Vulnerability Assessment

Cos'è

Un vulnerability assessment è un'analisi sistematica, tipicamente automatizzata con strumenti dedicati (scanner di rete, scanner applicativi, controlli di configurazione), che individua e classifica le vulnerabilità note su sistemi, applicazioni e reti: software non aggiornato, configurazioni deboli, servizi esposti senza necessità, certificati scaduti, credenziali di default mai cambiate. Ogni vulnerabilità trovata viene di norma associata a un identificativo CVE pubblico e a un punteggio di gravità CVSS, così da poter dare priorità a ciò che va corretto per primo invece di affrontare la lista in ordine casuale. A differenza di un penetration test, non tenta di sfruttare attivamente le falle trovate — non cerca di "entrare" — ma produce una fotografia oggettiva di dove sei esposto, con un livello di gravità per ciascun problema. La guida OWASP alla gestione delle vulnerabilità descrive bene questo primo passaggio come base di qualunque processo strutturato, non come attività isolata.

Perché conta

È il primo passo, quasi sempre trascurato, di qualunque percorso di sicurezza serio: non puoi proteggere quello che non sai di avere esposto, e nella mia esperienza la sorpresa più comune al primo scan non è una vulnerabilità esotica, è un servizio che qualcuno ha esposto su internet anni fa per un test e poi si è dimenticato di richiudere. Gran parte degli incidenti ransomware che ho visto analizzare a posteriori partono da una vulnerabilità nota, con patch disponibile da mesi, su un sistema che nessuno controllava più regolarmente — non da un attacco sofisticato. Nelle specifiche di base ACN per la NIS2 compare esplicitamente come misura di gestione delle vulnerabilità, con l'aspettativa che non sia un evento una tantum ma un processo periodico, integrato con la gestione delle patch: fare un assessment e poi non richiudere nulla di quello che emerge è, di fatto, uno spreco di budget.

Cosa scansiono per primo, e come uso i risultati

Il perimetro esposto su internet viene sempre prima: server web, VPN, RDP se ancora esposto (e spero di no), portali di posta. È lì che un attaccante opportunista guarda per primo, quindi è lì che il rischio reale è più alto anche a parità di gravità tecnica del singolo bug. Sulla rete interna preferisco scansioni autenticate, con credenziali reali, perché uno scan "alla cieca" da fuori vede solo una frazione dei problemi effettivi — spesso meno della metà. Il risultato grezzo di uno scanner, però, è quasi sempre da rivedere a mano prima di passarlo a chi deve intervenire: un CVSS alto su un sistema isolato senza dati sensibili pesa meno di un CVSS medio su un server che espone l'ERP aziendale, e questa distinzione va fatta da una persona, non dallo strumento.

// Nota pratica

Un assessment fatto una volta e mai ripetuto vale poco: l'infrastruttura cambia, nuove vulnerabilità vengono scoperte ogni settimana. La cadenza giusta dipende dal profilo di rischio, ma per sistemi esposti su internet una scansione periodica (mensile o più frequente) è lo standard minimo ragionevole.