Cos'è una vulnerabilità zero day: guida per le aziende
Cos'è una vulnerabilità zero day? È un difetto di sicurezza in un software o in un dispositivo che il produttore non conosce ancora, oppure conosce ma non ha ancora corretto, e che un attaccante può già sfruttare. Il nome deriva dal fatto che chi deve difendersi ha "zero giorni" per prepararsi. Per questo è una delle minacce più difficili da gestire.
Cos'è una vulnerabilità zero day, in parole semplici
Ogni software contiene errori di programmazione. Molti sono innocui, ma alcuni permettono di fare ciò che non dovrebbe essere consentito: eseguire comandi, leggere dati riservati o ottenere permessi più alti.
Si parla di zero day quando uno di questi errori è sfruttabile e non esiste ancora una patch, cioè un aggiornamento ufficiale che lo risolva. In quella finestra di tempo i sistemi vulnerabili sono esposti, anche se aziende e utenti fanno tutto correttamente.
Perché si chiama "zero day"
L'espressione indica che il produttore ha avuto zero giorni per rimediare prima che il problema venisse usato in un attacco. Non significa che la falla sia "nuova" in senso assoluto: può esistere nel codice da molto tempo senza che nessuno l'abbia notata.
Vulnerabilità, exploit e attacco zero day
Nel linguaggio comune questi termini si confondono. In realtà indicano tre cose diverse:
- Vulnerabilità zero day: il difetto non ancora corretto.
- Exploit zero day: il codice o la tecnica che sfrutta quel difetto.
- Attacco zero day: l'uso concreto dell'exploit contro un bersaglio reale.
Differenza tra vulnerabilità ed exploit
La vulnerabilità è la debolezza; l'exploit è lo strumento che la trasforma in un'intrusione. Un difetto può esistere per anni senza che nessuno scriva un exploit, e quindi senza produrre danni. Il rischio concreto nasce quando le due cose si incontrano e l'attaccante trova un sistema raggiungibile.
Nel caso dello zero day questo incontro avviene prima che esista una difesa ufficiale. Se vuoi approfondire il meccanismo generale, trovi una panoramica nella guida su vulnerabilità informatiche e come vengono sfruttate.
Come vengono sfruttate le vulnerabilità zero day
Gli attaccanti usano uno zero day soprattutto per ottenere il primo accesso a una rete. Da lì il percorso è spesso simile a quello di altri attacchi: consolidare la presenza, muoversi tra i sistemi e raggiungere i dati o i servizi critici.
Le fasi tipiche possono includere:
- Accesso iniziale: l'exploit colpisce un servizio raggiungibile da internet, per esempio un portale, un gateway o un server di posta.
- Esecuzione di codice: in molti casi la falla consente di lanciare comandi da remoto sul sistema.
- Privilege escalation: l'attaccante cerca di ottenere permessi amministrativi per avere controllo più ampio.
- Movimento laterale: si spostano da un sistema all'altro cercando credenziali e dati.
- Obiettivo finale: furto di dati, interruzione dei servizi o cifratura dei file.
Proprio l'ultima fase mostra il legame con i ransomware. Questi gruppi sfruttano vulnerabilità, anche zero day quando disponibili, per entrare, e solo dopo cifrano i sistemi e chiedono un riscatto. La falla è la porta d'ingresso, non l'attacco completo.
Quali sistemi sono più esposti
I bersagli preferiti sono i sistemi raggiungibili dall'esterno e molto diffusi: VPN, firewall, piattaforme di posta, gestionali web, CMS e componenti software usati da molte applicazioni. Più un prodotto è diffuso, più vale la pena investire per trovarne le falle.
Anche le vulnerabilità web classiche, come SQL injection o cross site scripting, possono diventare zero day se riguardano un prodotto specifico e non sono ancora note o corrette. Una realtà milanese con servizi esposti online, fornitori software e smart working ha quindi una superficie d'attacco ampia da conoscere.
Zero day, CVE e CVSS: come orientarsi
Quando una vulnerabilità diventa pubblica, di solito riceve un identificativo CVE (Common Vulnerabilities and Exposures). È un codice univoco che permette a produttori, aziende e professionisti di parlare dello stesso problema senza ambiguità. Uno zero day spesso non ha ancora un CVE quando viene usato per la prima volta: l'identificativo e le informazioni arrivano in genere dopo la scoperta e la segnalazione.
Il punteggio CVSS misura invece la gravità tecnica di una vulnerabilità su una scala da 0 a 10. I valori più alti indicano un impatto potenzialmente maggiore, ma il numero va letto con attenzione:
- Vettore di attacco: la falla è sfruttabile da remoto o serve un accesso locale?
- Privilegi richiesti: l'attaccante deve già avere un account?
- Interazione dell'utente: serve che qualcuno clicchi o apra un file?
- Impatto: quanto sono compromessi riservatezza, integrità e disponibilità?
Un punteggio alto non equivale automaticamente a un rischio alto per la tua azienda. Conta anche se il software è presente nei tuoi sistemi, se è esposto su internet e quanto è critico per il business. Per i dettagli di ogni vulnerabilità conviene consultare le schede ufficiali del produttore e i database pubblici dei CVE.
Come ridurre il rischio di un attacco zero day
Non puoi correggere ciò che nessuno conosce, ma puoi rendere più difficile e meno dannoso lo sfruttamento. L'obiettivo è ridurre la superficie d'attacco e accorgerti in fretta di comportamenti anomali.
- Inventario dei sistemi: sapere quali software, versioni e servizi esposti hai è il punto di partenza.
- Aggiornamenti tempestivi: quando arriva la patch, installarla rapidamente riduce molto la finestra di rischio.
- Segmentazione della rete: separare i sistemi limita i movimenti dell'attaccante dopo l'ingresso.
- Privilegi minimi: account con soli permessi necessari rendono più difficile la privilege escalation.
- Monitoraggio e log: strumenti di rilevamento comportamentale aiutano a notare attività insolite.
- Backup isolati e testati: riducono l'impatto di un eventuale ransomware.
- Riduzione dell'esposizione: chiudere servizi non necessari esposti su internet toglie bersagli.
Un processo strutturato aiuta a non improvvisare: la guida alla gestione delle vulnerabilità spiega come organizzare identificazione, priorità e correzione. Un vulnerability assessment periodico aiuta a individuare ciò che è già noto, mentre un pentest mostra come un attaccante potrebbe concatenare debolezze diverse e muoversi nei tuoi sistemi.
Cosa fare se sospetti un attacco zero day
Un attacco di questo tipo non si riconosce sempre subito. Segnali come traffico insolito, accessi anomali, processi sconosciuti o servizi che si comportano in modo strano meritano attenzione immediata.
- Isola i sistemi sospetti dalla rete, senza spegnerli se possibile, per non perdere tracce utili.
- Conserva log e prove prima di qualsiasi ripristino.
- Consulta le comunicazioni del produttore per eventuali avvisi, mitigazioni temporanee o patch.
- Cambia le credenziali potenzialmente esposte, partendo dagli account privilegiati.
- Coinvolgi specialisti di sicurezza per analisi e risposta, e verifica con un consulente quali obblighi di notifica si applicano alla tua situazione.
Conclusione
Capire cos'è una vulnerabilità zero day aiuta a impostare le difese nel modo giusto: non esiste protezione assoluta, ma esistono visibilità sui sistemi, aggiornamenti rapidi, privilegi limitati e capacità di rilevare anomalie. Una buona preparazione riduce sia la probabilità sia l'impatto di un attacco.
Se vuoi capire quanto è esposta la tua azienda a Milano e dove intervenire per primo, puoi partire da una valutazione delle vulnerabilità e da un confronto con gli esperti di Fred for Security, per definire un percorso adatto al tuo contesto.
Domande frequenti
Un antivirus può bloccare un attacco zero day?
Non sempre. Un antivirus basato solo su firme note non riconosce una minaccia nuova. Le soluzioni con analisi comportamentale, come EDR, possono individuare attività sospette anche senza firma specifica. Nessuno strumento da solo garantisce protezione completa: servono più livelli di difesa, aggiornamenti e monitoraggio.
Quanto dura una vulnerabilità zero day?
Non esiste una durata fissa. La vulnerabilità resta zero day finché il produttore non rilascia una correzione. Può passare molto tempo prima della scoperta e poi un intervallo variabile fino alla patch. Dopo la correzione il rischio resta, se l'azienda non la installa tempestivamente.
Le piccole aziende sono bersaglio di attacchi zero day?
Possono esserlo, soprattutto in modo indiretto. Molti attacchi colpiscono software diffusi, non una specifica azienda, e cercano sistemi esposti su internet in modo automatico. Anche una PMI che usa quel software può quindi essere coinvolta, indipendentemente dalle sue dimensioni.
Come si scopre una vulnerabilità zero day?
Può essere scoperta da ricercatori di sicurezza, dagli stessi produttori o da attaccanti. Nel primo caso di solito segue una segnalazione responsabile al produttore. Nel secondo, spesso emerge solo quando si osserva un attacco reale, analizzando log, traffico anomalo e comportamenti inattesi dei sistemi.