A poche settimane dalla pubblicazione della prima pagina web al mondo, nell’autunno del 1991, 50 esperti di crittografia si riunirono nella sala riunioni di un piccolo hotel della California in occasione della prima conferenza RSA (RSAC). A distanza di oltre tre decenni, il web ha trasformato la società e la RSAC rappresenta il punto d’incontro principale per coloro che si battono per garantire la sicurezza di un mondo digitale in continua espansione.
L’RSAC di oggi, di dimensioni ben più ampie, rappresenta il punto di riferimento per alcuni dei più importanti annunci in materia di sicurezza informatica da parte dei governi e dei responsabili della sicurezza aziendale. Si tratta inoltre di un importante forum di discussione per gli esperti, impegnati a mantenere un passo di vantaggio rispetto agli autori degli attacchi.
La conferenza 45.000-person , che si terrà il 6-9 maggio, è di dimensioni tali da esercitare una propria forza di attrazione, richiamando numerosi eventi collaterali nelle vicinanze della sua sede presso il Moscone Center di San Francisco. Uno di questi eventi vedrà la partecipazione di Melissa Bischoping, direttrice della ricerca sulla sicurezza inform endpoint a presso Tanium, la quale illustrerà le difficoltà che le aziende devono affrontare nella gestione di un numero sempre crescente di vulnerabilità nel campo dell, e come possano far fronte a tale sfida.
Le vulnerabilità hanno raggiunto livelli altissimi. Secondo il National Vulnerability Database (NVD) dell’ del governo federale, nel 2023 sono state documentate in tutto il mondo circa 29.000 vulnerabilità e esposizioni comuni (CVE), rispetto alle sole 15 registrate nel 1991. Ciò crea un contesto informatico complesso – e semplicemente fonte di confusione – con cui i dirigenti aziendali devono confrontarsi.
Il segreto per una gestione efficace delle vulnerabilità nell’ambito dell’ , afferma Bischoping, consiste nel riconoscere sia le sfide che le opportunità inaspettate che questo panorama presenta. I recenti progressi tecnologici e l’automazione su larga scala di vi aiutano a “fare chiarezza”, dando priorità alle vulnerabilità che rappresentano la minaccia maggiore per la vostra azienda e facilitando l’adozione di strategie che potete attuare immediatamente per ridurre tale rischio. (La sua presentazione, intitolata “Approfondimenti pratici per la gestione delle vulnerabilità e dell’ Risk e con Tanium Guardian”, si terrà presso la Stinson Room del Four Seasons SF alle ore 6 maggio su 12 PT e alle ore 8 maggio su 16:15 PT.)
, di Focal Point, ha intervistato la Bischoping per conoscere il suo punto di vista sul boom dei CVE, sugli errori più comuni commessi dalle aziende e su quali dovrebbero essere le migliori pratiche.
(La seguente intervista è stata modificata per motivi di chiarezza e lunghezza.)
Negli ultimi due decenni il numero delle vulnerabilità è aumentato vertiginosamente. Perché?
La prima causa è la maggiore diffusione delle tecnologie. Vent'anni fa, non tutti avevano un cellulare in tasca, un portatile nella borsa e un server a cui connettersi in ufficio. Oggi la tecnologia è ovunque.
«. Siamo giunti al punto in cui le persone non sono più in grado di comprendere ogni singola riga di codice e di stabilire se sia sicura o meno.»
Il secondo motivo è che sempre più persone sono alla ricerca di vulnerabilità di sicurezza. I programmi di ricompensa per la segnalazione di bug e i programmi di incentivazione hanno motivato le persone oneste a individuare i bug prima che lo facciano i malintenzionati.
Infine, il software sta diventando sempre più complesso, con ulteriori livelli di dipendenze. Siamo giunti al punto in cui non è più possibile comprendere ogni singola riga di codice e stabilire se sia sicura o meno.
Quali problemi ha causato ciò alle aziende che devono tenere traccia di tutto ciò?
Tutti stanno cercando di ottenere di più con meno risorse. Non hanno spazio per assumere altro personale e non possono aumentare il proprio budget. Nel frattempo, gli strumenti di allerta e i flussi di informazioni sulle minacce sommergono gli analisti della sicurezza informatica con una quantità sempre maggiore di dati relativi alle vulnerabilità. Ricevono rapporti che elencano migliaia di vulnerabilità presenti nel loro ambiente, ciascuna con un punteggio di gravità.
In che modo i piccoli team stabiliscono le priorità su quali vulnerabilità affrontare, man mano che queste si accumulano? All’inizio della mia carriera, pensavo che bastasse risolvere i bug più gravi uno dopo l’altro. Non funziona così. Non è possibile potenziare i team composti da persone per far fronte al crescente flusso di dati relativi alle vulnerabilità.
Quali approcci comuni alla gestione delle vulnerabilità osserva che le aziende adottino e in che modo risultano carenti?
L'errore più comune consiste nel concentrarsi ciecamente sul punteggio CVSS (Common Vulnerability Scoring System) che indica la gravità del bug. I titoli dei giornali si concentrano sui punteggi elevati perché sembrano essere quelli più preoccupanti. In realtà, un punteggio CVSS pari a 10 sul portatile di un utente che si trova nel suo ufficio domestico mi preoccupa probabilmente meno di un punteggio pari a 7 sul mio server di posta accessibile al pubblico, ma il punteggio di per sé non è sufficiente a evidenziare questa differenza. Esistono punteggi CVSS inferiori che consentono comunque il verificarsi di violazioni ogni giorno.
«. Tutti cercano di fare di più con meno…» Nel frattempo, gli strumenti di allerta e i feed di intelligence sulle minacce sommergono gli analisti di sicurezza informatica con una quantità sempre maggiore di dati sulle vulnerabilità.”
Un altro errore consiste nel ritardare l’applicazione delle patch per le vulnerabilità nell’infrastruttura di rete. Tradizionalmente, non si installano agenti di monitoraggio del endpoint e su router e firewall, pertanto la visibilità è minore. Anche la rete è di importanza critica e questa scarsa tolleranza ai tempi di inattività rende gli aggiornamenti più rischiosi. Il software dei dispositivi di rete è spesso obsoleto da anni ed è soggetto a vulnerabilità davvero pericolose che vengono sfruttate da attori statali e da operatori di ransomware.
[Leggi anche: La guida essenziale alla “slow patching”: motivi, rischi e soluzioni]
Quali dovrebbero essere le migliori pratiche per la gestione delle vulnerabilità?
Il primo passo consiste nell’individuare quali vulnerabilità siano rilevanti per la vostra infrastruttura. Ciò significa dare priorità alla visibilità ricorrendo a un inventario completo delle risorse hardware e software, oltre che alla raccolta di dati telemetrici attendibili.
«Se non si gestisce la vulnerabilità, allora si deve accettare il rischio.»
Una volta individuate le risorse vulnerabili, è necessario adottare una strategia di gestione delle vulnerabilità che vada oltre i semplici punteggi di criticità, per prendere in considerazione fattori quali la probabilità di sfruttamento.
Esistono strumenti che possono aiutarvi in questo. Sono un grande sostenitore del sistema di valutazione delle previsioni sugli exploit " " (), che stima la probabilità che una vulnerabilità venga sfruttata in ambiente reale. Il catalogo delle vulnerabilità note oggetto di exploit ( ) della CISA, disponibile all’indirizzo, che elenca le vulnerabilità attivamente sfruttate, rappresenta un altro strumento utile, sebbene vi sia spesso un ritardo tra il primo exploit e la pubblicazione della vulnerabilità in tale elenco.
È inoltre necessario valutare l'impatto concreto di una vulnerabilità. Si chieda se sta affrontando le vulnerabilità che potrebbero potenzialmente causare i danni maggiori al Suo ambiente, consentendo agli aggressori di accedere ai Suoi “gioielli della corona” dell’ :.
[Leggi anche: La categoria RaaS – una guida alla difesa dagli attacchi ransomware-as-a-service]
Si rivolga ai responsabili delle unità aziendali per individuare fattori quali il costo che comporterebbe lo sfruttamento di una vulnerabilità in un determinato sistema e il tempo necessario affinché le operazioni tornino alla normalità. È così che si avvia il processo di gestione del rischio. Se non gestite la vulnerabilità, dovete accettare il rischio.
In che modo la tecnologia può essere d’aiuto?
Avete bisogno di strumenti che vi aiutino a vagliare le migliaia di vulnerabilità segnalate ogni settimana e a capire su cosa concentrare i vostri sforzi. I Suoi strumenti dovrebbero individuare preventivamente le vulnerabilità e indicarle automaticamente dove si manifesta l’impatto. Ciò significa ponderare, tramite un algoritmo, una combinazione di previsioni relative agli exploit, punteggi CVSS e livello di criticità, al fine di individuare le vulnerabilità con l’impatto più significativo sul Suo ambiente. Il Suo set di strumenti dovrebbe essere in grado di integrare tali informazioni con le informazioni sulle minacce, al fine di fornire un contesto più ampio a tali vulnerabilità.
[Leggi anche: Ecco la vostra guida all’automazione della sicurezza per i corsi 2023, 2024 e 2025…]
La tecnologia dovrebbe inoltre fornire indicazioni su come implementare le modifiche e predisporre in anticipo delle procedure operative standard per contribuire a eliminare alcune operazioni manuali. Ciò consente al Suo team di discutere con il titolare dell’azienda ciò che sta per accadere.
La tecnologia non è tutto. È inoltre utile integrare gli strumenti con l’intelligenza umana attraverso partnership che le forniscano approfondimenti affidabili da parte di esperti in materia di gestione dei rischi e delle vulnerabilità. Ciò può aiutarLa a orientarsi in un mare davvero complesso di dati e informazioni che non farà che continuare a crescere.
Scoprite altre interviste esclusive ai relatori che interverranno alla RSA Conference 2024: : “Applicare le lezioni del passato al rilevamento delle minacce all’identità guidato dall’ Intel” e in occasione dell’evento
