Come proteggersi da vulnerabilità ed esposizioni comuni, ossia dalle CVE, e l’importanza che hanno le patch. Ecco cosa consiglia Armis. Le vulnerabilità ed esposizioni comuni sono falle di sicurezza informatica note pubblicamente e identificate da un codice univoco. A conferma di ciò, nel 2023 la comunità di cybersecurity ha identificato e gestito ben 65.000 CVE uniche, evidenziando l’ampiezza delle potenziali minacce. Questa proliferazionedi vulnerabilità è ulteriormente aggravata dalla cifra sbalorditiva di oltre 3,6 miliardi di CVE associate ad asset attivi. Come rilevato da Armis, sottolineando la natura interconnessa dell’ecosistema digitale.
La necessità di proteggersi da vulnerabilità ed esposizioni comuni
Con così tante vulnerabilità da affrontare, non è una questione di se, ma di quando si verificherà un attacco informatico. Le risorse di cui non si ha visibilità, non scansionate o non catalogate possono esporre in maniera critica l’organizzazione. Soprattutto se configurate in modo non sicuro. Ossia se non vengono installati gli aggiornamenti di sicurezza o se non vengono applicate le patch. In parole povere, le organizzazioni spesso non hanno visibilità completa della loro rete e non adottano tutte le adeguate misure.
La classificazione delle vulnerabilità
Classificando le vulnerabilità per tipo di dispositivo nel 2023, risulta evidente che computer, dispositivi medici e risorse in ambito manufatturiero sono quelli maggiormente bersagliati. Mostrando l’ampia gamma di obiettivi per il potenziale sfruttamento. Questi dispositivi si distinguono per la più alta percentuale di CVE senza patch, esponendo una parte sostanziale della superficie di attacco. Ancora più preoccupante è il fatto che le vulnerabilità di alto profilo, come Log4Shell, continuino a rappresentare una minaccia. Con un terzo dei dispositivi che ancora non dispone delle patch necessarie. Ciò sottolinea le sfide delle organizzazioni nell’affrontare e neutralizzare rapidamente le vulnerabilità conosciute.
La sicurezza e la strategia aziendale: vulnerabilità ed esposizioni comuni
Altre vulnerabilità riscontrate da Armis nel luglio 2023, sottolineano ulteriormente l’urgente necessità di considerare la cybersecurity uno scudo reattivo. Oltre che parte integrante di qualsiasi strategia aziendale. Altri casi, come lo sfruttamento delle vulnerabilità di MOVEit, amplificano le conseguenze reali delle lacune nella sicurezza informatica. Inoltre l’abbondanza di minacce in agguato dall’altra parte della scacchiera, esortando le aziende ad affrontare in modo proattivo le vulnerabilità.
Il patching è diventato un problema
Per tutto il 2023, le organizzazioni hanno lottato per gestire le risorse fisiche e virtuali collegate alle loro reti. Le organizzazioni continuano ad affrontare una sfida importante nel dare priorità e rimediare alle vulnerabilità critiche nel loro panorama di cybersecurity. Nonostante il mantenimento di tassi di patch simili tra i vari livelli di gravità, il numero effettivo di CVE critiche protette da patch rimane notevolmente basso. La tendenza persiste perché le organizzazioni sono alle prese con tassi di patch del 62% per le vulnerabilità non armate e del 61% per le armate. Ciò sottolinea le intricate sfide che le organizzazioni devono affrontare per fare fronte e mitigare efficacemente i rischi di cybersecurity più critici.
Perché dare importanza a vulnerabilità ed esposizioni comuni
In parole povere, le organizzazioni non danno priorità alle CVE giuste. Perché? La ricerca Armis Global Attack Surface Management (ASM), ha rivelato che le organizzazioni utilizzano 11 strumenti diversi per gestire le risorse connesse alla rete. Mentre il 44% utilizza ancora fogli di calcolo manuali. Ci sono troppi dati e non c’è modo di sapere quali siano le priorità. Senza un controllo, una gestione e/o una visibilità completi delle potenziali lacune di sicurezza introdotte da questi asset, le aziende si espongono a rischi ancora maggiori. Pertanto, devono affrontare l’imperativo di rafforzare le proprie difese informatiche. Partendo dal presupposto che la compromissione non è una possibilità ma una certezza.
