Come eseguire un Vulnerability Assessment efficace

Se si vuole adottare una strategia di cyber security valida e completa, non si può non ricorrere al Vulnerability Assessment: un’analisi fondamentale per prevenire e difendersi da attacchi informatici di qualsiasi natura.

Addirittura, secondo il Center for Internet Security (CIS), questo tipo di test è molto utile per mettere in pratica tutte le attività inserite nella Top 5 delle azioni da eseguire per aderire agli standard di sicurezza informatica consigliati.

Cos’è il Vulnerability Assessment

Il Vulnerability Assessment (VA), chiamato anche Test di Vulnerabilità, è un test di sicurezza che individua tutte le potenziali vulnerabilità di sistemi informatici e applicazioni web.

Rileva i punti deboli del sistema di sicurezza, valuta quali possono essere i potenziali danni in caso di attacco e aiuta a individuare e pianificare tutte le operazioni necessarie per migliorare i sistemi difensivi in atto.
Un’analisi approfondita che permette di prevenire quasi ogni tipo di minaccia e continuare la propria attività online riducendo i rischi.

Il vantaggio di questa tipologia di test è che, una volta identificati i punti deboli di un sistema, li può isolare e classificare, offrendo ai tecnici una perfetta panoramica dei problemi e delle criticità su cui agire.

Un processo indispensabile per un’azienda che vuole garantire sicurezza, evitare ogni intrusione e impedire che informazioni riservate e dati sensibili vengano rubati o sfruttati illecitamente.

Il VA, in realtà, non è però un semplice test: è più corretto definirlo un gruppo di test sulla sicurezza, di cui fan parte molti altri test tra cui il Penetration Test.

VA e Penetration Test: le differenze

La differenza principale tra il Vulnerability Assessment e il pentest è che quest’ultimo è una procedura più lunga e complessa, composta da azioni per lo più manuali, che ha lo scopo di trovare le vulnerabilità sfruttabili durante un attacco.

Il Penetration Test, infatti, è una vera e propria simulazione di un attacco informatico e viene eseguito agendo come un eventuale hacker e individuando la falla che permetterebbe al malintenzionato di entrare nel sistema per sabotare l’attività o rubare dati.
In questo modo si capisce come la vulnerabilità possa concretamente essere sfruttata a vantaggio di terzi e si cerca di ipotizzare quanto a fondo un hacker possa introdursi.

Il VA, invece, è una scansione ad ampio raggio d’azione eseguita con software automatici. Serve a rilevare tutte le vulnerabilità presenti e funziona anche su infrastrutture molto grandi.
È quindi un’analisi più generica e completa che testa la validità dei sistemi difensivi nel suo insieme, senza focalizzarsi su un unico punto debole.

Si può dire che il VA sia un ottima fase preliminare a un pentest, perché offre un primo feedback sullo stato dei servizi oggetto d’analisi.

Le tipologie di Vulnerability Assessment

Non esiste un unico tipo di Vulnerability Assessment: può infatti variare e presentare caratteristiche differenti in base alla procedura scelta per eseguire il test e l’oggetto in esame.

Vediamo innanzitutto qual è il VA più adatto a seconda del target analizzato.

• Network Vulnerability Assessment: test che verifica la sicurezza di qualsiasi tipo di rete e dispositivo di rete. È molto importante perché è intorno alla rete che ruota la maggior parte degli aspetti legati alla sicurezza aziendale, ed è proprio la rete che subisce gli attacchi ogni giorno più frequenti e sofisticati.
  Questo tipo di test può essere esterno – e quindi passare attraverso i server o i dispositivi di rete raggiungibili tramite Internet – o interno, accedendo fisicamente o grazie a connessioni remote.
  
• Web Application Assessment: test che verifica la sicurezza delle applicazioni web. Apparentemente semplice, ha in realtà un raggio d’azione molto vasto. Esaminando un sito web, infatti, i punti deboli che rischiano di comprometterne la sicurezza possono avere varia natura e provenire dall’interno del software, dall’errore umano da parte dell’utente o dall’uso di componenti non aggiornate o non protette.
  
• Wireless Assessment: test che verifica la sicurezza delle reti wireless. Valuta se l’infrastruttura è protetta e individua ogni possibile punto di accesso sfruttabile da malintenzionati. È una procedura molto importante perché le reti senza fili sono spesso trascurate, non sottoposte a manutenzione adeguata e prive di sistemi di difesa efficaci.

• Host Assessment: test che verifica la sicurezza degli host di rete, dei server e delle workstation. Analisi più specifica rispetto al Network Vulnerability Assessment, può testare in modo accurato la cronologia delle patch e le impostazioni di configurazione.
  
• Database Assessment: test che verifica la sicurezza di un database al fine di evitare attacchi, soprattutto di tipo SQL Injection.

Tre modalità d’approccio

Una volta individuato l’oggetto d’analisi, bisogna scegliere la modalità migliore per proseguire con il test.

Esistono 3 diversi approcci:

• Black Box Testing: non si ha nessuna informazione sui sistemi di difesa adottati e non si conosce il codice sorgente. Si procede quindi alla cieca. Richiede più tempo perché si deve prima capire quali sono l’architettura e il sistema dei servizi e il risultato è strettamente connesso all’abilità di chi sta compiendo il test.
  
• Grey Box Testing: chi esegue l’analisi ha una conoscenza parziale della situazione. Si focalizzerà sulle aree di cui si hanno maggiori informazioni.
  
• White Box Testing: chi esegue l’analisi ha una conoscenza approfondita della struttura da esaminare – dagli schemi di rete ai codici sorgente delle web application – e può così testare nel dettaglio ogni dispositivo senza limitarsi a un esame superficiale.

Scegliere il giusto target e l’approccio più idoneo al contesto, è importante per tracciare delle linee guida precise e capire chiaramente che direzione far prendere all’intero processo di test.

Come eseguire un Vulnerability Assessment

Il primo passo per eseguire un Test di Vulnerabilità è avere accesso a tutte le informazioni riguardanti la rete, stilare un inventario dei dispositivi connessi o presenti in azienda e in generale individuare tutte le risorse hardware e software disponibili.

Una volta elaborate le informazioni, si può passare al test vero e proprio, che di solito ha inizio dalla rete: con un’analisi LAN si esamina il perimetro di rete e si verifica lo stato di sicurezza della connessione. Si individuano configurazioni di sistema pericolose, si analizzano i dispositivi connessi, si cercano eventuali file infetti e si accerta che le password non siano state violate.

Poi si prosegue esaminando gli host, i directory service e i DNS.
Da qui si passa ai sistemi operativi e alle applicazioni, in modo da avere una visione chiara di quale potrebbe essere il raggio d’azione di un eventuale hacker.
Con un’analisi WAN si cercano accessi alla rete non autorizzati e si concentra l’attenzione su reti Wifi, VPN e collegamenti dall’esterno.

Infine si passa all’analisi dei siti Internet: si individuano falle che possono portare a cyber attacchi come phishing o social engineering, e si verifica che ci siano servizi web indesiderati attivi.

Si conclude con il rilevamento effettivo di tutte le vulnerabilità presenti grazie a strumenti specifici.

Tool consigliati

I Test di Vulnerabilità sono composti da scansioni eseguite da strumenti appositi chiamati vulnerability scanner.
Possono essere di tipo opensource o commerciale e funzionano per analisi sia interne che esterne alla rete aziendale.
Tra i migliori – a pagamento – troviamo Rapid7, Netsparker Security Scanner, Acunetix, Patch Manager Plus e Intruder.
Tra quelli gratuiti segnaliamo invece OpenVAS, Retina CS Community, BurpSuite, Nmap, Arachni e Nessus.

L’importante è accertarsi che il tool scelto sia in grado di riconoscere un ampio numero di vulnerabilità diverse, sia perfettamente conforme alle norme vigenti – sia relative a privacy e GDPR che non – e sia progettato in maniera chiara.
Deve quindi essere completo e intuitivo e fornire un report leggibile e di facile interpretazione.

L’importanza dei report

Il VA, per definirsi eseguito con successo e in maniera efficace, dovrebbe fornire dei risultati completi e dettagliati, in modo da offrire una panoramica utile e attendibile sullo stato di sicurezza.

Grazie ai dati, infatti, è innanzitutto possibile capire qual è il grado di rischio delle vulnerabilità riscontrate in base al punteggio ottenuto: si parte da un livello basso, in cui i punti deboli individuati non sono sfruttabili da terzi per scopi illeciti, per poi passare ai livelli moderato, alto e infine critico.
In quest’ultimo i problemi sono tali da mettere a rischio l’intero sistema ed è necessario delineare subito un piano d’azione.

Naturalmente il VA può anche non trovare alcun tipo di vulnerability, accertando che lo stato del sistema è già ottimale.

Grazie a un buon report, inoltre, si possono identificare nel dettaglio le aree colpite – e sulle quali si deve quindi intervenire – e quelle che invece non necessitano modifiche.
Infine, tenendo anche conto dei Vulnerability Assessment precedenti, si può ipotizzare quanto sia probabile un attacco e come i punti deboli individuati possano essere sfruttati dai malintenzionati.

Un buon Vulnerability Assessment è quindi imprescindibile per tutte le aziende che desiderano non sottovalutare i pericoli della rete e farsi trovare preparate in caso di attacco.