Vulnerability assessment: guida per le aziende di Milano
Il vulnerability assessment è un'analisi sistematica che individua, classifica e mette in ordine di priorità le vulnerabilità presenti in reti, sistemi, applicazioni e dispositivi, prima che qualcuno le sfrutti per un attacco. Non forza le difese e non causa danni: mappa i punti deboli e indica cosa correggere per primo. Per le aziende di Milano, che dipendono sempre più da gestionali, cloud e servizi online, è uno dei passi più concreti per ridurre il rischio informatico.
Cos'è un vulnerability assessment e a cosa serve
Un vulnerability assessment unisce strumenti di scansione automatica e verifica manuale. Cerca software non aggiornati, configurazioni errate, password deboli, servizi esposti senza necessità e falle nelle applicazioni web.
Il risultato è un report che elenca ciò che è stato trovato, la gravità di ogni problema e le azioni consigliate. In pratica risponde a tre domande: quali asset abbiamo, dove siamo esposti e che cosa conviene correggere per primo.
Il valore sta anche nell'inventario. Non si può proteggere ciò che non si conosce, e molte aziende scoprono con un vulnerability assessment server dimenticati, account inattivi o servizi lasciati aperti dopo un vecchio progetto.
Differenza tra vulnerabilità ed exploit
Una vulnerabilità è una debolezza: un errore di programmazione, una configurazione sbagliata o una procedura lacunosa. Un exploit è il codice o la tecnica che sfrutta quella debolezza per ottenere un risultato non previsto. Per fare un paragone, la vulnerabilità è la serratura difettosa e l'exploit è il grimaldello che la apre.
Esistono quindi vulnerabilità non sfruttate da nessuno, ma basta che un exploit diventi disponibile perché il rischio cresca rapidamente.
Come funziona un exploit informatico
Il meccanismo è quasi sempre lo stesso. L'attaccante individua un sistema con una falla nota, prepara un input o un codice che attiva il difetto e ottiene un effetto: eseguire comandi, leggere dati riservati o ottenere privilegi più alti.
Molti exploit sono automatizzati e vengono lanciati in massa contro qualsiasi sistema raggiungibile da internet. Per questo un'azienda non deve sentirsi "troppo piccola per interessare": spesso viene scelta perché è vulnerabile, non perché è famosa.
Cos'è una vulnerabilità zero day
Una vulnerabilità zero day è una falla sconosciuta al produttore, quindi priva di correzione ufficiale quando viene sfruttata. Nessuno scanner basato su vulnerabilità note può rilevarla.
Un buon vulnerability assessment non elimina questo rischio, ma lo contiene. Riduce la superficie d'attacco chiudendo i servizi inutili, aiuta a segmentare la rete e rende più semplice limitare i danni se qualcosa va storto.
Come vengono sfruttate le vulnerabilità negli attacchi reali
Nei casi di ransomware l'ingresso avviene di solito attraverso un servizio esposto e non aggiornato (accesso remoto, VPN, applicazione web), credenziali rubate o phishing. Poi l'attaccante si muove nella rete, ottiene privilegi elevati e infine cifra i dati. Spesso la porta d'ingresso è una vulnerabilità nota, con correzione già disponibile ma mai installata.
Per esempi verificati di attacchi ad aziende italiane è meglio affidarsi a fonti ufficiali, come i bollettini di CSIRT Italia e dell'Agenzia per la Cybersicurezza Nazionale o le comunicazioni del Garante per la protezione dei dati personali. Evitano ricostruzioni imprecise e mostrano schemi ricorrenti.
SQL injection: cos'è e come difendersi
La SQL injection si verifica quando un'applicazione inserisce nei comandi del database dati forniti dall'utente senza controllarli. Un attaccante può così leggere, modificare o cancellare informazioni a cui non dovrebbe accedere.
Le difese principali sono:
- usare query parametrizzate al posto della concatenazione di stringhe;
- validare e limitare i dati in ingresso;
- dare all'applicazione solo i permessi minimi necessari sul database;
- non mostrare agli utenti messaggi di errore tecnici dettagliati.
Cross-site scripting: esempi e prevenzione
Il cross-site scripting (XSS) permette di far eseguire uno script malevolo nel browser di altri utenti. Un esempio tipico è un campo commento che pubblica il testo senza filtrarlo: chi apre la pagina esegue lo script, che può rubare sessioni o reindirizzare verso siti fraudolenti.
La prevenzione passa dalla codifica dell'output, dalla validazione dei dati, da una Content Security Policy ben configurata e dall'aggiornamento di framework e librerie. Un vulnerability assessment applicativo aiuta a individuare questi difetti prima della pubblicazione o dopo modifiche importanti al sito.
Le fasi di un vulnerability assessment
Ogni fornitore ha il suo metodo, ma un vulnerability assessment ben condotto segue in genere questi passaggi:
- Definizione del perimetro: quali reti, sistemi e applicazioni rientrano nell'analisi, con autorizzazione scritta.
- Inventario degli asset: identificazione di server, dispositivi, servizi e applicazioni.
- Scansione: ricerca di vulnerabilità note e configurazioni a rischio.
- Verifica manuale: eliminazione dei falsi positivi e analisi dei casi dubbi.
- Prioritizzazione: valutazione della gravità e dell'impatto sul business.
- Report e correzioni: indicazioni chiare su cosa sistemare e in che ordine.
- Nuova verifica: controllo che i problemi siano stati davvero risolti.
Per la gravità si usa spesso il punteggio CVSS, uno standard che assegna un valore numerico alle vulnerabilità. Il numero però non basta: una falla "media" su un sistema critico esposto a internet può pesare più di una "alta" su una macchina isolata.
Vulnerability assessment e penetration test: quali differenze
I due servizi si completano, ma rispondono a esigenze diverse.
| Aspetto | Vulnerability assessment | Penetration test |
|---|---|---|
| Obiettivo | Trovare e classificare le vulnerabilità | Dimostrare se e come possono essere sfruttate |
| Approccio | Ampio, con forte componente automatica | Mirato, con forte componente manuale |
| Frequenza tipica | Periodica | Su sistemi critici o dopo cambiamenti importanti |
| Risultato | Elenco prioritizzato dei problemi | Scenario di attacco e impatto concreto |
Per molte realtà il vulnerability assessment è il punto di partenza naturale, perché offre una visione d'insieme. Il penetration test arriva dopo, per approfondire le aree più delicate.
Dal vulnerability assessment alla gestione delle vulnerabilità
Un singolo vulnerability assessment fotografa la situazione di oggi. Nuove falle emergono ogni settimana, quindi la gestione delle vulnerabilità deve essere un ciclo continuo: individuare, valutare, correggere, verificare.
Alcune buone pratiche per renderla sostenibile:
- mantenere un inventario aggiornato di sistemi e software;
- definire tempi massimi di correzione in base alla gravità;
- assegnare responsabilità precise a persone o team;
- ripetere l'analisi dopo modifiche rilevanti all'infrastruttura;
- seguire gli avvisi dei produttori e delle autorità competenti;
- testare i backup, perché restano l'ultima difesa contro i ransomware.
La frequenza giusta dipende da dimensione, settore e obblighi normativi. Se la tua organizzazione potrebbe rientrare in normative come la NIS2, verifica i requisiti con un consulente qualificato.
Quando scegli un fornitore, chiedi metodologia, gestione dei falsi positivi e struttura del report. Ricorda che ogni scansione va autorizzata per iscritto: analizzare sistemi senza permesso può avere conseguenze legali. Un approccio che integra più livelli di difesa, come quello descritto in Due prodotti. Una protezione totale, aiuta a collegare l'analisi delle vulnerabilità alla protezione quotidiana.
Conclusione
Conoscere le proprie debolezze è il primo passo per non farle scoprire a un attaccante. Un vulnerability assessment regolare, abbinato a una gestione ordinata delle correzioni, riduce le occasioni di sfruttamento da parte di exploit, ransomware e attacchi alle applicazioni web.
Se vuoi capire come costruire una protezione più solida per la tua azienda, puoi scoprire l'approccio di Fred for Security e valutare quali soluzioni si adattano alla tua realtà.
Domande frequenti
Ogni quanto va fatto un vulnerability assessment?
Non esiste una frequenza valida per tutti. In genere si esegue a intervalli regolari e dopo ogni cambiamento importante, come nuovi server, applicazioni o migrazioni al cloud. Settore, dimensione e obblighi normativi influenzano la cadenza. L'importante è che diventi un processo ricorrente e non un controllo isolato.
Un vulnerability assessment può bloccare i sistemi aziendali?
Le scansioni possono generare traffico e, in rari casi, rallentare sistemi fragili o datati. Per questo si concordano perimetro, orari e intensità dei test prima di iniziare, si autorizza l'attività per iscritto e si prevede un referente tecnico reperibile durante l'esecuzione.
Anche una piccola azienda ha bisogno di verificare le vulnerabilità?
Sì. Gli attacchi automatizzati cercano sistemi esposti e non aggiornati senza distinguere per dimensione dell'azienda. Una PMI può partire da un perimetro ridotto, ad esempio i servizi esposti su internet, il sito web e i dispositivi più critici, e ampliare l'analisi nel tempo.
Come si sceglie un fornitore per l'analisi delle vulnerabilità?
Chiedi quale metodologia usa, come gestisce i falsi positivi, che tipo di report consegna e se indica priorità e correzioni concrete. Verifica che l'attività sia regolata da un accordo scritto con perimetro e limiti chiari, e che il fornitore sia disponibile a riesaminare i risultati con il tuo team.