Secondo un articolo di Picus Security, i team di sicurezza potrebbero correggere più vulnerabilità senza ridurre in modo significativo il rischio di violazioni. L’articolo cita un rapporto di Gartner secondo cui viene sfruttato meno del 10% delle vulnerabilità, sebbene molte siano ancora considerate urgenti. Aggiunge inoltre che i soli punteggi CVSS non indicano in modo affidabile né lo sfruttamento né l’impatto sul business.
Gartner prevede che, entro il 2028, le organizzazioni che daranno priorità alle esposizioni attraverso threat intelligence, contesto degli asset, modelli di sfruttabilità e convalida dei controlli di sicurezza ridurranno la probabilità di violazioni di almeno il 70% rispetto alle organizzazioni che si affidano principalmente alla definizione delle priorità basata sui CVSS.
I quattro elementi del framework rispondono a domande diverse. La threat intelligence individua le vulnerabilità che gli aggressori stanno sfruttando. Il contesto degli asset mostra se un sistema interessato supporta operazioni critiche, gestisce dati soggetti a normative o offre un percorso verso sistemi di maggior valore. I modelli di sfruttabilità, come EPSS, stimano la probabilità di sfruttamento, mentre la convalida dei controlli verifica se un attacco potrebbe riuscire nello specifico ambiente di un’organizzazione.
L’articolo avverte che i punteggi di sfruttabilità sono stime, non prove. Possono aiutare a individuare le esposizioni da sottoporre a ulteriori verifiche, ma è necessaria una convalida per determinare cosa sia sfruttabile in un determinato ambiente. Questa valutazione dovrebbe tenere conto delle difese esistenti, tra cui segmentazione, protezione degli endpoint, copertura del rilevamento e controlli delle identità.
Picus afferma che la sua piattaforma combina i quattro elementi in un processo continuo di individuazione, convalida, definizione delle priorità e attivazione delle attività di correzione. I suoi metodi di convalida includono la verifica di percorsi di sfruttamento reali contro asset di produzione raggiungibili e la valutazione delle tecniche di attacco rispetto ai controlli senza avviare uno sfruttamento. L’azienda dichiara che questi metodi possono fornire valutazioni basate su prove per gli asset che non possono essere testati in sicurezza in tempo reale.
Picus riporta inoltre i risultati ottenuti dai propri clienti, tra cui controlli che bloccano o rilevano circa il doppio degli attacchi entro tre mesi, una riduzione dell’89% dei tempi di risposta alle minacce emergenti e un calo del 92% delle scadenze mancate per la correzione di vulnerabilità gravi e critiche. L’articolo afferma che un cliente ha ridotto del 98% l’arretrato dei ticket critici; queste cifre sono state riportate dall’azienda.
Fonti: The Hacker News.