Quando si incontra per la prima volta il CVSS (Common Vulnerability Scoring System), \u00e8 facile pensare che si tratti dello strumento perfetto per il triage e l\u2019assegnazione delle priorit\u00e0 alle vulnerabilit\u00e0. Un punteggio pi\u00f9 alto indica una vulnerabilit\u00e0 pi\u00f9 critica, giusto? In realt\u00e0, questo approccio non funziona. Ogni anno assistiamo a un numero crescente di vulnerabilit\u00e0 con punteggi CVSS elevati. I team di sicurezza non riescono a correggerle tutte in tempo, ma la stragrande maggioranza di questi difetti non viene mai effettivamente sfruttata negli attacchi nel mondo reale. Nel frattempo, gli autori degli attacchi sfruttano costantemente vulnerabilit\u00e0 meno appariscenti con punteggi pi\u00f9 bassi. Ci sono anche altre insidie nascoste, che vanno da problemi puramente tecnici, come punteggi CVSS contrastanti, a problemi concettuali, come la mancanza di contesto aziendale.<\/p>\n
Non si tratta necessariamente di carenze del CVSS stesso. Si evidenzia invece la necessit\u00e0 di utilizzare lo strumento correttamente, nell\u2019ambito di un processo di gestione delle vulnerabilit\u00e0 pi\u00f9 sofisticato e completo.<\/p>\n
Hai mai notato come la stessa vulnerabilit\u00e0 possa avere punteggi di gravit\u00e0 diversi a seconda dell\u2019origine disponibile? Un punteggio del ricercatore sulla cybersecurity che l\u2019ha trovato, un altro del fornitore del software vulnerabile e ancora un altro di un database nazionale delle vulnerabilit\u00e0? Non \u00e8 sempre e solo un semplice errore. A volte diversi esperti possono non essere d\u2019accordo sul contesto dello sfruttamento. Potrebbero avere idee diverse sui privilegi con cui viene eseguita un\u2019applicazione vulnerabile o sulla connessione a Internet. Un fornitore potrebbe ad esempio basare la propria valutazione sulle best practice consigliate, mentre un ricercatore della sicurezza potrebbe considerare il modo in cui le applicazioni sono configurate tipicamente nelle organizzazioni reali. Un ricercatore potrebbe valutare la complessit\u00e0 dell\u2019exploit come alta, mentre un altro ritenerla bassa. Non \u00e8 un evento raro. Uno studio di Vulncheck<\/a> del 2023 ha rilevato che il 20% delle vulnerabilit\u00e0 nel National Vulnerability Database (NVD) aveva due punteggi CVSS3 da fonti diverse e il 56% di questi punteggi accoppiati era in conflitto.<\/p>\n Da oltre un decennio FIRST<\/a> sostiene l\u2019applicazione metodologicamente corretta del CVSS. Tuttavia, le organizzazioni che utilizzano le classificazioni CVSS nei processi di gestione delle vulnerabilit\u00e0 continuano a commettere errori tipici:<\/p>\n CVSS \u00e8 lo standard del settore per descrivere la gravit\u00e0 di una vulnerabilit\u00e0, le condizioni in cui pu\u00f2 essere sfruttata e il potenziale impatto su un sistema vulnerabile. Tuttavia, al di l\u00e0 di questa descrizione (e del punteggio di base CVSS), c\u2019\u00e8 molto che non copre:<\/p>\n Tutti questi fattori influenzano in modo significativo la decisione su quando e come porre rimedio a una vulnerabilit\u00e0, o anche se \u00e8 necessario rimediare.<\/p>\n Molti fattori spesso difficili da spiegare all\u2019interno dei confini di CVSS sono centrali per un approccio popolare noto come gestione delle vulnerabilit\u00e0 basata sul rischio (RBVM).<\/p>\n RBVM \u00e8 un processo olistico e ciclico, con diverse fasi chiave che si ripetono regolarmente:<\/p>\n In aggiunta a quanto illustrato, \u00e8 fondamentale analizzare periodicamente il panorama delle vulnerabilit\u00e0 e l\u2019infrastruttura IT dell\u2019azienda. In seguito a questa analisi \u00e8 necessario introdurre misure di cybersecurity che impediscano lo sfruttamento di intere classi di vulnerabilit\u00e0 o aumentino in modo significativo la sicurezza generale di specifici sistemi IT. Tali misure possono includere la microsegmentazione della rete, l\u2019implementazione dei privilegi minimi e l\u2019adozione di criteri di gestione degli account pi\u00f9 rigorosi.<\/p>\nErrori comuni durante l\u2019utilizzo di CVSS<\/h2>\n
\n
Cosa non dice CVSS in merito a una vulnerabilit\u00e0<\/h2>\n
\n
Come modificare il CVSS? RBVM ha la risposta!<\/h2>\n
\n