Ogni settimana i produttori pubblicano decine di avvisi di sicurezza. Chi gestisce una piccola rete, con un firewall, un NAS, qualche switch e un paio di server, non ha il tempo di installare ogni aggiornamento il giorno stesso. La domanda vera non è "cosa è vulnerabile?" ma "cosa devo correggere per primo?".
In questa guida vediamo un metodo in tre domande, lo stesso che usiamo su PatchRadar per ordinare gli avvisi.
1. È già sfruttata?
È la domanda più importante. Una vulnerabilità che gli attaccanti stanno già usando è un pericolo concreto, non teorico: spesso esistono strumenti automatici che cercano i dispositivi vulnerabili su tutta Internet.
Il riferimento più usato è il catalogo Known Exploited Vulnerabilities (KEV) di CISA, l'agenzia statunitense per la cybersicurezza. Contiene solo vulnerabilità per cui ci sono prove di sfruttamento reale e, per ognuna, una scadenza entro cui le agenzie federali USA devono correggerla. Non vale per le aziende italiane, ma è un ottimo metro: se CISA dà due o tre settimane di tempo a un'agenzia governativa, non conviene prendersene di più.
Esistono anche stime statistiche come EPSS (Exploit Prediction Scoring System, del FIRST), che calcola la probabilità che una vulnerabilità venga sfruttata nei 30 giorni successivi. È utile quando gli avvisi sono tanti, ma una vulnerabilità già sfruttata viene comunque prima di una "probabilmente sfruttabile".
2. Il dispositivo è raggiungibile da Internet?
La stessa vulnerabilità ha un peso molto diverso a seconda di dove si trova il dispositivo:
| Dove si trova | Esempi | Priorità |
|---|---|---|
| Esposto su Internet | VPN SSL, portale di accesso remoto, interfaccia di gestione del firewall, NAS con porta aperta | Massima |
| Raggiungibile da molti utenti interni | Server di posta, gestionale, controller Wi‑Fi | Alta |
| Isolato in una rete di gestione | Switch e apparati raggiungibili solo da una VLAN dedicata | Normale |
La maggior parte degli attacchi riusciti a firewall e NAS degli ultimi anni ha colpito proprio interfacce di gestione e VPN esposte su Internet. Ridurre l'esposizione è quindi una protezione che vale anche per le vulnerabilità di domani.
3. Quanto è grave secondo il CVSS?
Il punteggio CVSS (da 0 a 10) misura la gravità tecnica di una vulnerabilità: quanto è facile da sfruttare e quanto danno può fare. Le fasce usate nella versione 3 sono:
- Critica: da 9,0 a 10
- Alta: da 7,0 a 8,9
- Media: da 4,0 a 6,9
- Bassa: da 0,1 a 3,9
Il CVSS è utile per ordinare gli avvisi, ma da solo inganna: misura la gravità "in astratto", non il rischio per la tua rete. Una vulnerabilità media già sfruttata su una VPN esposta è più urgente di una critica su un servizio che non usi o che non è raggiungibile.
Mettere tutto insieme
Unendo le tre risposte si ottiene un ordine semplice:
- Sfruttata ed esposta su Internet: si corregge subito, anche fuori orario. Se l'aggiornamento non è disponibile, si applicano le mitigazioni del produttore o si spegne temporaneamente il servizio.
- Sfruttata ma interna, oppure critica ed esposta: entro pochi giorni.
- Alta o critica su sistemi interni: nel prossimo ciclo di manutenzione programmata.
- Tutto il resto: con gli aggiornamenti periodici.
Come ti aiuta PatchRadar
Nella pagina Tutti gli avvisi puoi filtrare per produttore, prodotto e versione e ordinare per Priorità: prima le vulnerabilità sfruttate, poi per gravità e data. Con gli avvisi via email ricevi un messaggio solo quando esce qualcosa per i prodotti che usi davvero.