Nel campo della sicurezza informatica, alcune vulnerabilità vanno oltre la gravità tecnica e diventano eventi che segnano il settore. Log4Shell nel 2021 è stato uno di questi. Più recentemente, le vulnerabilità raggruppate sotto il nome di PHP2Shell hanno riacceso le stesse preoccupazioni tra i team di sicurezza di tutto il mondo.
In entrambi i casi, la lezione va ben oltre il punteggio CVSS.
I professionisti della sicurezza utilizzano spesso framework come il CVSS per stabilire le priorità nelle attività di correzione, e giustamente. Tuttavia, le vulnerabilità che attirano l’attenzione a livello globale ci ricordano che il rischio non è determinato esclusivamente dalla gravità tecnica. Il vero impatto aziendale di una vulnerabilità è influenzato da una combinazione di fattori: l’ubiquità della tecnologia interessata, la facilità di sfruttamento, la disponibilità di codice pubblico di prova di concetto, l’esposizione su Internet e la velocità con cui gli autori delle minacce trasformano in armi i nuovi vettori di attacco.
Quando questi fattori convergono, le organizzazioni si trovano ad affrontare una sfida ben più grande della semplice applicazione di una patch.
Un punteggio CVSS fornisce un’importante valutazione tecnica di una vulnerabilità, ma non coglie appieno il rischio operativo.
Si considerino le domande che i responsabili della sicurezza dovrebbero porsi quando viene resa nota una vulnerabilità critica:
Le risposte a queste domande spesso forniscono una misura più accurata del rischio organizzativo rispetto al punteggio CVSS stesso.
Questo è proprio ciò che ha reso Log4Shell così dirompente. Le organizzazioni di tutto il mondo hanno avuto difficoltà non perché non comprendessero la vulnerabilità, ma perché spesso non sapevano dove fosse distribuito il componente vulnerabile. Dipendenze nascoste, software integrato, applicazioni di terze parti e inventari delle risorse incompleti hanno creato una sfida di visibilità che è persistita per settimane e, in alcuni casi, mesi.
Oggi continuiamo a osservare modelli simili ogni volta che emergono vulnerabilità altamente sfruttabili.
I framework di sicurezza spesso partono dal presupposto che le vulnerabilità critiche debbano essere risolte il più rapidamente possibile. Sebbene questo sia l’esito ideale, chiunque lavori in ambienti aziendali ne comprende le realtà pratiche.
L’applicazione di patch ai sistemi mission-critical richiede spesso:
I sistemi legacy possono complicare ulteriormente gli sforzi di correzione. In alcuni casi, le patch potrebbero non essere nemmeno immediatamente disponibili.
Il risultato è una situazione comune e scomoda: la vulnerabilità è nota, lo sfruttamento è possibile, ma la correzione non può avvenire immediatamente.
A questo punto, la maturità organizzativa diventa il fattore decisivo.
Quando non è possibile intervenire immediatamente, le organizzazioni hanno bisogno di controlli alternativi che riducano l’esposizione e rallentino gli aggressori.
È qui che una solida strategia di sicurezza dimostra il proprio valore.
Un’organizzazione resiliente dovrebbe essere in grado di:
Le organizzazioni non possono proteggere risorse di cui ignorano l’esistenza.
Funzionalità complete di gestione delle risorse e di inventario del software forniscono la visibilità necessaria per determinare rapidamente l’esposizione quando emerge una vulnerabilità di alto profilo.
La capacità di rispondere alla domanda "Siamo stati colpiti?" nel giro di poche ore anziché di giorni può ridurre significativamente il rischio aziendale.
Una strategia di difesa in profondità può ridurre significativamente la probabilità che uno sfruttamento abbia successo prima che venga implementata una correzione definitiva.
Tra gli esempi figurano:
Questi controlli non possono eliminare la vulnerabilità, ma possono ridurre drasticamente le possibilità che l'autore dell'attacco la sfrutti.
Le organizzazioni dovrebbero partire dal presupposto che i tentativi di sfruttamento da parte del pubblico inizieranno poco dopo la divulgazione.
Per questo motivo, i team di sicurezza devono sviluppare rapidamente:
Il rilevamento precoce può fare la differenza tra il blocco di un tentativo di intrusione e la risposta a un grave incidente di sicurezza.
Due metriche assumono particolare importanza durante eventi di vulnerabilità su larga scala:
Tempo medio di rilevamento (MTTD)
e
Tempo medio di risposta (MTTR)
Quanto più rapidamente un'organizzazione è in grado di identificare attività sospette e avviare procedure di contenimento, tanto minore sarà il potenziale impatto.
In molti incidenti, il danno più significativo si verifica nelle prime ore successive allo sfruttamento della vulnerabilità. Ridurre i tempi di risposta limita direttamente il tempo di permanenza dell’autore dell’attacco e le potenziali interruzioni dell’attività aziendale.
L’importanza della preparazione agli incidenti
Una delle lezioni più preziose tratte da Log4Shell non è stata di natura tecnica, ma operativa.
Le organizzazioni dotate di piani di risposta agli incidenti ben definiti, procedure collaudate e processi decisionali chiari sono state in grado di reagire in modo molto più efficace rispetto a quelle che hanno cercato di elaborare procedure durante la crisi.
Essere preparati significa disporre di:
La prossima grave vulnerabilità non darà preavviso. È necessario essere già preparati.
La prossima vulnerabilità critica è inevitabile.
Che si chiami Log4Shell, PHP2Shell o qualcosa di completamente diverso, le organizzazioni continueranno ad affrontare minacce in rapida evoluzione che mettono alla prova la loro capacità di risposta.
Le organizzazioni più resilienti non sono necessariamente quelle in grado di applicare immediatamente le patch a ogni sistema. Sono invece quelle che comprendono il proprio ambiente, monitorano costantemente le minacce, implementano controlli compensativi efficaci e reagiscono con decisione quando si verificano incidenti.
La domanda non è se la prossima grave vulnerabilità si presenterà.
La domanda è se la vostra organizzazione sia pronta a contenerne l’impatto quando si presenterà.
Noi di Integrity360 comprendiamo che la gestione delle vulnerabilità non si limita più all’applicazione delle patch. Si tratta di gestire il rischio durante l’intero ciclo di vita di un evento di sicurezza.
Attraverso servizi quali:
Aiutiamo le organizzazioni a rafforzare il proprio livello di sicurezza, a migliorare la visibilità in tutti i loro ambienti e a ridurre significativamente i tempi di rilevamento e contenimento.
Quando non è possibile intervenire immediatamente, il nostro obiettivo è garantire che le organizzazioni dispongano della visibilità, del monitoraggio e delle capacità di risposta necessarie per limitare il successo degli attacchi e mantenere la resilienza operativa.