La Cybersecurity and Infrastructure Security Agency (CISA) sta abbandonando la pubblicazione di riepiloghi settimanali sulle vulnerabilità, riflettendo una più ampia attenzione nell’aiutare le organizzazioni a concentrarsi sulle falle con maggiori probabilità di generare un rischio operativo significativo.
Il cambiamento è in linea con le indicazioni di lunga data di CISA e di altre autorità di sicurezza: la gestione delle vulnerabilità non dovrebbe essere guidata esclusivamente dal volume dei bug divulgati di recente o dai punteggi di gravità considerati isolatamente. I difensori sono invece incoraggiati a valutare fattori quali lo sfruttamento attivo, l’esposizione dei sistemi interessati, la disponibilità di mitigazioni e il potenziale impatto aziendale di una compromissione.
Assegnare priorità alle vulnerabilità che contano
I team di sicurezza affrontano regolarmente un gran numero di divulgazioni riguardanti sistemi operativi, applicazioni, apparecchiature di rete, servizi cloud e prodotti di terze parti. Trattare ogni avviso come ugualmente urgente può consumare risorse limitate per l’applicazione di patch e per l’ingegneria, lasciando al contempo i sistemi a rischio più elevato insufficientemente protetti.
Un approccio basato sul rischio può aiutare le organizzazioni a identificare i problemi che richiedono un’azione immediata. Le vulnerabilità note per essere sfruttate, che interessano asset esposti a Internet, consentono a un attaccante di ottenere privilegi elevati o potrebbero interrompere servizi critici meritano generalmente attenzione prima di problemi meno esposti o con un impatto inferiore.
- Identificare gli asset raggiungibili da Internet o che supportano funzioni critiche.
- Monitorare se una vulnerabilità viene sfruttata o se è disponibile codice exploit pubblico affidabile.
- Considerare le conseguenze aziendali e operative di un attacco riuscito.
- Applicare patch o mitigazioni del fornitore in base al rischio prioritizzato.
- Utilizzare controlli compensativi quando non è possibile applicare immediatamente le patch.
Implicazioni per i difensori
La fine dei riepiloghi settimanali periodici non riduce la necessità per le organizzazioni di monitorare le informazioni sulle vulnerabilità. Al contrario, pone maggiore enfasi sull’integrazione di intelligence sulle minacce, dati di inventario degli asset e gestione dell’esposizione nelle decisioni relative all’applicazione delle patch.
Le organizzazioni possono inoltre trarre vantaggio dal mantenimento di procedure di escalation chiare per le vulnerabilità ad alta priorità e dalla verifica regolare del completamento delle azioni di remediation. Concentrandosi sulle vulnerabilità con maggiori probabilità di essere utilizzate in attacchi reali, i team di sicurezza possono indirizzare l’attenzione verso la riduzione del rischio pratico anziché limitarsi a ridurre il numero di problematiche aperte.