Nell’era informatica in cui viviamo, dove gli attacchi informatici sia alle aziende che ai privati aumentano in modo esponenziale, effettuare correttamente un Vulnerability Assessment consente di proteggere i nostri dati e la nostra privacy e sapere se la nostra azienda o il sito web presentino delle vulnerabilità che qualcuno potrebbe sfruttare per prenderne il controllo o rubare dei dati.

Il modo migliore per proteggersi dalle vulnerabilità è cercarle costantemente ed eradicarle.

È questo lo scopo dei processi di Vulnerability Assessment, un insieme di test e controlli che rientrano tra quelli di maggiore importanza che un’impresa debba sostenere per garantire la propria operatività, integrità, sicurezza, reputazione e competitività sul mercato.

In cosa consiste

Il Vulnerability Assessment è un’analisi di sicurezza che ha come obiettivo l’identificazione di tutte le vulnerabilità potenziali dei sistemi e delle applicazioni valutando il danno potenziale che l’eventuale “attaccante” può infliggere all’unità produttiva.

Queste attività hanno lo scopo di scovare all’interno o all’esterno di un’organizzazione gli eventuali errori di programmazione o di errate configurazioni, commessi durante un’installazione o un upgrade dei sistemi informativi. Uno degli aspetti chiave di questa tipologia di analisi è l’isolamento tempestivo delle vulnerabilità evidenziate che potrebbero causare un blocco temporale o una grave perdita di dati.

Un buon strumento di Vulnerability Assessment permette all’utente di avere una situazione aggiornata del livello di sicurezza degli asset IT. Ovviamente, questo è il punto di partenza per ottimizzare tutti gli sforzi di security management.

A cosa serve

Con il Vulnerability Assessment si perseguono di fatto cinque obiettivi chiave, che rappresentano altrettanti vantaggi per un’impresa.

• Identificare i rischi di sicurezza noti prima che gli aggressori li trovino.
• Disporre di un inventario di tutti i dispositivi connessi alla propria rete, completo di tutte le informazioni sullo scopo e sul sistema, incluse quelle relative alle vulnerabilità associate a ciascun dispositivo specifico.
• Disporre di un inventario di tutti i dispositivi presenti in azienda, allo scopo di pianificarne gli aggiornamenti e le successive analisi.
• Definire il livello di rischio esistente.
• Stabilire una curva rischio / beneficio e ottimizzare di conseguenza gli investimenti in sicurezza.

Alla luce di queste considerazioni, è importante considerare il Vulnerability Assessment come un processo continuo, che ha l’obiettivo di migliorare la sicurezza complessiva dell’intera organizzazione.

Come funziona il processo di Vulnerability Assessment

Il Vulnerability Assessment è composto da scansioni che vengono effettuate sulle Web app o sulle reti aziendali mediante strumenti professionali, i cosiddetti Vulnerability Scanner, che setacciano i target aziendali che possono essere:

• scansioni relative al networking e quindi ai dispositivi di rete;
• scansioni relative agli host/server;
• scansioni specifiche per le reti wireless;
• scansioni relative alle Web application;
• scansioni relative ai database.

Per effettuare tali analisi solitamente si considerano metodologie standard quali ad esempio OWASP o OSSTMM (Open Source Security Testing Methodology Manual, di ISECOM). Ciò consente di seguire metodologie consolidate, condivise e interpretabili dalla comunità informatica che si occupa di cybersecurity.

I tecnici possono inoltre svolgere i Vulnerability Assessment come se il sistema oggetto di interesse fosse una scatola nera "black box", di cui non si ha alcuna informazione, oppure in modalità "white box", quando si hanno tutte le informazioni prima dell'avvio delle attività.

Per approfondire l'effettiva utilizzabilità di una vulnerabilità scoperta, si può ricorrere anche al Penetration Test. Tale procedura infatti verifica se e fino a dove l'hacker può spingersi grazie ad una falla di sicurezza del sistema, portando un attacco specifico ed inoltre controllare la presenza di vulnerabilità non individuabili tramite il ricorso a software automatici di Vulnerability Assessment.

Quando e ogni quanto eseguirlo

È dunque evidente che un eventuale Vulnerability Assessment deve essere eseguito il prima possibile. Come già anticipato, al giorno d’oggi, dove la tecnologia è ormai alla portata di tutti, un controllo sulla sicurezza per proteggere i propri dati è fondamentale.

Non c’è una regola fissa che stabilisce quando eseguirlo o meno: si consiglia di schedularlo almeno una volta l’anno, anche se una scansione trimestrale, data la continua evoluzione dei sistemi, darebbe una maggiore garanzia sulla sicurezza.

Continua a seguire il nostro blog per altri articoli sulla sicurezza informatica e il corso di Ethical Hacker & Security Manager per formarti come esperto in questo ambito.

Nel frattempo, scopri quali sono i corsi di sicurezza informatica gratis o a pagamento e i migliori per diventare un esperto su http://www.musaformazione.it.

Al prossimo appuntamento!