CIS Control 7: Gestione continua delle vulnerabilità

Il Center for Internet Security (CIS) fornisce per aiutare le organizzazioni a migliorare la cybersecurity. Il Controllo 7 affronta la gestione continua delle vulnerabilità (questo argomento era precedentemente trattato nel CIS Control 3).

La gestione continua delle vulnerabilità è il processo di identificazione, priorizzazione, documentazione e rimedio dei punti deboli in un ambiente IT. La gestione delle vulnerabilità deve essere continua perché i dati sensibili stanno crescendo a un ritmo senza precedenti e gli attacchi stanno aumentando sia in frequenza che in sofisticatezza.

Questo controllo delinea 7 migliori pratiche che possono aiutare le organizzazioni a minimizzare i rischi per le loro risorse IT critiche.

7.1. Stabilire e mantenere un processo di gestione delle vulnerabilità.

La prima misura di protezione raccomanda che le organizzazioni creino un processo di gestione continua delle vulnerabilità e lo rivedano annualmente o “quando si verificano cambiamenti significativi nell'impresa che potrebbero impattare su questa Salvaguardia.”

Un processo continuo di gestione delle vulnerabilità dovrebbe consistere di 4 componenti:

• Identificazione. Le organizzazioni devono identificare tutto il loro codice proprietario, le applicazioni di terze parti, i dati sensibili, i componenti open source e altri asset digitali, e poi individuare le loro vulnerabilità. Gli strumenti di valutazione e gli scanner possono aiutare in questo processo, che dovrebbe essere ripetuto il meno spesso possibile, come una volta a settimana, o il più spesso possibile, come diverse volte al giorno, a seconda della tolleranza al rischio dell'organizzazione, della complessità dell'ambiente IT e di altri fattori.
• Valutazione. Tutte le vulnerabilità scoperte devono essere valutate e prioritarizzate. Le metriche comuni per la valutazione continua delle vulnerabilità includono il Punteggio di Gravità delle Vulnerabilità Comun (CVSS) del NIST, la facilità di sfruttamento da parte di un attore minaccioso, la difficoltà di risoluzione, l'impatto finanziario dello sfruttamento e i relativi requisiti normativi o standard di settore.
• Rimedio. Successivamente, l'organizzazione deve correggere o affrontare in altro modo le debolezze in base alla loro priorità. Il rimedio è spesso gestito attraverso una combinazione di aggiornamenti automatici da parte dei fornitori, soluzioni di gestione delle patch e tecniche manuali.
• Reporting. È importante documentare tutte le vulnerabilità identificate, i risultati della valutazione e il progresso verso la rimediazione, insieme a tutti i costi coinvolti. Una corretta reporting semplificherà gli sforzi di rimediazione futuri, semplificherà le presentazioni agli esecutivi e faciliterà la conformità.

7.2. Stabilire e mantenere un processo di rimedio.

Una volta che è stato istituito un processo di gestione delle vulnerabilità, deve essere stabilito un processo di rimedio per specificare la risposta dell'organizzazione quando si identifica la necessità di intervenire. Il sottopunto 7.2 è progettato per aiutare le organizzazioni a dare priorità e sequenziare i loro processi IT, con il CIS che ne descrive lo scopo come:

“Stabilire e mantenere una strategia di rimedio basata sul rischio documentata in un processo di rimedio, con revisioni mensili o più frequenti.”

Il processo di rimedio incorpora una serie di strumenti per risolvere le vulnerabilità una volta che sono state individuate. Le tattiche di rimedio più utilizzate includono patch automatiche o manuali. Il processo di rimedio di un'azienda può includere anche Gestione delle vulnerabilità basata sul rischio (RBVM) software per aiutare le aziende a gestire le potenziali minacce che affrontano, così come algoritmi avanzati di data science e software di analisi predittiva per fermare le minacce prima che vengano esposte.

7.3. Esegui la gestione automatizzata delle patch del sistema operativo.

I sistemi operativi sono software fondamentali e i fornitori rilasciano frequentemente patch che affrontano vulnerabilità importanti. Per garantire che gli aggiornamenti critici vengano applicati in modo tempestivo, le organizzazioni dovrebbero implementare un sistema automatizzato che li applichi almeno mensilmente.

Più in generale, è necessario disporre di un framework di gestione delle patch completo con le seguenti capacità:

• Raccolta di informazioni. Effettuando scansioni periodiche dei dispositivi, le organizzazioni possono identificare quali necessitano di un aggiornamento e possono distribuire le loro patch in anticipo. Alcuni software di gestione automatica delle patch raccolgono anche dettagli sull'hardware e sugli utenti per fornire un quadro più chiaro dello stato degli endpoint.
• Scaricamento della patch.Scaricare una patch è un processo piuttosto semplice. La difficoltà sorge quando un gran numero di dispositivi necessita di aggiornamenti diversi o l'organizzazione si affida a molti sistemi operativi differenti. Un software di gestione automatizzata delle patch dovrebbe essere in grado di gestire entrambe queste situazioni senza problemi.
• Creazione del pacchetto. Un pacchetto consiste in tutti i componenti necessari per applicare una patch. Il software di gestione delle patch automatizzato dovrebbe essere in grado di creare pacchetti di diversi livelli di complessità e con molti tipi di componenti diversi.
• Distribuzione delle patch. Per evitare di frustrare gli utenti e interrompere i processi aziendali, il software di gestione delle patch dovrebbe poter essere programmato per avviarsi in determinati momenti e funzionare in background.
• Una volta applicata una patch, le organizzazioni dovrebbero raccogliere informazioni su quali dispositivi sono stati aggiornati e quali aggiornamenti sono stati utilizzati. Il software di gestione automatica delle patch dovrebbe generare report automatici in modo che i team IT possano pianificare quali passi intraprendere successivamente.

7.4. Esegui la gestione automatizzata delle patch delle applicazioni.

Come i sistemi operativi, molte applicazioni e piattaforme devono essere aggiornate con patch, che dovrebbero essere applicate almeno mensilmente. Spesso la stessa soluzione può essere utilizzata per implementare l'aggiornamento delle patch sia per i sistemi operativi che per le applicazioni.

7.5. Eseguire scansioni automatiche delle vulnerabilità degli asset interni dell'impresa.

Le organizzazioni dovrebbero eseguire la scansione delle proprie risorse IT alla ricerca di vulnerabilità almeno trimestralmente. CIS raccomanda di automatizzare il processo utilizzando uno strumento di scansione delle vulnerabilità conforme a SCAP. (SCAP fornisce standard per scanner e strumenti di rimedio delle vulnerabilità.)

Tipi di scansioni includono:

• Scansioni basate sulla rete, che identificano vulnerabilità nelle reti cablate o wireless. Questo viene fatto localizzando dispositivi e server non autorizzati e esaminando le connessioni con i partner commerciali per garantire che i loro sistemi e servizi siano sicuri.
• Scansioni basate sull'host, che valutano endpoint come host, server e workstation. Queste scansioni esaminano anche le configurazioni di sistema e la cronologia degli aggiornamenti recenti per trovare vulnerabilità.
• Scansioni delle applicazioni, che garantiscono che gli strumenti software siano configurati correttamente e aggiornati.
• Scansioni wireless, che identificano punti di accesso non autorizzati e garantiscono una configurazione adeguata.
• Scansioni di database, che valutano i database.

Le scansioni di vulnerabilità possono essere autenticate o non autenticate. Le scansioni autenticate permettono ai tester di accedere e cercare debolezze come utenti autorizzati. Le scansioni non autenticate consentono ai tester di comportarsi come intrusi che tentano di violare la propria rete, aiutandoli a scoprire vulnerabilità che un attaccante potrebbe trovare. Entrambe sono utili e dovrebbero essere implementate come parte di una strategia continua di gestione delle vulnerabilità.

7.6. Eseguire scansioni automatiche delle vulnerabilità degli asset aziendali esposti esternamente.

Le organizzazioni dovrebbero prestare particolare attenzione alla ricerca di vulnerabilità nei dati sensibili e in altri beni esposti agli utenti esterni, come ad esempio attraverso internet. CIS raccomanda di eseguire la scansione delle vulnerabilità negli asset esposti esternamente almeno mensilmente (a differenza dei beni interni per i quali è consigliato trimestralmente). Tuttavia, in entrambi i casi, dovrebbe essere utilizzato uno strumento di scansione automatica delle vulnerabilità conforme a SCAP.

Alcune organizzazioni possiedono più risorse digitali esposte esternamente di quanto siano consapevoli. Assicurati che le tue analisi includano tutto quanto segue:

• Dispositivi
• Segreti commerciali
• Codici di sicurezza
• Sensori IoT
• Attrezzature per operazioni a distanza
• Presentazioni
• Informazioni sul cliente
• Router per lavoro remoto

7.7. Rimediare alle vulnerabilità rilevate.

Il controllo 7.2 dettaglia come stabilire e mantenere un processo per la rimediazione delle vulnerabilità. Raccomanda di eseguire la rimediazione almeno mensilmente.

Come Netwrix può aiutare

Implementare un processo continuo di valutazione e rimedio delle vulnerabilità può essere una sfida. Le organizzazioni spesso scoprono un gran numero di vulnerabilità e faticano a rimediarle in modo tempestivo.

Netwrix Change Tracker può aiutare. Può:

• Aiutarti a rafforzare i tuoi sistemi critici con modelli di configurazione personalizzabili provenienti da più enti di standardizzazione, inclusi CIS, DISA STIG e SCAP/OVAL.
• Verificate che i vostri file di sistema critici siano autentici tracciando tutte le modifiche apportate e rendendo semplice la revisione di uno storico completo di tutti i cambiamenti.
• Monitorare le modifiche alla configurazione del sistema e inviare immediatamente un avviso per qualsiasi modifica non pianificata.
• Riduci il tempo e lo sforzo dedicati alla creazione di report di conformità con oltre 250 report certificati CIS che coprono NIST, PCI DSS, CMMC, STIG e NERC CIP.

FAQ

Cos'è la scansione continua delle vulnerabilità?

È il processo di ricerca e classificazione costante delle debolezze di sicurezza nei sistemi e nel software, inclusi difetti noti, errori di codifica e configurazioni errate che potrebbero essere sfruttate dagli attaccanti.

In cosa consiste il processo di gestione delle vulnerabilità?

Un processo continuo di gestione delle vulnerabilità dovrebbe consistere di quattro componenti:

• Identifica tutti gli asset IT e scansionali alla ricerca di vulnerabilità.
• Dai priorità alle vulnerabilità scoperte in base a fattori come la probabilità e il costo di sfruttamento.
• Correggi o risolvi le debolezze rilevate.
• Documentate le vulnerabilità identificate, i risultati della valutazione e i progressi verso la rimediazione, così come eventuali costi associati.