Il problema non sono gli attacchi sofisticati
La maggior parte degli attacchi che vanno a segno non sfrutta tecniche avanzate o vulnerabilità sconosciute: sfrutta vulnerabilità note, spesso corrette da mesi da chi produce il software, su sistemi che nessuno ha aggiornato. Il patch management, cioè il processo con cui si applicano questi aggiornamenti, è una delle attività meno visibili e più decisive della sicurezza informatica.
Il ciclo di vita di una vulnerabilità
Quando una vulnerabilità viene scoperta, riceve un codice pubblico (CVE) e un punteggio di gravità. Il produttore rilascia una correzione, spesso in tempi rapidi per le falle più gravi. Da quel momento, però, la correzione stessa diventa un indizio pubblico di dove cercare: analizzando la patch, è spesso possibile risalire alla vulnerabilità originale e costruire un attacco che la sfrutta, a volte nel giro di pochi giorni. Ogni sistema non aggiornato, da quel momento, è un bersaglio noto, non un rischio teorico.
Come dare priorità, non aggiornare tutto subito e allo stesso modo
Aggiornare istantaneamente ogni sistema non è realistico, e non è nemmeno la strategia giusta: un aggiornamento va anche testato, per non rischiare di fermare un sistema in produzione per un problema di compatibilità. Serve un criterio di priorità.
| Situazione | Priorità |
|---|---|
| Vulnerabilità critica, sistema esposto su internet, exploit noto in circolazione | Immediata, anche fuori dalla finestra di manutenzione ordinaria |
| Vulnerabilità grave, sistema interno ma centrale (server, dominio) | Alta: entro pochi giorni, con test rapido |
| Vulnerabilità media, sistema interno non critico | Nel ciclo di manutenzione ordinario |
| Aggiornamenti minori, senza vulnerabilità nota associata | Programmata, secondo il calendario standard |
La gravità da sola non basta: una vulnerabilità critica su un sistema isolato, senza accesso da internet, può contare meno di una media su un sistema esposto. È lo stesso criterio di lettura di un report descritto nella guida su vulnerability assessment e penetration test: qui il vulnerability assessment è ciò che segnala cosa aggiornare, il patch management è ciò che lo corregge davvero.
Un processo che funziona, in pratica
- Mantieni un inventario aggiornato di sistemi, sistemi operativi e versioni installate: non si aggiorna quello che non si sa di avere.
- Definisci finestre di manutenzione regolari, e una procedura per le urgenze che non possono aspettare la finestra successiva.
- Testa prima di distribuire su tutto, anche solo su un piccolo gruppo di sistemi rappresentativi, per intercettare i problemi di compatibilità.
- Prepara un piano di rollback: cosa fare se un aggiornamento causa un problema imprevisto in produzione.
- Verifica che l'aggiornamento sia andato a buon fine su tutti i sistemi previsti, non solo che sia stato distribuito.
I sistemi a fine vita sono un rischio che cresce da solo
Un sistema operativo o un'applicazione a fine vita non riceve più correzioni di sicurezza: ogni nuova vulnerabilità scoperta resta aperta per sempre. È un rischio che non richiede un errore per manifestarsi: basta il tempo che passa. Va gestito con priorità, non lasciato "perché tanto ha sempre funzionato".
Checklist rapida
- ho un inventario aggiornato di sistemi, sistemi operativi e versioni installate;
- so quali dei miei sistemi sono esposti direttamente su internet;
- esiste una procedura per applicare in urgenza le correzioni più critiche, fuori dal ciclo ordinario;
- gli aggiornamenti vengono testati prima di essere distribuiti su tutti i sistemi;
- so quali sistemi in azienda sono a fine vita, e ho un piano per sostituirli o isolarli;
- verifico che gli aggiornamenti distribuiti siano stati applicati davvero, non solo inviati.
In sintesi
La maggior parte degli attacchi sfrutta vulnerabilità note e già corrette: il patch management le chiude prima che diventino un bersaglio. Serve un criterio di priorità basato su gravità ed esposizione, non un aggiornamento indiscriminato, e un'attenzione costante ai sistemi a fine vita, il cui rischio cresce da solo col tempo.