mantenere aggiornati i propri sistemi.

Detto questo, le vulnerabilità più pericolose sono note come vulnerabilità zero-day. Le vulnerabilità zero-day sono vulnerabilità prive di patch che sono sconosciute agli sviluppatori di software, hardware o firmware e pertanto non dispongono di una patch.

BlueKeep (CVE-2019-0708) è un esempio di difetto di esecuzione di codice remoto che interessa circa un milione di sistemi (al 29 maggio 2019) che eseguono versioni precedenti dei sistemi operativi Microsoft.

Questa vulnerabilità zero-day ha fatto notizia durante il Patch Tuesday di maggio 2019 di Microsoft a causa della sua wormability.

Ciò significa che gli attacchi informatici riusciti con BlueKeep possono propagarsi in modo simile all'exploit EternalBlue di WannaCry.

Microsoft ha visto BlueKeep come una minaccia informatica così grande per la sicurezza delle informazioni e la sicurezza informatica che ha rilasciato patch per sistemi operativi fuori supporto e fuori uso come Windows 2003 e Windows XP.

Perché è necessaria la gestione delle vulnerabilità?

La crescente crescita del crimine informatico e l'aumento del controllo normativo stanno costringendo le organizzazioni a concentrare maggiore attenzione sulla sicurezza delle informazioni. Un processo di gestione delle vulnerabilità dovrebbe far parte della strategia complessiva di gestione del rischio informativo di un'organizzazione.

Questo processo consente alle organizzazioni di ottenere una panoramica continua delle vulnerabilità nel proprio ambiente IT e dei rischi ad esse associati.

Solo identificando e mitigando le vulnerabilità le organizzazioni possono ridurre il rischio che gli aggressori sfruttino nuove vulnerabilità, l'applicazione di patch alle vulnerabilità identificate man mano che sono elencate su CVE e altri database di vulnerabilità è un'efficace strategia di gestione del rischio che riduce il rischio di sicurezza informatica.

Scopri le caratteristiche principali di un efficace software di correzione dei rischi >

Che cos'è il processo di gestione delle vulnerabilità?

Il processo di gestione delle vulnerabilità è una pratica ciclica di identificazione, classificazione, correzione e mitigazione delle vulnerabilità di sicurezza. Gli elementi essenziali di qualsiasi programma di gestione delle vulnerabilità sono il rilevamento delle vulnerabilità, la valutazione delle vulnerabilità e la reportistica.

Leggi il nostro post completo sulla valutazione delle vulnerabilità qui.

Come vengono rilevate le vulnerabilità?

Al centro di un tipico strumento di gestione delle vulnerabilità c'è uno scanner di vulnerabilità.

Uno scanner di vulnerabilità è un software progettato per valutare computer, reti o applicazioni alla ricerca di vulnerabilità note come quelle elencate su CVE. La scansione delle vulnerabilità è in grado di identificare e rilevare le vulnerabilità derivanti da una configurazione errata e da una programmazione errata all'interno di una rete ed eseguire scansioni autenticate e non autenticate:

• Scansioni autenticate: consenti agli scanner di vulnerabilità di accedere alle risorse di rete utilizzando protocolli amministrativi remoti come Secure Shell (SSH) o Remote Desktop Protocol (RDP) e di autenticarsi utilizzando le credenziali di sistema fornite. Il vantaggio delle scansioni autenticate è che forniscono l'accesso a dati di basso livello come servizi specifici, dettagli di configurazione e informazioni accurate su sistemi operativi, software installato, problemi di configurazione, controllo degli accessi, controlli di sicurezza e gestione delle patch.
• Scansioni non autenticate: non fornire l'accesso alle risorse di rete, che possono causare falsi positivi e informazioni inaffidabili sui sistemi operativi e sul software installato. Questo tipo di scansione viene generalmente utilizzato dagli aggressori informatici e dagli analisti della sicurezza IT per cercare di determinare la posizione di sicurezza delle risorse rivolte all'esterno, dei fornitori di terze parti e per trovare possibili fughe di dati.

Come ogni servizio di sicurezza, gli scanner di vulnerabilità non sono perfetti, motivo per cui altre tecniche come i test di penetrazione e l'hacking di Google vengono impiegate dalle organizzazioni.

Il penetration test è la pratica di testare una risorsa informatica per trovare vulnerabilità sfruttabili e può essere automatizzato con software o eseguito manualmente.

Che sia automatizzato o manuale, il pen test raccoglie informazioni sul suo obiettivo, identifica i possibili vettori di attacco e quindi tenta di sfruttarli. I pen tester riferiranno quindi sui loro risultati. Può anche essere utilizzato per testare i controlli di sicurezza on-premise, l'aderenza alle politiche di sicurezza delle informazioni, la suscettibilità dei dipendenti agli attacchi di ingegneria sociale come il phishing o lo spear phishing, nonché per testare i piani di risposta agli incidenti.

L'hacking di Google è l'uso di un motore di ricerca per individuare le vulnerabilità della sicurezza. Sia i team IT che gli aggressori possono utilizzare operatori di ricerca avanzati nelle query che individuano informazioni difficili da trovare o informazioni che vengono esposte accidentalmente a causa di una configurazione errata degli strumenti di sicurezza e dei servizi cloud. Queste vulnerabilità tendono a rientrare in due categorie, vale a dire vulnerabilità del software e configurazioni errate.

Che cos'è il processo di valutazione delle vulnerabilità?

Il processo di valutazione delle vulnerabilità può essere suddiviso in cinque fasi:

1. Identificare le vulnerabilità: analizzare le scansioni di rete, i risultati dei pen test, i registri del firewall e i risultati delle scansioni delle vulnerabilità per trovare anomalie che suggeriscono che un attacco informatico potrebbe sfruttare una vulnerabilità.
2. Verificare le vulnerabilità: decidere se la vulnerabilità identificata può essere sfruttata e classificare la gravità dell'exploit per comprendere il livello di rischio per la sicurezza.
3. Definizione delle priorità delle vulnerabilità: valuta quali vulnerabilità verranno mitigate o risolte per prime in base alla loro wormability e ad altri rischi.
4. Mitigare le vulnerabilità: Decidi le contromisure e come misurarne l'efficacia nel caso in cui non sia disponibile una patch.
5. Correzione delle vulnerabilità: rimozione e correzione delle vulnerabilità note per impedire ulteriori sfruttamenti.

Una volta identificate, le vulnerabilità devono essere valutate per capire quali rischi comportano, le possibili soluzioni di sicurezza e come verranno affrontate in conformità con la strategia di gestione dei rischi dell'organizzazione.

Le soluzioni di gestione delle vulnerabilità possono fornire valutazioni di sicurezza, come i punteggi CVSS (Common Vulnerability Scoring System), che possono aiutare le organizzazioni a capire su quali vulnerabilità concentrarsi per prime.

Alcuni aspetti aggiuntivi da considerare includono:

• La vulnerabilità è un falso positivo?
• Questa vulnerabilità può essere sfruttata da Internet o un utente malintenzionato ha bisogno di un accesso fisico?
• Quanto è difficile sfruttare questa vulnerabilità?
• Esiste un codice exploit disponibile pubblicamente per questa vulnerabilità?
• Qual è l'impatto sull'azienda se questa vulnerabilità venisse sfruttata?
• La tua organizzazione sta impiegando una strategia di difesa in profondità che riduce la probabilità e/o l'impatto di questo sfruttamento?
• Quanti anni ha la vulnerabilità?
• La tua organizzazione ha requisiti normativi come CCPA, FISMA, GLBA, PIPEDA o il NIST Cybersecurity Framework?
• Qual è il costo medio di una violazione dei dati nel tuo settore?

Una volta che una vulnerabilità è stata considerata un rischio accettabile per la sicurezza informatica, il passo successivo consiste nel dare priorità a come verrà trattata:

• Correzione: la vulnerabilità è stata patchata e non può essere sfruttata.
• Mitigazione: la probabilità o l'impatto che la vulnerabilità possa essere sfruttata è ridotta al minimo.
• Accettazione: non viene intrapresa alcuna azione perché la vulnerabilità è considerata a basso rischio o il costo è sostanzialmente superiore al costo sostenuto dall'organizzazione se fosse sfruttata.

Molti sistemi di gestione delle vulnerabilità forniscono tecniche di correzione consigliate per le vulnerabilità comuni, che possono essere semplici come l'installazione di patch di sicurezza prontamente disponibili o complesse come la sostituzione dell'hardware.

Le vulnerabilità dovrebbero essere segnalate pubblicamente?

C'è un dibattito in corso sul fatto che le nuove vulnerabilità debbano essere segnalate dalle organizzazioni che le trovano, rimane una questione controversa con due parti opposte:

1. Divulgazione completa immediata: alcuni esperti di sicurezza informatica sostengono la divulgazione immediata, comprese informazioni specifiche su come sfruttare la vulnerabilità. I sostenitori della divulgazione immediata ritengono che porti a un software sicuro e a patch più rapide che migliorano la sicurezza del software, la sicurezza delle applicazioni, la sicurezza del computer, la sicurezza del sistema operativo e la sicurezza delle informazioni.
2. Divulgazione limitata o nulla: mentre altri sono contrari alla divulgazione delle vulnerabilità perché ritengono che la vulnerabilità verrà sfruttata. I sostenitori della divulgazione limitata ritengono che limitare le informazioni a gruppi selezionati riduca il rischio di sfruttamento.

Come la maggior parte degli argomenti, entrambe le parti hanno punti validi.

Scopri di più sui programmi di divulgazione delle vulnerabilità qui >

Devo preoccuparmi delle vulnerabilità dei miei fornitori di terze parti?

La gestione del rischio del fornitore (VRM) è una parte spesso trascurata della gestione delle vulnerabilità. Non è più sufficiente concentrarsi esclusivamente sulla sicurezza informatica interna. Se i fornitori di terze parti non dispongono delle stesse soluzioni di sicurezza e degli stessi standard di sicurezza, i dati sensibili dell'utente e dei clienti sono a rischio.

Sì, l'outsourcing può introdurre vantaggi strategici (costi inferiori, accesso alle competenze e focus organizzativo). Detto questo, può anche introdurre ulteriori vulnerabilità che non sono sotto il tuo controllo immediato, rendendo possibili attacchi informatici e spionaggio aziendale.

I fornitori di terze parti con scarsa sicurezza delle informazioni introducono un rischio significativo per la sicurezza informatica sotto forma di rischio di terze parti e rischio di quarta parte.

È qui che il VRM può aiutare. I programmi VRM si occupano della gestione e del monitoraggio del rischio di terze e quarte parti, nonché di garantire che i dati dei clienti e i dati aziendali non siano esposti a violazioni e fughe di dati di terze o quarte parti.

L'aumento del controllo normativo significa che i team di gestione del rischio dei fornitori sono sparsi e devono cercare di automatizzare il più possibile, compresi i questionari dei fornitori.

Non commettere l'errore di negoziare solo accordi sul livello di servizio con potenziali fornitori, monitorarli in tempo reale e richiedere la correzione delle vulnerabilità ad alto rischio o cambiare fornitore.

La politica di sicurezza delle informazioni della tua organizzazione deve concentrarsi su posizioni di sicurezza di prime, terze e quarte parti, il che significa investire il tempo per sviluppare un solido framework di gestione del rischio di terze parti. E chiedi il rapporto SOC 2 del tuo fornitore.

A seconda del settore, potresti anche essere legalmente responsabile per le violazioni dei dati di terze parti derivanti da una cattiva gestione delle vulnerabilità.

Aziende come Intercontinental Exchange, Taylor Fry, The New York Stock Exchange, IAG, First State Super, Akamai, Morningstar e NASA utilizzano UpGuard per proteggere i propri dati, prevenire le violazioni dei dati, monitorare le vulnerabilità ed evitare il malware.

Siamo esperti in violazioni e fughe di dati, la nostra ricerca è stata pubblicata su New York Times, Wall Street Journal, Bloomberg, Washington Post, Forbes, Reuters e Techcrunch.

UpGuard Vendor Risk può ridurre al minimo la quantità di tempo che la tua organizzazione dedica alla gestione delle relazioni con terze parti automatizzando i questionari dei fornitori e monitorando continuamente la posizione di sicurezza dei tuoi fornitori nel tempo, confrontandoli con il loro settore.

Ogni fornitore è valutato in base a 70+ criteri, come la presenza di SSL e DNSSEC, nonché il rischio di dirottamento del dominio, attacchi man-in-the-middle e spoofing delle e-mail per il phishing.

Ogni giorno, la nostra piattaforma assegna ai tuoi fornitori un punteggio di sicurezza informatica su 950. Ti avviseremo se il loro punteggio diminuisce.

UpGuard BreachSight può aiutare a monitorare il DMARC, combattere il typosquatting, prevenire le violazioni e le fughe di dati, evitare multe normative e proteggere la fiducia dei clienti attraverso valutazioni di sicurezza informatica e rilevamento continuo dell'esposizione.