Proprio come le locuste, i bug zero-day continuano a presentarsi. L’ultima, denominata “ Spring4Shell”, è una vulnerabilità presente nel prodotto Spring di VMware ( ),
, un toolkit open source Java per lo sviluppo di applicazioni. Nessuno sa ancora quanto grave sarà questa vulnerabilità.
Come nel caso della vulnerabilità denominata “ e Log4Shell” ( ), che i ricercatori hanno reso pubblica in dicembre 2021, sarà necessario un intervento rapido e collaborativo da parte dei professionisti della sicurezza informatica e degli sviluppatori di software. Tale collaborazione sta prendendo forma.
Il nuovo exploit, reso noto all’indirizzo 31 marzo, è il secondo bug di Spring segnalato in una settimana e giunge a pochi giorni dall’annuncio di Google secondo cui il proprio browser Chrome , utilizzato da circa 3,2 miliardi di persone, presentava una vulnerabilità zero-day nel proprio motore JavaScript. Anche il browser Edge di Microsoft ha riscontrato lo stesso bug. Entrambe le società hanno rilasciato delle patch e hanno esortato gli utenti ad aggiornare tali browser il prima possibile.
I difetti del software sono risolvibili. Ma solo se applicate le patch ai vostri dispositivi. E sebbene l’applicazione delle patch possa essere di competenza dei team operativi IT, i membri del consiglio di amministrazione e i dirigenti di alto livello stanno sempre più intervenendo nel dibattito. Stanno chiedendo ai propri CISO, CIO e ad altri responsabili se dispongano di strategie adeguate per la gestione delle patch. E se così non fosse, perché no? Tali colloqui avrebbero dovuto tenersi già da tempo.
Desidera avviare una conversazione? Ecco ciò che i leader del mondo degli affari e della tecnologia devono sapere riguardo alle strategie più efficaci.
Scoprite le nozioni di base sulla gestione delle patch
Una vulnerabilità “zero-day” è la forma più pericolosa di vulnerabilità, nota agli hacker prima ancora che i produttori di software o gli utenti ne siano a conoscenza. La vulnerabilità di sicurezza “zero-day” resa nota da Google riguarda gli utenti di Chrome su Windows, macOS e Linux, nonché gli utenti del browser Edge di Microsoft. Google rileva che il livello di minaccia è elevato, ma non ha fornito ulteriori informazioni.
“Google segnala che il livello di minaccia è elevato, ma non ha fornito ulteriori informazioni.”
In situazioni come queste, i dirigenti aziendali devono ragionare come gli oncologi. Forse non comprendono appieno la natura del cancro, ma dovrebbero conoscere a fondo il trattamento.
Ciò significa comprendere le fasi necessarie per una gestione efficace delle patch. Tra queste figurano la ricerca delle patch disponibili, la definizione delle priorità in base all’importanza per l’organizzazione, nonché l’installazione, il collaudo e la documentazione delle configurazioni.
La gestione automatizzata delle patch può contribuire a semplificare tale processo, in particolare per le aziende che dispongono di centinaia, se non migliaia, di endpoint. L'automazione della sicurezza garantisce che nessuna vulnerabilità rimanga irrisolta. E questo è solo uno dei suoi numerosi vantaggi.
[Per saperne di più: Che cos’è la gestione delle patch?]
Siate pronti ad affrontare le sfide legate all’applicazione delle patch software
Lunedì, l’ 28 marzoe dell’Agenzia statunitense per la sicurezza informatica e delle infrastrutture (CISA) ha avvertito le agenzie civili federali di applicare la patch relativa alla vulnerabilità Chrome . Ha concesso loro tre settimane di tempo per farlo. Il mandato dell’ASAP non è certo una novità. A dicembre la CISA ha emanato una direttiva d’emergenza con cui imponeva alle agenzie di accelerare l’applicazione delle patch alle reti per la vulnerabilità “ ” Log4j. Log4j, un’utilità di registrazione open source, è utilizzata in milioni di applicazioni Java e il suo exploit ha suscitato grande preoccupazione, determinando un rinnovato interesse per la gestione delle patch da parte dei leader aziendali e tecnologici.
Suzanne Spaulding, a senior adviser for homeland security and director of the Defending Democratic Institutions project at the Center for Strategic and International Studies, called CISA’s patching directives “risk management 101.”
Ciò significa che l'applicazione delle patch software è fondamentale. Ma può anche rivelarsi complicato. Nell’articolo “ dicembre 2021” ( ), Endpoint ha illustrato l’importanza della rapidità in tali iniziative, gli ostacoli che si incontrano lungo il percorso e le misure da adottare per superarli. Fase uno: definire un processo completo di individuazione e inventario delle risorse .
[Leggi anche: CISA — Le agenzie federali devono correggere con urgenza Log4j vulnerabilità]
Verifichi la presenza di vulnerabilità software nella Sua catena di fornitura
Per i dirigenti del mondo degli affari e della tecnologia, ancora scossi dal bug Log4j , la notizia relativa all’ultima vulnerabilità di Spring ha suscitato una sensazione di déjà vu. Ma ciò ha anche ricordato che i soggetti terzi presenti nel Suo ecosistema di rete possono aprire una porta secondaria agli hacker.
«Probabilmente le organizzazioni contano oggi più soggetti terzi nel proprio ecosistema che mai», ha avvertito Sandy Carielli, analista principale presso Forrester, in occasione dell’evento “ ” e del “Security & Risk Forum 2021”.
Troppe organizzazioni non hanno modificato il proprio approccio alla mitigazione dei rischi legati alle tecnologie aziendali e alle terze parti. Questa situazione deve cambiare. In “ dicembre 2021” ( ), Endpoint ha analizzato in modo approfondito gli attacchi alla catena di approvvigionamento: come funzionano (è meno complicato di quanto si possa pensare), chi ne è colpito (ovvero tutti noi) e perché continuano ad avere così tanto successo. (Esistono errori comuni commessi dalle aziende e da altri soggetti che agevolano gli autori degli attacchi nel portare a termine le loro azioni illecite.)
Le notizie di questa settimana spingeranno senza dubbio molte persone a visitare il “Catalogo delle vulnerabilità note oggetto di exploit” ( ) della CISA, disponibile all’indirizzo. La CISA aggiunge nuove vulnerabilità a questo database sulla base di prove relative a uno sfruttamento attivo. Progettato e realizzato originariamente per le agenzie federali, il database costituisce un utile punto di riferimento per chiunque, e la CISA incoraggia le imprese e altri soggetti a utilizzare le informazioni ivi contenute come guida per individuare attività criminali informatiche di rilievo.
Come dimostrano i recenti titoli dei giornali — “: aggiunte otto vulnerabilità”, “: nove”, “: 32”, “: 66” — le notizie continuano a susseguirsi senza sosta.
Le consigliamo di aggiungere quella pagina del CISA ai preferiti.
