Database delle Vulnerabilità. Il Percorso dalla Raccolta al Lavoro

Ogni volta che parliamo di vulnerabilità, possiamo sentire parlare di diversi database dove possiamo trovarle. Ci sono un sacco di diversi database di vulnerabilità, ma qual è stato il primo? E come compaiono le vulnerabilità in questi database? In questo articolo, cercheremo di scoprirlo.

Cos’è un Database delle Vulnerabilità?

Un database delle vulnerabilità è uno strumento che consente di accedere alle informazioni sulle vulnerabilità conosciute. Gli esperti raccolgono, verificano e condividono informazioni con una vasta comunità per migliorare le conoscenze sulla cybersecurity. I database delle vulnerabilità aiutano le organizzazioni a tracciare e correggere le vulnerabilità nei loro sistemi. Gli scanner delle vulnerabilità sono realizzati sulla base dei database delle vulnerabilità. Uno scanner di vulnerabilità è uno strumento di test automatico che ricerca vulnerabilità e difetti nel sistema. Gli scanner sono completamente automatizzati e cercano solo vulnerabilità e segnalano potenziali esposizioni. Dopo ciò, si svolge un test di penetrazione. Dovreste distinguere questi due strumenti, poiché sono collegati, ma non sono la stessa cosa.

I database coprono una varietà di vulnerabilità. Essi differiscono l’uno dall’altro a seconda dello scopo. Le vulnerabilità includono:

• Hardware – scarsa crittografia, degrado dei componenti e vulnerabilità del firmware.
• Software – problemi di interfaccia utente, difetti di temporizzazione, bug di confusione dei privilegi, bug di assegnazione della memoria e bug di progettazione.
• Rete – architetture insicure, autenticazione insufficiente e accesso incontrollato.

Come Funziona un Database delle Vulnerabilità

Il primo passo per raccogliere le vulnerabilità è segnalarle. I rapporti possono provenire da diverse fonti, dagli sviluppatori agli utenti. C’è un periodo di attesa per ogni vulnerabilità che è stata segnalata. Dura da 30 a 90 giorni prima che l’informazione diventi pubblica. Questo periodo di attesa è necessario per consentire agli sviluppatori di creare e rilasciare le patch. Inoltre, durante questo tempo i clienti possono impostare queste patch per proteggersi, anche prima della notifica pubblica. Dipende dalle politiche di notifica e dai prodotti. Dopo che la patch è stata emessa, la vulnerabilità diventa pubblica per l’intera comunità con le sue specifiche.

Come Vengono Valutate le Vulnerabilità

Una delle liste di vulnerabilità più popolari è il CVE di MITRE, un’organizzazione senza scopo di lucro, sponsorizzata dal governo. Il sistema è stato istituito nel settembre 1999. Questa organizzazione ha creato una classificazione delle vulnerabilità. Questo sistema è il CVSS – il Common Vulnerability Scoring System. Una volta che una vulnerabilità viene scoperta, è elencata nel CVE ma senza alcuna specifica. Dopo il periodo di attesa, le specifiche saranno aggiornate nel CVE.

Identificatori CVE

Gli identificatori sono stati creati per semplificare l’uso e la comprensione delle vulnerabilità per le persone di tutto il mondo. Poiché ogni sistema aveva i propri database e identificatori, era troppo difficile identificare una stessa vulnerabilità. Da allora ogni vulnerabilità ha il suo ID, Riferimento e Descrizione:

• Identificatore CVE ha l’anno in cui una vulnerabilità è stata rilevata, e il numero.
• Riferimento contiene collegamenti alle patch, documenti con raccomandazioni e commenti degli sviluppatori.
• Descrizione contiene la definizione della vulnerabilità.

Database delle Vulnerabilità Popolari

• NVD (National Vulnerability Database)
  

  Il NVD è stato istituito nel 2005 dal governo degli Stati Uniti. È il principale database quando parliamo di database di vulnerabilità open source. L’NVD non pubblica vulnerabilità ma analizza i CVE dalla lista MITRE. Questa analisi consiste nel punteggio CVSS, nei collegamenti alle patch disponibili, nelle informazioni su come funziona la vulnerabilità e nella valutazione dell’impatto. Tutti questi elementi vi aiuteranno a capire e a dare priorità alla risoluzione delle vulnerabilità che avete.

• OSVDB (Open Source Vulnerability Database)
  

  L’OSVDB è stato creato nel 2004 da Jake Kouns, il fondatore di Risk Based Security – la società che gestisce una versione commerciale dell’OSVDB – il VulnDB. L’obiettivo dell’OSVDB era fornire informazioni dettagliate sulle vulnerabilità di sicurezza per uso non commerciale. Tuttavia, alcune aziende utilizzavano questo database per uso commerciale senza pagare. Dopo di ciò, l’OSVDB è stato chiuso nell’aprile 2016. Nel 2011 Risk Based Security ha avviato una versione commerciale, chiamata VulnDB. Questo database contiene più di 140k voci. Queste voci includono informazioni sui fornitori colpiti, tipo di vulnerabilità, classificazione e informazioni sull’ID. Inoltre, molte voci contengono informazioni di intelligence sulle minacce e contromisure.

Fonti Aggiuntive

Oltre ai database delle vulnerabilità, è possibile utilizzare anche i bollettini di sicurezza. Questa è una fonte che vi aiuta a conoscere le vulnerabilità di sicurezza, le strategie di risoluzione e gli aggiornamenti per il software. Alcune aziende IT hanno i propri bollettini di sicurezza, ad esempio IBM, Microsoft, ecc. A causa delle informazioni sensibili contenute nei bollettini, non contengono informazioni dettagliate sullo sfruttamento delle vulnerabilità. I bollettini di sicurezza informano i clienti sulle vulnerabilità. I clienti sono responsabili di verificare i danni effettivi o potenziali derivanti dalle vulnerabilità.

Inoltre, ci sono agenzie e servizi che forniscono informazioni sulle vulnerabilità. Ad esempio, gli standard CIS sono sviluppati grazie agli sforzi volontari di esperti IT, fornitori e sviluppatori degli standard CIS. Nella nostra Valutazione della Vulnerabilità del Database, utilizziamo le linee guida CIS e DISA STIGS per identificare e mitigare le vulnerabilità di sicurezza e impostare una configurazione sicura.

Ci sono molti database delle vulnerabilità che potete utilizzare per proteggere il vostro sistema. I database delle vulnerabilità diventano la base degli scanner delle vulnerabilità, grazie ai quali si può automatizzare il processo di ricerca delle vulnerabilità. Ricordatevi di essere sempre consapevoli delle vulnerabilità nei vostri sistemi per proteggere i dati sensibili e la vostra reputazione.