Vulnerabilità: leggere le evidenze e fare il triage

La scheda Vulnerabilità ti aiuta a decidere cosa correggere per primo. Parti dalle evidenze, valuta il contesto e registra la tua decisione: RECON la riapplica nelle scansioni successive degli stessi domini.

2.63:11

Obiettivo

Alla fine di questa guida sai leggere un rilevamento (gravità, CVSS, CISA KEV, EPSS, qualità dell'evidenza) e classificarlo come Falso positivo, Risolta / corretta o Rischio accettato, con un motivo che resta nel tempo.

Prerequisiti

• Una scansione esterna completata, per esempio quella di meccanicaadda.it.
• Accesso alla scansione: puoi classificare i rilevamenti sia sulle tue scansioni sia su quelle condivise con te.

Capitoli

Come leggere un rilevamento

• Valutazione del Rischio riassume il quadro; accanto trovi i conteggi per gravità: Critica Alta Media Bassa. Sono una priorità di analisi, non la prova che ogni rilevamento sia applicabile.
• Il Punteggio di Rischio va da 0 a 10 e combina gravità CVSS, presenza nel catalogo CISA KEV, probabilità EPSS, exploit pubblici ed esposizione degli asset.
• Il riquadro rosso in alto indica quante vulnerabilità sono nel catalogo CISA KEV (Known Exploited Vulnerabilities): sono già sfruttate dagli attaccanti.
• Nel dettaglio di una vulnerabilità trovi il punteggio CVSS con il vettore d'attacco (per esempio da rete, bassa complessità, nessun privilegio richiesto), lo stato dell'evidenza e i badge di sfruttamento.
• Lo stato dell'evidenza dice quanto è solido il rilevamento: Confermato, Probabile, Non verificato o Non applicabile. Non verificato significa che la versione non è stata confermata: controllala direttamente sul server.
• EPSS (il modello di FIRST) stima la probabilità che la vulnerabilità venga sfruttata nei prossimi 30 giorni. Non è la probabilità che la tua azienda venga violata.
• Più in basso trovi Descrizione e Cronologia; Visualizza in NVD apre la scheda ufficiale della CVE.

Procedura

1. Apri la scheda Vulnerabilità

   Apri l'ultima scansione di meccanicaadda.it e scegli la scheda Vulnerabilità. Per trovare un rilevamento preciso, scrivi il suo ID nella ricerca (Cerca ID CVE o descrizione...) e fai clic sulla riga per aprire il dettaglio.

2. Verifica prima di classificare

   Confronta il rilevamento con la realtà: la tecnologia e la versione rilevate corrispondono davvero a quelle del prodotto vulnerabile? Un rilevamento su AngularJS, per esempio, non si applica a un sito che usa una versione recente di Angular. Chiudi il dettaglio e cancella la ricerca.

3. Apri il pannello di classificazione

   Fai clic sull'icona in fondo alla riga (Segna come falso positivo). Si apre Imposta stato della vulnerabilità con la domanda Come la stai classificando?.

4. Scegli la classificazione

   • Falso positivo: il rilevamento non si applica (per esempio fix backportato o versione non corrispondente).
   • Risolta / corretta: il problema era reale ma è già stato corretto. La classificazione documenta una verifica: non installa aggiornamenti sul server.
   • Rischio accettato: il problema è reale e non corretto, ma l'azienda decide di accettarlo, per esempio per un sito in dismissione. Accettare non significa correggere.

5. Scrivi il motivo e conferma

   Compila Motivo (opzionale) con una motivazione verificabile: chi ha controllato, cosa e quando. Se il rilevamento riguarda più host, scegli in Che cosa stai ignorando? se applicarlo a Solo questo host o a tutti gli host interessati. Conferma con Ignora ovunque (oppure Ignora su seguito dall'host).

Risultato

• La riga resta nell'elenco, barrata, con l'etichetta della decisione: Falso positivo, Risolta o Rischio accettato.
• Il rilevamento classificato esce dal punteggio di rischio ed è conteggiato a parte. Il motivo resta registrato con la decisione.
• Usa il filtro di gravità (per esempio Bassa) per trovare rapidamente i rilevamenti da rivedere e torna poi su Tutte le Gravità.

Risoluzione dei problemi

• Devo annullare una decisione: fai clic sulla freccia di ripristino in fondo alla riga (Rimuovi falso positivo). Il rilevamento torna aperto e la decisione smette di propagarsi alle scansioni successive.
• La decisione non compare in un'altra scansione: la decisione vale solo per lo stesso insieme di domini. Una scansione con domini diversi (per esempio con un dominio in più) non la eredita.
• Vedo meno rilevamenti del previsto: controlla il filtro Evidenze del rilievo. Risultati aperti mostra solo i rilevamenti da gestire; Tutte le evidenze registrate mostra anche quelli non verificati e non applicabili.

Articoli correlati