Le 8 migliori pratiche per la gestione delle vulnerabilità

Best practice per la gestione delle vulnerabilità

Più vulnerabilità esistono nei sistemi di un'organizzazione, maggiori sono le opportunità che un utente malintenzionato ha di ottenere l'accesso e causare danni all'azienda, ai suoi dipendenti e ai suoi clienti.

Quando si progetta e si implementa un processo di gestione delle vulnerabilità, prendere in considerazione le seguenti best practice.

#1. Esegui scansioni regolari delle vulnerabilità

Gli scanner di vulnerabilità sono strumenti automatizzati utilizzati per identificare potenziali vulnerabilità e altri rischi per la sicurezza all'interno di un'applicazione. Poiché le scansioni sono automatizzate e possono essere pianificate, introducono un sovraccarico aggiuntivo minimo per un team di sicurezza.

Le organizzazioni devono eseguire scansioni delle vulnerabilità:

• A intervalli regolari: I team di sicurezza dovrebbero pianificare le scansioni delle vulnerabilità a una cadenza fissa (giornaliera, settimanale, ecc.). Questo aiuta a identificare eventuali nuove vulnerabilità che sono state scoperte o introdotte nei loro ambienti.
• Di nuovi software: Prima e dopo la distribuzione di una nuova applicazione, il software deve essere analizzato alla ricerca di vulnerabilità. In questo modo si garantisce che non vengano introdotti nuovi rischi per la sicurezza nell'ambiente di un'organizzazione.
• Quando vengono annunciate nuove vulnerabilità: Alcune vulnerabilità, come Log4J, richiedono un'azione immediata. Quando viene annunciata una nuova vulnerabilità importante, un'organizzazione deve eseguire un'analisi delle vulnerabilità ad hoc per determinare la propria esposizione al rischio.

Quando si progetta un programma di valutazione della vulnerabilità , è anche importante considerare la visibilità delle varie vulnerabilità. Idealmente, le scansioni delle vulnerabilità verranno eseguite sia dall'esterno che dall'interno della rete aziendale e con diversi livelli di privilegio (non autenticato, utente autenticato, amministratore).

#2. Applicare i cerotti prontamente

Quando un produttore di software viene a conoscenza di una nuova vulnerabilità in uno dei suoi prodotti, sviluppa e rilascia una patch per risolverla. Una volta che una patch è stata annunciata e rilasciata, i criminali informatici possono iniziare a scansionarla e sfruttarla in poche ore.

Le organizzazioni devono pianificare l'applicazione delle patch il prima possibile. Alcuni elementi chiave di una strategia di applicazione delle patch includono:

• Priorità delle patch: Alcune patch risolvono vulnerabilità critiche, mentre altre possono influire su risorse IT di alto valore. L'applicazione di patch dovrebbe essere prioritaria per massimizzare il potenziale impatto sull'esposizione di un'organizzazione ai rischi informatici.
• Test delle patch: Idealmente, gli amministratori testeranno una patch in un ambiente realistico prima di distribuirla ai sistemi di produzione. Questo aiuta a convalidare l'efficacia della patch e garantisce che non introduca nuovi problemi di sicurezza.
• Implementazioni automatizzate: Le organizzazioni hanno in genere molte patch da applicare e alcune possono influire su numerosi sistemi. I flussi di lavoro automatizzati per l'applicazione delle patch sono essenziali per applicare rapidamente ed efficacemente le patch su larga scala.
• Convalida degli aggiornamenti: Dopo l'applicazione di un aggiornamento, il sistema con patch deve essere nuovamente valutato con uno scanner di vulnerabilità. Ciò convalida che la patch è stata applicata correttamente e che non sono stati introdotti nuovi rischi per la sicurezza.

#3. Esegui la definizione delle priorità dei rischi

Quasi tutte le applicazioni contengono almeno una vulnerabilità, il che significa che le organizzazioni hanno comunemente più sistemi vulnerabili di quelli che possono effettivamente correggere. Quando decidono dove concentrare le proprie risorse e sforzi, i team di sicurezza dovrebbero eseguire la definizione delle priorità delle patch.

Quando un team di sicurezza valuta quando/se applicare una patch, alcune cose da tenere a mente includono:

• Valutazioni di gravità: Molte vulnerabilità hanno punteggi CVSS (Common Vulnerabilità Scoring System) associati che descrivono la gravità del problema. A parità di condizioni, una vulnerabilità critica dovrebbe essere corretta prima di una alta, media o bassa.
• Criticità del sistema: Le patch possono risolvere vulnerabilità in sistemi con diversi livelli di importanza per l'organizzazione. Ad esempio, una vulnerabilità nel database "gioiello della corona" dell'organizzazione può essere molto più efficace se sfruttata rispetto a una vulnerabilità di gravità più elevata in un sistema meno importante.
• Ambito dell'impatto: Alcune vulnerabilità possono esistere in un singolo sistema, mentre altre potrebbero avere un impatto sull'intera organizzazione. Le vulnerabilità con un numero maggiore di sistemi interessati possono richiedere l'applicazione di patch prima di quelle che interessano solo alcuni dispositivi.
• Requisiti delle risorse: Alcune patch, come gli aggiornamenti di Windows OS, sono progettate per essere automatizzate, mentre altre richiedono operazioni aziendali manuali. L'impatto di un cerotto dovrebbe anche essere valutato rispetto allo sforzo richiesto per applicarlo.

Alla fine della giornata, un'organizzazione non correggerà (e probabilmente non dovrebbe) correggere tutte le vulnerabilità poiché ognuna consuma risorse che potrebbero essere utilizzate in modo più redditizio altrove. La decisione su cosa e quando applicare le patch dovrebbe essere basata sulla minaccia rappresentata da:

• Una particolare vulnerabilità
• Tolleranza al rischio di un'organizzazione

#4. Gestisci configurazioni di sistema

Alcune vulnerabilità sono create da errori nel codice dell'applicazione. Ad esempio, le vulnerabilità di SQL injection e buffer overflow sono causate dal mancato rispetto delle best practice di codifica sicura. Tuttavia, quando un'applicazione viene distribuita e configurata, vengono introdotte altre vulnerabilità.

Le nuove vulnerabilità di sicurezza possono essere introdotte da:

• Password deboli
• L'uso delle impostazioni predefinite

Le organizzazioni possono gestire questo problema definendo e imponendo l'uso di una configurazione di base sicura per tutte le applicazioni e i sistemi aziendali. L'uso di questa baseline deve essere applicato tramite controlli regolari e sistemi di gestione della configurazione.

#5. Sfrutta l'intelligence sulle minacce

La threat intelligence fornisce informazioni dettagliate sulle minacce e sulle campagne di attacchi informatici che è più probabile che un'organizzazione debba affrontare. Se altre organizzazioni dello stesso settore, giurisdizione o dimensione sono prese di mira da una particolare minaccia, è probabile che lo farà anche la tua azienda.

L'intelligence sulle minacce può essere preziosa per dare priorità alle attività di correzione e mitigazione delle vulnerabilità. Le vulnerabilità che stanno subendo uno sfruttamento attivo devono essere corrette immediatamente, se possibile.

Se non è possibile applicare alcuna patch, l'organizzazione deve implementare il monitoraggio e tutte le misure preventive disponibili per ridurre il rischio di sfruttamento.

#6. Integrazione con Incident Response

La gestione delle vulnerabilità e la risposta agli incidenti sono sforzi correlati e complementari.

Idealmente, la gestione delle vulnerabilità elimina la necessità di una risposta agli incidenti eliminando i rischi per la sicurezza prima che possano essere sfruttati. Tuttavia, non è sempre così.

Nel caso in cui un'organizzazione subisca un attacco informatico, l'accesso ai dati di gestione delle vulnerabilità può accelerare il processo di risposta agli incidenti. Se il team di risposta agli incidenti (IRT) è a conoscenza dell'esistenza di una particolare vulnerabilità nei sistemi di un'organizzazione, ciò potrebbe accelerare l'analisi della causa principale e gli sforzi di correzione.

D'altro canto, l'intelligence derivante dalla risposta agli incidenti può anche informare gli sforzi di correzione delle vulnerabilità.

Gli addetti alla risposta agli incidenti potrebbero identificare vulnerabilità sconosciute o scoprire che una vulnerabilità non gestita sta riscontrando uno sfruttamento attivo. Questi dati possono aiutare il team di sicurezza ad affrontare le vulnerabilità ad alto rischio e ad aggiornare la definizione delle priorità dei rischi per evitare che si verifichino incidenti simili in futuro.

#7. Abbraccia il miglioramento continuo

La gestione delle vulnerabilità è un processo continuo per la maggior parte delle organizzazioni. Ogni giorno vengono scoperte e divulgate nuove vulnerabilità, quindi la maggior parte dei team di sicurezza ha un arretrato costante di vulnerabilità da valutare e patch da applicare.

Poiché l'eliminazione delle vulnerabilità probabilmente non è un'opzione, i team di sicurezza dovrebbero concentrarsi sul tentativo di migliorare i loro programmi di gestione delle vulnerabilità nel tempo.

Alcune metriche da considerare includono:

• Numero di vulnerabilità che raggiungono i sistemi di produzione.
• Tempo medio per identificare una nuova vulnerabilità.
• Tempo medio necessario per correggere una vulnerabilità.
• Tempo medio per correggere una vulnerabilità critica o di gravità elevata.
• Numero totale di vulnerabilità nei sistemi di produzione.

#8. Considerare i requisiti di conformità

Le aziende devono prendere in considerazione una serie di normative e standard quando sviluppano i loro programmi di gestione della sicurezza e delle vulnerabilità. Le vulnerabilità sfruttate sono un modo comune per violare i dati sensibili e le aziende devono gestire questi rischi.

Nella definizione dei piani e dei processi di gestione delle patch , i team di sicurezza devono considerare i tipi di dati elaborati dai vari sistemi e le loro implicazioni normative.

Ad esempio, potrebbe essere necessario dare la priorità ad alcuni sistemi nel processo di applicazione delle patch a causa dei requisiti di conformità.