Nuove vulnerabilità possono sorgere in una rete in qualsiasi momento, quindi il ciclo di vita della gestione delle vulnerabilità è un ciclo continuo piuttosto che una serie di eventi distinti. Ogni fase del ciclo di vita si alimenta direttamente alla successiva. Un singolo round di solito contiene le seguenti fasi:
Fase 0: Pianificazione e lavoro preliminare
Tecnicamente, la pianificazione e il lavoro preliminare avvengono prima del ciclo di vita della gestione delle vulnerabilità, da cui la designazione "Fase 0". Durante questa fase, l'organizzazione definisce i dettagli critici del processo di gestione delle vulnerabilità, tra cui:
- Quali stakeholder saranno coinvolti e i ruoli che avranno
- Risorse, tra cui persone, strumenti e finanziamenti, disponibili per la gestione delle vulnerabilità
- Linee guida generali per stabilire le priorità e rispondere alle vulnerabilità
- Metriche per misurare il successo del programma
Le organizzazioni non attraversano questa fase prima di ogni ciclo di vita. In genere, prima di avviare un programma formale di gestione delle vulnerabilità, un'azienda conduce un'ampia fase di pianificazione e di lavoro preliminare. Quando un programma è in atto, gli stakeholder rivisitano periodicamente la pianificazione e le elaborazioni preliminari per aggiornare le loro linee guida e strategie generali, se necessario.
Fase 1: Scoperta degli asset e valutazione della vulnerabilità
Il ciclo di vita formale della gestione delle vulnerabilità inizia con l'inventario degli asset: un catalogo di tutti gli hardware e i software presenti nella rete dell'organizzazione. L'inventario include app ed endpoint ufficialmente autorizzati e qualsiasi asset shadow IT utilizzato dai dipendenti senza approvazione.
Poiché nuovi asset vengono aggiunti regolarmente alle reti aziendali, l'inventario degli asset viene aggiornato prima di ogni ciclo di vita. Le aziende utilizzano spesso strumenti software come le piattaforme di gestione delle superfici di attacco per automatizzare i propri inventari.
Dopo aver identificato gli asset, il team di sicurezza ne valuta le vulnerabilità. Il team può utilizzare una combinazione di strumenti e metodi, tra cui scanner di vulnerabilità automatizzati, test di penetrazione manuali e threat intelligence esterna dalla comunità della sicurezza informatica.
Valutare ogni asset durante ogni ciclo di vita sarebbe oneroso, quindi i team di sicurezza di solito lavorano per lotti. Ogni ciclo di vita si concentra su un gruppo specifico di asset, mentre i gruppi di asset più critici ricevono scansioni più spesso. Alcuni strumenti avanzati di scansione delle vulnerabilità valutano continuamente tutti gli asset di rete in tempo reale, consentendo al team di sicurezza di adottare un approccio ancora più dinamico alla scoperta delle vulnerabilità.
Fase 2: Definizione della priorità delle vulnerabilità
Il team di sicurezza assegna la priorità alle vulnerabilità rilevate nella fase di valutazione. La definizione delle priorità garantisce che il team affronti prima le vulnerabilità più critiche. Questa fase aiuta anche il team a evitare di sprecare tempo e risorse in vulnerabilità a basso rischio.
Per stabilire le priorità delle vulnerabilità, il team considera i seguenti criteri:
- Valutazioni di criticità fornite da informazioni esterne sulle minacce: possono includere l'elenco delle vulnerabilità e delle esposizioni comuni (CVE) del MITRE o il Common Vulnerability Scoring System (CVSS ).
- Criticità degli asset: Una vulnerabilità non critica in un asset critico spesso riceve una priorità maggiore rispetto a una vulnerabilità critica in un asset meno importante.
- Impatto potenziale: il team di sicurezza valuta cosa potrebbe accadere se gli hacker sfruttassero una particolare vulnerabilità, compresi gli effetti sulle operazioni aziendali, le perdite finanziarie e qualsiasi possibilità di azione legale.
- Probabilità di sfruttamento: il team di sicurezza presta maggiore attenzione alle vulnerabilità con exploit noti che gli hacker utilizzano attivamente in natura.
- Falsi positivi: Il team di sicurezza si assicura che le vulnerabilità esistano effettivamente prima di dedicare loro delle risorse.
Fase 3: risoluzione della vulnerabilità
Il team di sicurezza lavora attraverso l'elenco delle vulnerabilità prioritarie, dalla più critica alla meno critica. Le organizzazioni hanno tre opzioni per affrontare le vulnerabilità:
- Correzione: risolvere completamente una vulnerabilità in modo che non possa più essere sfruttata, ad esempio applicando una patch a un bug del sistema operativo, correggendo una configurazione errata o rimuovendo un asset vulnerabile dalla rete. La correzione non è sempre fattibile. Per alcune vulnerabilità, le correzioni complete non sono disponibili al momento della scoperta (ad esempio, vulnerabilità zero-day). Per altre vulnerabilità, la correzione sarebbe troppo dispendiosa in termini di risorse.
- Mitigazione: Rendere una vulnerabilità più difficile da sfruttare o ridurne l'impatto senza rimuoverla completamente. Ad esempio, l'aggiunta di misure di autenticazione e autorizzazione più rigorose a un'applicazione Web renderebbe più difficile per gli hacker dirottare gli account. L'elaborazione di piani di risposta agli incidenti per le vulnerabilità identificate può attenuare il colpo degli attacchi informatici. Di solito i team di sicurezza scelgono di adottare misure di mitigazione quando la correzione è impossibile o eccessivamente costosa.
- Accettazione: Alcune vulnerabilità hanno un impatto così basso o sono improbabili da sfruttare che risolverle non sarebbe conveniente. In questi casi, l'organizzazione può scegliere di accettare la vulnerabilità.
Fase 4: Verifica e monitoraggio
Per verificare che gli sforzi di mitigazione e riparazione abbiano funzionato come previsto, il team di sicurezza esegue nuovamente la scansione e riprova le risorse su cui ha appena lavorato. Questi controlli hanno due scopi principali: determinare se il team di sicurezza ha affrontato con successo tutte le vulnerabilità note e garantire che la mitigazione e la correzione non abbiano introdotto nuovi problemi.
Nell'ambito di questa fase di rivalutazione, il team di sicurezza monitora anche la rete in modo più ampio. Il team cerca eventuali nuove vulnerabilità dopo l'ultima scansione, vecchie mitigazioni che sono diventate obsolete o altre modifiche che potrebbero richiedere un'azione. Tutte queste scoperte contribuiscono a orientare la fase successiva del ciclo di vita.
Fase 5: Reporting e miglioramento
Il team di sicurezza documenta l'attività dell'ultimo ciclo di vita, comprese le vulnerabilità rilevate, le misure di risoluzione adottate e i risultati. Questi report vengono condivisi con le parti interessate, tra cui dirigenti, proprietari di asset, dipartimenti di conformità e altri.
Il team di sicurezza riflette anche su come è andato l'ultimo round del ciclo di vita. Il team può esaminare metriche chiave come il tempo medio di rilevamento (MTTD), il tempo medio di risposta (MTTR), il numero totale di vulnerabilità critiche e i tassi di recidiva delle vulnerabilità. Monitorando queste metriche nel tempo, il team di sicurezza può stabilire una linea di base per le prestazioni del programma di gestione delle vulnerabilità e identificare le opportunità per migliorare il programma nel tempo. Le lezioni apprese da una fase del ciclo di vita possono rendere più efficace la fase successiva.
