Punteggio CVSS e prioritizzazione delle vulnerabilità

Dopo aver eseguito una scansione delle vulnerabilità, un'organizzazione può scoprire centinaia o migliaia di vulnerabilità nei propri sistemi. Cercare di applicare immediatamente tutte le patch non è né possibile né strategico: le risorse sono limitate e non tutte le vulnerabilità comportano lo stesso livello di rischio. La prioritizzazione delle vulnerabilità è il processo di classificazione delle vulnerabilità in base al rischio effettivo che rappresentano per l'organizzazione, così da affrontare prima i problemi più pericolosi. Una prioritizzazione efficace evita il comune errore di applicare patch a problemi estetici di scarsa importanza mentre una vulnerabilità critica di esecuzione di codice da remoto attende in coda.

Il Common Vulnerability Scoring System (CVSS) è un framework aperto che fornisce un punteggio numerico standardizzato (0.0-10.0) per rappresentare la gravità di una vulnerabilità di sicurezza. CVSS è mantenuto da FIRST (Forum of Incident Response and Security Teams) ed è il principale sistema di valutazione utilizzato nel NVD (National Vulnerability Database). La versione attuale, CVSS v3.1, calcola i punteggi sulla base di tre gruppi di metriche: Base (caratteristiche intrinseche della vulnerabilità), Temporal (fattori che cambiano nel tempo) ed Environmental (modificatori specifici dell'organizzazione). È obbligatorio solo il Base Score; gli altri sono perfezionamenti facoltativi.

Il Base Score viene calcolato a partire da due gruppi di metriche. Le metriche di sfruttabilità descrivono come è possibile attaccare la vulnerabilità: Attack Vector (AV) — Network (da remoto), Adjacent, Local o Physical; Attack Complexity (AC) — Low o High; Privileges Required (PR) — None, Low o High; User Interaction (UI) — None o Required. Una vulnerabilità sfruttabile tramite la rete, senza autenticazione e senza interazione dell'utente, ottiene il punteggio massimo di sfruttabilità (AV:N/AC:L/PR:N/UI:N). Questi fattori si combinano con le metriche di impatto per produrre il Base Score.

Le metriche di impatto misurano le conseguenze sulle tre dimensioni della triade CIA nel caso in cui la vulnerabilità venga sfruttata. Confidentiality Impact (C) — None, Low o High (la quantità di dati che può essere divulgata). Integrity Impact (I) — None, Low o High (la quantità di dati che può essere modificata). Availability Impact (A) — None, Low o High (il livello di interruzione del servizio). Scope (S) — Unchanged o Changed (se l'impatto della vulnerabilità si estende oltre il componente vulnerabile, raggiungendo altri componenti o sistemi). Un ambito Changed indica che una vulnerabilità sfruttata con successo può colpire sistemi oltre il proprio ambito iniziale, aumentando significativamente il punteggio.

Le metriche temporali modificano il Base Score in base a fattori che cambiano nel tempo. Exploit Code Maturity (E) — indica se esiste un exploit funzionante (Unproven, Proof-of-Concept, Functional, High). Una vulnerabilità per cui è disponibile pubblicamente un exploit armato è più urgente di una per cui non sono noti exploit. Remediation Level (RL) — Official Fix, Temporary Fix, Workaround o Unavailable. Una vulnerabilità per cui il fornitore ha rilasciato una patch ufficiale è meno urgente rispetto a una senza correzione. Report Confidence (RC) — Unknown, Reasonable o Confirmed. Una vulnerabilità confermata e riprodotta ampiamente ha una valutazione più affidabile rispetto a una segnalazione non confermata.

Le metriche ambientali consentono alle organizzazioni di personalizzare il punteggio CVSS in base al proprio contesto specifico. Le Modified Base Metrics permettono alle organizzazioni di modificare qualsiasi metrica Base per rispecchiare il proprio ambiente (ad esempio, una vulnerabilità accessibile dalla rete può avere AV:L se, nella configurazione specifica, il servizio è accessibile solo localmente). I valori di CIA Requirement (Low, Medium, High) riflettono l'importanza di ciascuna dimensione CIA per l'organizzazione: un ospedale può valutare Availability come High per i sistemi di monitoraggio dei pazienti, mentre un istituto di ricerca può attribuire il valore più alto a Confidentiality. La valutazione ambientale rende CVSS consapevole del contesto e più utile per le effettive decisioni di prioritizzazione.

Tre sistemi correlati operano insieme a CVSS. CVE (Common Vulnerabilities and Exposures) è un elenco delle vulnerabilità di sicurezza note pubblicamente, ciascuna con un identificatore univoco (CVE-2021-44228 è Log4Shell). CWE (Common Weakness Enumeration) categorizza i tipi di debolezze del software (CWE-79 è XSS, CWE-89 è SQL Injection): classifica la causa principale, non una specifica istanza. Il NVD (National Vulnerability Database) arricchisce le voci CVE con punteggi CVSS, riferimenti, intervalli di prodotti interessati e collegamenti alle correzioni. I team di sicurezza si iscrivono agli aggiornamenti di NVD e agli avvisi dei fornitori per ricevere notifiche sulle nuove CVE pertinenti al proprio inventario software.

I punteggi CVSS rappresentano la gravità tecnica considerata isolatamente, ma non tengono conto del contesto organizzativo. La prioritizzazione basata sul rischio modifica l'urgenza della correzione in base a: criticità dell'asset (un sistema ERP critico ha una priorità maggiore rispetto a un server di test), sfruttabilità reale (il catalogo KEV — Known Exploited Vulnerabilities — di CISA elenca le CVE sfruttate attivamente), esposizione (il sistema vulnerabile è esposto a Internet?) e controlli compensativi (esiste un WAF che blocca il percorso d'attacco?). Una vulnerabilità con CVSS 7.5 su un sistema critico per l'attività ed esposto a Internet, per cui esiste un exploit pubblico, può essere molto più urgente di una vulnerabilità con CVSS 9.0 su un server di test interno isolato.

Diversi framework e strumenti migliorano la prioritizzazione basata su CVSS. EPSS (Exploit Prediction Scoring System) stima la probabilità che una CVE venga sfruttata realmente nei successivi 30 giorni, utilizzando il machine learning sui dati di threat intelligence. EPSS alto + CVSS alto = priorità massima. SSVC (Stakeholder-Specific Vulnerability Categorization) è un albero decisionale di CISA e Carnegie Mellon che considera lo stato di sfruttamento, l'impatto sulla sicurezza e sulle infrastrutture critiche e l'eventuale natura mission-critical del sistema. Questi framework aiutano le organizzazioni ad andare oltre il semplice ordinamento per punteggio CVSS e a prendere decisioni di correzione realmente basate sul rischio.

I professionisti della sicurezza devono tradurre i punteggi CVSS tecnici in un linguaggio aziendale utile alle decisioni della direzione. Invece di dire: «Abbiamo una RCE non autenticata con CVSS 9.8 sul nostro server web pubblico», è preferibile dire: «Un attaccante su Internet può assumere il controllo completo del nostro sito web rivolto ai clienti senza bisogno di credenziali, accedendo potenzialmente a tutti i 500.000 record dei clienti e al nostro sistema di elaborazione dei pagamenti: dobbiamo applicare la patch del fornitore o mettere offline il server entro 24 ore». Presentare l'impatto aziendale (dati a rischio, perdite finanziarie, conseguenze normative) favorisce decisioni esecutive più rapide rispetto ai soli punteggi.

La prioritizzazione delle vulnerabilità produce valore solo quando è collegata a un efficace processo di gestione delle patch. Il ciclo di vita della gestione delle vulnerabilità comprende: Identify (scansione), Analyze (CVSS + contesto), Prioritize (classificazione del rischio + SLA), Remediate (distribuzione delle patch tramite SCCM/Intune/Ansible), Verify (nuova scansione per confermare l'applicazione delle patch) e Report (report sull'andamento destinati alla direzione). Gli strumenti di gestione delle patch automatizzano la distribuzione su larga scala, tenendo traccia dei sistemi aggiornati e di quelli ancora esposti. Il conteggio del tempo previsto dallo SLA di correzione inizia quando viene scoperta una vulnerabilità; per questo la frequenza delle scansioni è direttamente rilevante per il tempo medio di correzione.

Verifichi la propria comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che: CVSS assegna alle vulnerabilità un punteggio su una scala da 0.0 a 10.0 utilizzando metriche Base (sfruttabilità + impatto), Temporal (maturità dell'exploit + disponibilità della correzione) ed Environmental (contesto organizzativo); il catalogo KEV di CISA e i punteggi EPSS migliorano la prioritizzazione basata su CVSS identificando le vulnerabilità attivamente sfruttate; una gestione efficace delle vulnerabilità collega i risultati delle scansioni ai flussi di lavoro per la gestione delle patch, con SLA definiti in base alla gravità. Questo completa il modulo sulla gestione delle vulnerabilità; ora approfondiremo la sicurezza delle applicazioni e la OWASP Top 10.