Vulnerability Assessment: analisi delle vulnerabilità per aziende

Le patch correggono difetti di sistema e vulnerabilità note dei componenti web. Sono il punto di ingresso più sfruttato negli attacchi opportunistici, perché una vulnerabilità pubblicata resta sfruttabile fino al momento in cui viene applicata la correzione. Il Vulnerability Assessment rileva le patch assenti su sistemi operativi, servizi esposti e software di terze parti, e le riporta in ordine di gravità. Sulle vulnerabilità che non possono essere corrette, per esempio su sistemi fuori supporto, indichiamo le misure di contenimento applicabili.

Un’infrastruttura cresce per stratificazione: cambiano i sistemi, cambiano le persone che li configurano, e chi interviene oggi raramente è chi ha progettato la rete. Le configurazioni ereditate sono la categoria di vulnerabilità più frequente e la meno documentata. Verifichiamo servizi esposti senza necessità, credenziali di default lasciate attive, protocolli in chiaro, accessi remoti non ristretti e permessi più ampi del necessario.

Le vulnerabilità di sistema sono la via d’accesso tipica del ransomware, insieme al furto di credenziali. Le più rilevanti riguardano i servizi raggiungibili dall’esterno e i punti di appoggio interni che permettono di muoversi in rete. Rileviamo access point non censiti, account amministrativi dimenticati, servizi di gestione remota aperti e regole di firewall permissive. Per le applicazioni web e le API il perimetro è diverso e richiede un Web Application Penetration Test.

Aggiornamenti e patch non coincidono: una versione può essere aggiornata e restare priva di correzioni di sicurezza specifiche. Il disallineamento delle versioni è ciò che rende un inventario dichiarato diverso dall’inventario reale. Rileviamo le versioni installate su dispositivi, sistemi operativi e componenti applicativi, e segnaliamo quelle non più supportate dal produttore. La verifica documentata degli aggiornamenti è tra le misure attese da GDPR e NIS2.

Uno dei più importanti problemi di sicurezza informatica rilevati nelle organizzazioni sono proprio le password deboli o le password di default dei dispositivi che spesso vengono lasciate invariate per anni. Uno degli attacchi perpetrati dai criminali informatici negli ultimi anni è brute force: sfruttando la presenza in rete di password attaccabili, gli hacker riescono a violarle e entrare in rete con diritti di amministratore.
Il nostro servizio Vulnerability Assessment le identifica tutte.

PRIMA DI COMINCIARE

Per avviare l’attività servono tre cose: un referente tecnico, l’elenco di ciò che rientra nel perimetro e l’autorizzazione formale allo svolgimento dei test.
Sui dispositivi da analizzare viene installato un agente leggero, di pochi kilobyte, che raccoglie le informazioni necessarie alla scansione senza incidere sulle prestazioni. I servizi in produzione

L’attività si articola in quattro fasi, dalla definizione del perimetro alla consegna del report. La durata complessiva è di sette giorni lavorativi dall’avvio.

Prima dei test definiamo per iscritto cosa rientra nell’analisi: indirizzi IP pubblici, sottoreti interne, applicazioni web, ambienti di test o di produzione. Definiamo anche le esclusioni e le finestre temporali, perché su alcuni sistemi il vincolo non è tecnico ma contrattuale.

Sui dispositivi in perimetro viene installato un agente leggero, di pochi kilobyte, distribuito da remoto. La scansione rileva servizi esposti, versioni installate e vulnerabilità note. Il risultato di questa fase è un elenco grezzo, che da solo non è utilizzabile.

Ogni segnalazione rilevante viene verificata a mano dai nostri analisti con tecniche di penetration test, per stabilire se sia realmente sfruttabile nel vostro contesto. È la fase che distingue l’attività da una scansione automatica.

Report su due livelli: sintesi per la direzione, dettaglio tecnico con le vulnerabilità ordinate per priorità e le indicazioni di remediation. Consegna entro sette giorni lavorativi dall’avvio.

I test sono calibrati per rispettare il funzionamento dei sistemi in produzione. L’azienda continua a lavorare durante l’attività.

Installazione degli agenti, esecuzione dei test e consegna del report avvengono online. Non serve accesso fisico alle vostre sedi in nessuna fase dell’attività.

Un Vulnerability Assessment fotografa l’esposizione in un momento preciso. Ogni rilascio, ogni nuovo dispositivo e ogni vulnerabilità pubblicata modificano quel quadro, quindi la singola analisi dice come state adesso, non come state mantenendo la sicurezza nel tempo. Per questo l’attività si può erogare come analisi singola oppure a cadenza ricorrente: nel primo caso serve una fotografia in occasione di un audit, di una richiesta di un cliente o subito dopo un incidente; nel secondo, il confronto fra un ciclo e il successivo mostra le vulnerabilità nuove, quelle risolte e quelle rimaste aperte. La ripetizione documentata delle verifiche è anche ciò che NIS2 richiede in termini di evidenza.

Il test individua le vulnerabilità note dei sistemi informatici, delle applicazioni web e dei siti web, e assegna a ciascuna un livello di gravità.

Alcuni settori, per il tipo di dati che trattano, richiedono un’attenzione particolare: se operate in ambito sanitario, abbiamo un percorso dedicato di cybersecurity per la sanità, con vulnerability assessment e penetration test pensati per ospedali, cliniche e strutture sanitarie.

Se hai sentito parlare di Vulnerability Assessment ma non hai ben chiaro quali sono i suoi benefici possiamo spiegartelo noi. Contattaci!

Il tuo IT manager insiste per effettuare un Penetration Test, conosci bene di che tipologia di servizio stiamo parlando? Sai perché potresti preferire un Vulnerability Assessment? Sappiamo spiegarti ogni cosa se ce lo chiedi.