Vulnerability Assessment: introduzione e spiegazione

Vulnerability Assessment

Un Vulnerability Assessment è qualcosa di necessario che permette al cliente o l’utente di avere un quadro completo della situazione. Ti permette di venire a conoscenza dello stato dell’esposizione dei tuoi sistemi alle vulnerabilità. Come fare per effettuarne uno? Molto semplice. Sono disponibili molti strumenti automatizzati. Questi tools effettuano controlli approfonditi su ogni sistema o applicazione e riconoscono le vulnerabilità presenti. Un altro aspetto importante da considerare è la velocità di scansione. La velocità di questi tools rende possibile la scansione di un perimetro molto ampio in un periodo di tempo relativamente breve, fornendo inoltre un buon livello di dettaglio.

Vulnerability Assessment: di cosa si tratta?

Dopo questa breve introduzione possiamo iniziare a dare una breve definizione di VA. Si tratta di un’analisi di sicurezza che ha l’obiettivo di identificare tutti le vulnerabilità potenziali dei sistemi e delle applicazioni. Come? Spottando e valutando il danno potenziale che l’eventuale “attaccante” può infliggere all’unità produttiva. Personale altamente qualificato, in un secondo momento, integra e verifica i risultati attraverso una meticolosa attività manuale. Queste attività hanno lo scopo di rifinire la ricerca evidenziando eventuali errori commessi durante il processo. Uno degli aspetti chiave di questa tipologia di analisi è l’isolamento tempestivo delle vulnerabilità reali. Uno strumento buono di Vulnerability Assessment permette all’utente di avere un’overview aggiornata del livello di sicurezza degli asset IT. Ovviamente, questo è il punto di partenza per ottimizzare tutti gli sforzi di security management.

Vulnerability Assessment: i must have

In modo da avere un tool che possa rispondere a tutti i corporate needs in un modo esaustivo e completo, c’è una serie di must-haves:

  • Deve riconoscere ed identificare un ampio numero di differenti vulnerabilità come l’SQL injection, il Cross-site Scripting, e molte altre…
  • Compliance. Questo è un fattore chiave ( infografica GDPR ) per evitare sanzioni salate e perdita di reputazione.
  • Una grande usabilità. Deve essere chiaro ed accessibile. Per essere chiari, se dovessi ritrovarti il più dettagliato dei report ma organizzato in maniera confusionaria, questo sarebbe quasi inutile. E’ necessaria un’esposizione chiara delle informazioni, combinata ad una buona profondità dello scan.
  • Connesso al punto precedente, due report differenti sarebbero l’ideale. I dati devono essere chiaramente esposti sia per il top management che per gli addetti IT che possono concentrare la loro attenzione sui punti fondamentali.

Vulnerability Assessment: informazioni dettagliate

Gli insights che la valutazione fornisce – come accennato brevemente in precedenza – dovrebbero essere i più dettagliati possibile. Ci sono alcuni punti chiave e aree di focus che necessitano di maggiore attenzione in modo da avere una visione chiara. Inoltre, queste tematiche sono estremamente importanti e necessitano di uno sforzo extra di analisi. Possiamo fare un breve sommario di queste categorie:

  1. Divisione delle vulnerabilità in base al loro rischio effettivo (Alto, Medio, Basso, per esempio…)
  2. Le aree strategiche colpite da queste vulnerabilità (Confidenzialità, Controllo degli accessi,…)
  3. La probabilità che le mie vulnerabilità vengano sfruttate da terzi nei loro attacchi. Quanto è alta questa possibilità? Che danno possono provocare alla mia compagnia? Una lista di priorità, in questo caso, è necessaria per capire dove concentrare maggiormente le proprie risorse.
  4. Uno storico degli assessment precedenti per avere una continuità di risultati.
  5. Informazioni dettagliate.

Inizia il tuo Free trial!

in collaboration with
CISCO

Vulnerability Scanner in un mondo vulnerabile

Esiste una certezza inconfutabile al giorno d’oggi, ossia quella di vivere in un mondo estremamente vulnerabile dove è l’imperversare dei CyberCriminali a farla da padrone.

I costi di questo Cyber Crime saranno sempre più elevati e, stando a stime attendibili, si arriverà a toccare il tetto dei 6 trilioni di dollari annui da qui a 3 anni.

Il rischio dovuto al CyberCrime viene brillantemente illustrato nel Global Risk 2017 Report, redatto dal World Economic Forum. Questo rischio specifico si posiziona:

  • Al terzo e quarto posto per quanto riguarda la probabilità. Secondo solo ai rischi climatici.
  • Al sesto posto per quanto riguarda l’impatto. In questo caso, secondo solo a rischi climatici e armi di distruzione di massa.

Di seguito la rappresentazione grafica di quanto appena esplicitato:

Ovviamente, è necessario considerare il fatto che i rischi legati all’ambiente – i cosiddetti rischi climatici – non sono controllabili dall’uomo. Allo stesso modo, le armi di distruzione di massa, benchè controllabili in maniera diretta, rappresentano una scelta insensata e senza criterio da parte delle istituzioni governative. Proprio per questo motivo, i rischi legati alla CyberSecurity e al CyberCrime, più direttamente, sono i più pericolosi in termini di:

  • Probabilità;
  • Impatto.

Vulnerability scan: altri indizi preziosi

Stando a quanto riportato da uno studio condotto da Verizon nel 2017, gli “attori esterni” sono da additare in quanto reponsabili del 75% delle violazioni.

Più della metà degli attacchi (il 51% per l’esattezza) presuppone la presenza di Malware. Di questi, i due terzi provengono da attività di phishing. Questi dati testimoniano un dato che appare lampante: l’anno in questione – il 2017 – è senza dubbio stato l’anno del malware.

A corollario di questa analisi, ci sono altre considerazioni da fare: le 10 tecniche di attacco più utilizzate permettono – previa analisi – di sottolineare il fatto che una cifra molto vicina all’80% del totale degli attacchi siano ben noti e di conseguenza derivanti da vulnerabilità note.

Questo dato è molto interessante. Mostra come sia possibile ridurre dell’80% i rischi legati ad attività illecite nel mondo cyber solamente eseguendo attività di Vulnerability assessment e Vulnerability scan.

Vulnerability Assessment: i benefici

Abbiamo fornito qualche dato che mostra quali possono essere i (molteplici) vantaggi derivanti da un’attività periodica di valutazione delle vulnerabilità. In un mondo iperconnesso ed ultratecnologico come quello in cui viviamo, la sicurezza – inclusa quella preventiva (layer fondamentale del trittico della sicurezza – deve essere una priorità e non può essere, in nessun modo, sottovalutata. A questo proposito, possiamo esplicitare altri vantaggi derivanti da un’azione periodica ricorrente di analisi delle vulnerabilità attraverso un tool affidabile di Vulnerability Assessment:

  • Generare awareness presso i dipendenti dell’organizzazione che si sentiranno responsabilizzati in materia di sicurezza in seguito a delle attività volte a garantirla;
  • Costituire la prima “barriera” di sicurezza preventiva, layer fondamentale che permette una visione proattiva (in seguito) della Security Management;
  • Garantire una Compliance legislativa altrimenti impossibile da ottenere. Il GDPR, all’articolo 32 comma 1, prevede l’obbligatorietà dell’analisi del rischio tecnologico: ogni azienda deve adempiere.
  • Identificare (questo punto può sembrare ovvio, ma non sempre è scontato) le vulnerabilità prima di un potenziale attaccante.
  • Abbattere eventuali costi derivanti da un Data Breach. Una violazione potrebbe provocare seri danni legali, di immagine e finanziari ad un’azienda e avere sotto controllo i propri punti deboli rappresenta proprio l’elemento chiave per impedire che ciò accada;
  • Tenere aggiornati i sistemi ed avere, eventualmente, a disposizione le informazioni circa le eventuali azioni di patching da implementare.

Vulnerability Assessment: come posso proteggermi?

In modo da garantire al tuo business lo strumento più idoneo, Swascan ha sviluppato una speciale piattaforma di CyberSecurity. In Cloud, SaaS e Pay for Use. Puoi consultare immediatamente la nostra brochure: Piattaforma di CyberSecurity e dare un’occhiata più approfondita ai nostri servizi. I nostri quattro servizi coprono ogni bisogno in termini di gestione del rischio e valutazione periodica. In poche parole, se hai bisogno di capire in quali aree concentrare le risorse aziendali gli strumenti ideali sono il GDPR Self-AssessmentVulnerability AssessmentNetwork Scan e la Code Review. Infine, non dimenticare il GDPR: la nostra piattaforma è al 100% GDPR compliant.

Swascan :