Nota della redazione: Il presente articolo, scritto da Julia Grunewald, Senior Director, Product Management presso l’ Tanium , è stato originariamente pubblicato su su SC Media.
La gestione dell’esposizione si è affermata come una valida alternativa alla gestione tradizionale delle vulnerabilità, e ciò per una buona ragione. Un approccio alla sicurezza proattivo e sempre attivo, che identifica costantemente le vulnerabilità di un’organizzazione e le classifica in ordine di priorità in base al rischio, ci aiuta a capire dove concentrare al meglio le nostre risorse limitate.
Eppure, ci troviamo già alle soglie della prossima fase di maturità della gestione dell’esposizione all’ , guidata da interventi correttivi tempestivi e automatizzati. Si introduce quindi un approccio alla gestione dell’esposizione che privilegia la bonifica.
Cosa significa in realtà “priorità alla bonifica”?
Molti programmi di gestione dell’esposizione partono dalla visibilità. Essi individuano vulnerabilità, configurazioni errate e altri rischi. Successivamente, stabiliscono l’ordine di priorità di tali rischi e li comunicano ai team incaricati di porvi rimedio. Tuttavia, questo processo presenta alcuni svantaggi: i team operativi potrebbero non sapere come risolvere ogni singolo rischio e, in alcuni casi, potrebbero essere già state programmate delle azioni correttive, il che comporta un aumento dei tempi e della frustrazione nel processo di risoluzione.
E se invertissimo questo processo? Partendo dalle azioni correttive, quali patch o aggiornamenti delle applicazioni, raggruppate in base alle vulnerabilità che risolvono, possiamo redigere rapidamente una lista di controllo delle misure da adottare, da condividere tra i team di sicurezza e quelli operativi, al fine di ottenere una riduzione dei rischi semplice e coordinata. Integrando elementi contestuali quali i programmi di applicazione delle patch esistenti e la sicurezza delle patch, possiamo prendere decisioni sicure e basate sul rischio riguardo alle azioni da intraprendere per prime, eliminando la necessità di esaminare riga per riga un foglio di calcolo contenente i risultati.
Utilizzo della visibilità per quantificare la riduzione del rischio
Per trasformare in realtà la visione incentrata sulla bonifica sono necessari alcuni elementi fondamentali, a cominciare da una visione unitaria del rischio. Cercare di farsi un’idea dell’esposizione al rischio utilizzando diversi strumenti e mettendo in correlazione dati provenienti da strumenti e fogli di calcolo disparati causerà frustrazione e porterà a decisioni basate su dati incompleti. Tra le sfide poste da questo approccio figurano:
- L'utilizzo di strumenti diversi comporta la perdita del contesto quando si passa da uno all'altro, e ciascuno di essi ha un proprio metodo di definizione delle priorità.
- Non è stata fornita una quantificazione chiara della riduzione del rischio derivante da un intervento di bonifica.
- Reporting L'utilizzo di strumenti eterogenei è un’operazione manuale, che richiede molto tempo ed è soggetta a errori.
- L'utilizzo di strumenti diversi può comportare l'esistenza di più fonti di verità e potenziali lacune.
- Difficoltà nel valutare l’impatto delle patch sul profilo di rischio complessivo.
- Proliferazione degli strumenti, debito di integrazione e affaticamento da avvisi.
Quasi 50.000 CVE segnalati lo scorso anno non fa che aggravare tali difficoltà. E le vulnerabilità CVE non sono gli unici rischi di cui i team devono preoccuparsi. Oltre a comprendere i dati relativi alle vulnerabilità, per ottenere un quadro completo dei rischi è necessario disporre di un flusso continuo di informazioni aggiornate sulla superficie di attacco esterna, sui certificati non sicuri TLS/SSL , sulle configurazioni errate, sui container non autorizzati e su ulteriori elementi contestuali quali il rischio di movimento laterale e la criticità delle risorse. Abbiamo bisogno che tutto sia raccolto in un unico luogo consolidato, considerato come la fonte autorevole, con percorsi chiari tra i rischi individuati e le azioni correttive.
Promuovere l’azione grazie a un sistema affidabile di valutazione del rischio
Successivamente, occorre prendere in considerazione un’accurata valutazione del rischio. I sistemi di valutazione standard del settore, come il Common Vulnerability Scoring System (CVSS), rappresentano un punto di partenza, ma la definizione delle priorità nel mondo reale richiede molto di più. La combinazione del CVSS con la criticità delle risorse, il grado di maturità degli exploit e le informazioni di intelligence, nonché il rischio di movimento laterale, ci consente di concentrarci sulle vulnerabilità che rivestono maggiore importanza in questo momento. Il sistema di valutazione unificato consente di:
- Identificazione immediata delle esposizioni ad alto impatto.
- Collegamento diretto ai flussi di lavoro di correzione che includono l’applicazione di patch, l’applicazione delle configurazioni e gli aggiornamenti delle applicazioni.
- Una definizione accurata delle priorità basata sul contesto, non solo sulla gravità teorica.
Molti strumenti di gestione delle vulnerabilità si concentrano sulla definizione dell’ambito, sull’individuazione e sulla definizione delle priorità. Con un approccio alla gestione delle vulnerabilità incentrato sulla correzione, i rischi considerati prioritari vengono collegati direttamente agli strumenti di correzione integrati nel prodotto, tra cui l’applicazione di patch, gli aggiornamenti delle applicazioni, le correzioni dei certificati e le modifiche alla configurazione. Questo stretto legame tra il punteggio e l’azione accelera la riduzione del rischio e garantisce che le esposizioni individuate vengano effettivamente risolte.
In che modo l’intelligenza artificiale può essere d’aiuto
Le funzionalità emergenti, quali i suggerimenti basati sull’intelligenza artificiale e i flussi di lavoro automatizzati per la correzione delle vulnerabilità, promettono di risolvere molte delle sfide di lunga data legate alla gestione delle vulnerabilità. Ci consentono di personalizzare i nostri piani di rimedio in modo che siano adattabili a diversi contesti, requisiti di conformità e vincoli operativi. È possibile automatizzare l’applicazione delle patch, gli aggiornamenti delle applicazioni, l’applicazione proattiva delle politiche e altri controlli, a seconda di ciò che risulta più appropriato per il tipo di risorsa e di vulnerabilità.
La gestione dell’esposizione deve estendersi anche a un numero sempre crescente di risorse esterne: la tecnologia operativa (OT), l’Internet delle cose (IoT) e i carichi di lavoro nel cloud. Anche in questo caso valgono le stesse valutazioni relative alla criticità delle risorse, al rischio di spostamento laterale e alle informazioni sulle minacce. Data la portata così vasta degli endpoint, l’automazione basata sull’intelligenza artificiale può aiutarci a gestire al meglio il nostro ambiente tecnologico. È in grado di aggiornare i sistemi operativi e le applicazioni, Enforce e/o le politiche di aggiornamento prima di convalidare le azioni correttive, nonché di eseguire una nuova scansione dell’infrastruttura e generare report.
I flussi di lavoro di bonifica possono avvalersi dell’intelligenza artificiale per supportare l’intero ciclo di vita nei seguenti cinque modi:
- Regolare automaticamente il livello di criticità delle risorse quando un sistema viene esposto all’esterno.
- Generare piani di patch più efficaci in base al contesto di esposizione.
- Aggiornamento : sistemi operativi, applicazioni e criteri nell’ambito della correzione automatizzata.
- Convalidare le azioni correttive relative ae , la nuova scansione e la generazione dei report come processi continui a ciclo chiuso.
- Riducete il rischio legato a “” e “ ” in ambienti moderni e eterogenei con la rapidità richiesta
L’approccio alla gestione delle vulnerabilità incentrato sulla correzione dà priorità alla risoluzione immediata delle falle di sicurezza non appena vengono individuate, anziché limitarsi alla valutazione o alla segnalazione. Una piattaforma completa per la gestione delle vulnerabilità, che pone come principio fondamentale la correzione automatizzata, combina l’individuazione continua delle vulnerabilità e la valutazione del rischio con flussi di lavoro integrati e automatizzati per la correzione.
Questo approccio ci consente di ridurre costantemente la superficie di attacco, il che significa ridurre il rischio di costose violazioni informatiche e le opportunità a disposizione degli aggressori, migliorando al contempo la resilienza. Per questi motivi, chiunque miri a migliorare la propria gestione dei rischi informatici e il raggiungimento degli obiettivi di conformità, nonché a rafforzare il livello complessivo di sicurezza della propria organizzazione, dovrebbe riorientare la propria gestione delle vulnerabilità ponendo l’accento sulle misure correttive.