Ogni settimana vengono pubblicate nuove vulnerabilità in software e apparati molto diffusi, come quelle di Ivanti e Windows di metà ottobre. La domanda per un'azienda è semplice: i miei sistemi ne hanno qualcuna aperta? Il vulnerability assessment serve a rispondere, con un elenco preciso e ordinato per gravità.
Cos'è
È un'analisi, in buona parte automatizzata e poi verificata da un tecnico, che confronta i sistemi dell'azienda con le vulnerabilità note: versioni non aggiornate, configurazioni deboli, servizi esposti senza motivo. Non sfrutta le falle trovate: le individua e le classifica.
Si distingue dal penetration test, in cui un tecnico prova attivamente a entrare come farebbe un attaccante. Per una PMI il vulnerability assessment è di solito il primo passo; il penetration test arriva dopo, su obiettivi mirati.
Cosa include
- Perimetro esterno: tutto ciò che è visibile da Internet, come firewall, VPN, posta, siti e servizi pubblicati.
- Rete interna: server, PC, NAS, stampanti e apparati di rete.
- Applicazioni web, quando l'azienda ne gestisce di proprie.
- Report con le vulnerabilità ordinate per gravità, le priorità di intervento e le azioni consigliate.
- Verifica finale dopo le correzioni, per confermare che le falle siano state chiuse.
Prima di iniziare serve sempre un'autorizzazione scritta dell'azienda, con il perimetro e i tempi dell'analisi.
Come si legge il report
Un buon report non è un elenco di centinaia di righe tecniche. Deve dire cosa conta davvero: quali falle sono critiche e sfruttate attivamente, quali sistemi sono più esposti, cosa fare prima. Puoi vedere un esempio nel nostro report di esempio.
Ogni quanto farlo
- Almeno una volta l'anno per tutta l'infrastruttura.
- Più spesso sul perimetro esterno, idealmente ogni trimestre o in modo continuo: è la parte che gli attaccanti analizzano ogni giorno.
- Dopo ogni cambiamento importante: nuovo firewall, nuovi server, nuovi servizi pubblicati.
- Quando un cliente o un'assicurazione lo chiede, sempre più spesso anche per effetto della NIS2 sui fornitori.
In sintesi
Il vulnerability assessment trasforma una domanda vaga, "siamo sicuri?", in un elenco concreto di cose da sistemare, in ordine di importanza. Ripetuto nel tempo, mostra i progressi e fornisce le evidenze che clienti e assicurazioni chiedono.