Patch Management: l’importanza di una corretta gestione delle patch

Il Patch Management è il processo di gestione delle patch di sicurezza dei sistemi informatici.

Infatti, se da un lato è cruciale applicare correzioni ai bug di sistema, lo è altrettanto farlo secondo policy e tempistiche prestabilite.

In questo articolo approfondiremo importanza, best practice, errori e strumenti per una corretta amministrazione degli aggiornamenti di sicurezza.

1. Importanza del processo di Patch Management
2. Principali fasi del Patch Management
3. Patch Management e GDPR
4. Strumenti per il Patch Management
5. Conclusioni

Importanza del processo di Patch Management

Il patch management è un’attività critica per garantire la sicurezza informatica delle organizzazioni.

Gli attacchi informatici, infatti, diventano sempre più sofisticati e mirati, sfruttando spesso vulnerabilità note e sistemi automatizzati di scansione alla ricerca di potenziali punti deboli nelle reti e nelle infrastrutture IT.

Pertanto, al fine di prevenire gli exploit, le software house rilasciano periodicamente patch di correzione dei bug.

Ne consegue che la loro mancata installazione può lasciare il sistema maggiormente esposto agli attacchi informatici.

Non si tratta soltanto di installare le patch, ma di farlo tempestivamente, ovvero prima che un attaccante possa sfruttare attivamente la criticità di sicurezza.

Inoltre, una corretta gestione dei patch può migliorare la stabilità e le prestazioni del sistema, evitando problemi di compatibilità  e riducendo significativamente la superficie d’attacco.

Principali fasi del Patch Management

Se l’applicazione delle patch è un’operazione, il Patch Management è una strategia accuratamente pianificata.

Come tale, si articola in diverse fasi, ognuna delle quali con tempistiche e scopi ben precisi.

Analizziamone di seguito i dettagli.

Valutazione delle patch disponibili

in questa fase, gli amministratori di sistema identificano le patch disponibili per il software e i sistemi informatici.

Può includere:

• identificazione delle vulnerabilità note
• consultazione di fonti affidabili per trovare le patch pertinenti
• analisi dell’impatto delle patch sul sistema

In particolare, quest’ultimo punto fa riferimento alla valutazione degli effetti che l’installazione di una patch potrebbe avere sui sistemi interessati.

L’obiettivo è determinare se l’operazione potrebbe causare problemi di compatibilità, prestazioni o di altro tipo, in modo da evitare

• potenziali interruzioni
• problemi indesiderati

durante il processo di installazione.

Selezione delle patch pertinenti

In questa fase, si selezionano le patch più pertinenti in relazione alla criticità delle falle di sicurezza da correggere.

Così come avviene per la valutazione delle vulnerabilità durante un Vulnerability Asesment, anche le patch sono sottoposte a priorizzazione in base a:

• importanza
• impatto
• esigenze dell’organizzazione

Pianificazione e installazione delle patch

Una volta valutate e categorizzate le patch, si può passare alla pianificazione vera e propria e alla successiva installazione.

Questa include:

• definizione delle procedure di installazione
• valutazione delle tempistiche
• gestione dei rischi associati

Verifica dell’efficacia

Dopo l’installazione è necessario accertarsi che le correzioni applicate siano effettivamente performanti.

Si tratta di un passaggio cruciale, perché è quello che assicura o smentisce che la patch abbia correttamente risolto il bug.

Nello specifico, gli esperti:

1. verificano che le patch siano state installate correttamente sui sistemi interessati e che non vi siano stati problemi durante l’installazione
2. eseguono test funzionali per verificare se le patch hanno risolto i problemi di sicurezza, migliorando al contempo le prestazioni di sistema

Gestione dei rischi associati all’installazione

In ultimo, viene stilato un piano di ripristino in caso di problemi durante l’installazione, comprendente:

• gestione di eventuali tempi di inattività dei sistemi durante l’implementazione delle patch
• gestione dei rischi di sicurezza associati all’eventuale non-installazione delle patch

Patch Management e GDPR

Il General Data Protection Regulation (GDPR) richiede alle organizzazioni di adottare misure tecniche e organizzative adeguate per proteggere asset e dati.

E una corretta gestione delle patch è una di queste.

Secondo la normativa, infatti, l’organizzazione deve essere in grado di dimostrare di aver implementato una solida strategia di Patch Management e aver valutato e installato le patch disponibili in modo tempestivo.

Inoltre, il GDPR richiede alle organizzazioni di valutare regolarmente i rischi di sicurezza dei dati personali e di adottare misure adeguate per mitigare tali rischi.

L’applicazione del Patch Management Process è difatti una pratica essenziale per dimostrare la conformità normativa della propria organizzazione.

A tal fine, la redazione dell’apposita documentazione consente di attestare il rispetto delle normative vigenti, poiché riporta:

1. Le patch installate: la documentazione dovrebbe includere un elenco completo delle patch installate su ogni sistema interessato. Questo elenco dovrebbe includere informazioni come il nome della patch, la data di installazione e il numero di versione.
2. Le date di installazione, utili per tracciare le attività di patch management nel tempo
3. Le procedure di verifica dell’efficacia delle patch per garantire che le patch installate abbiano corretto le vulnerabilità di sicurezza note nel software e nei sistemi informatici
4. Le procedure di gestione delle eccezioni: nel caso in cui, ad esempio, una patch non potesse essere installata a causa di problemi di compatibilità, le procedure dovrebbero prevedere una valutazione del rischio e la pianificazione di una soluzione alternativa per risolvere il problema

Strumenti per il Patch Management

Ad oggi, l’intero iter di gestione delle patch  è condotto in maniera automatizzata grazie all’impiego di appositi software.

Questi, infatti, sono in grado di:

• eseguire la scansione dei sistemi per identificare le vulnerabilità di sicurezza note
• suggerire le patch pertinenti per correggerle
• pianificandone al contempo gli orari d’installazione, in modo da minimizzare l’impatto sulle attività aziendali

Sempre in relazione alla conformità normativa, gli strumenti di gestione dei patch possono offrire funzionalità di reporting e analisi, che consentono alle organizzazioni di

• monitorare le attività di patch management
• valutare l’efficacia delle patch installate
• generare i relativi report

Tra gli strumenti di gestione dei patch più diffusi, possiamo citare:

• Microsoft SCCM (System Center Configuration Manager)
• Ivanti Patch Manager
• GFI LanGuard
• SolarWinds Patch Manager.

Tuttavia, è importante scegliere uno strumento che soddisfi le esigenze specifiche dell’organizzazione, tenendo conto di fattori come:

1. budget
2. complessità dei sistemi informatici
3. le esigenze di conformità normativa.

Conclusioni

Da quanto esposto, si può facilmente evincere la rilevanza di una corretta applicazione di un processo di Patch Management.

Questo può fare la differenza nel caso in cui i cyber criminali tentassero di sfruttare le debolezze dei software per entrare nei sistemi, violare le misure di sicurezza e rubare dati personali delle vittime.