Vulnerability assessment: cos'è, come si fa e strumenti

La risposta breve: un vulnerability assessment è il processo sistematico con cui si identificano, si classificano e si mettono in ordine di priorità le vulnerabilità presenti in sistemi, reti e applicazioni. Lavora in ampiezza, passando in rassegna quanti più asset possibile, ed è prevalentemente automatico: uno scanner confronta ciò che trova con database di vulnerabilità note e restituisce un elenco ordinato di quello che non va. Non sfrutta le falle, le segnala: ti dice dove sei esposto, non cosa succederebbe se qualcuno provasse davvero a entrare.

È una delle attività di igiene di base della sicurezza, tra le più concrete da mettere in pratica e tra le prime che gli standard danno per scontate. Vediamo cos'è nel dettaglio, come si svolge passo per passo, con quali strumenti, ogni quanto ha senso ripeterlo e in cosa si distingue dal penetration test, con cui viene spesso confuso.

Che cos'è un vulnerability assessment

Il termine descrive un processo, non un singolo strumento. L'obiettivo è avere una fotografia aggiornata delle debolezze note della propria superficie esposta: software non aggiornato, configurazioni deboli, servizi esposti che non dovrebbero esserlo, credenziali predefinite mai cambiate, componenti con vulnerabilità già pubblicate.

Due caratteristiche lo definiscono. La prima è l'ampiezza: un VA cerca di coprire tutti gli asset possibili, per non lasciare zone d'ombra. La seconda è l'automazione: il grosso del lavoro lo fanno scanner che conoscono migliaia di vulnerabilità note e le cercano in modo ripetibile. Questo lo rende economico da ripetere e adatto a girare con regolarità. Il rovescio della medaglia è che un VA si ferma a ciò che è noto e riconoscibile: segnala il problema potenziale, ma non prova a sfruttarlo per dimostrare quanto sia davvero pericoloso.

Come si fa: le fasi

Un vulnerability assessment fatto bene segue una sequenza ordinata, che comincia prima della scansione e non finisce con il report.

1. Inventario degli asset. Non si può valutare ciò che non si sa di avere. Il primo passo è mappare sistemi, server, dispositivi, applicazioni e servizi esposti. Un inventario incompleto è la causa numero uno di VA che sembrano puliti mentre il problema è su una macchina dimenticata.
2. Scansione. Gli scanner interrogano gli asset e confrontano versioni, configurazioni e servizi con i database di vulnerabilità note, segnalando le corrispondenze.
3. Analisi e classificazione. I risultati grezzi vanno letti: si eliminano i falsi positivi e si classifica ogni vulnerabilità per gravità, di norma con il punteggio CVSS.
4. Prioritizzazione. La gravità tecnica va pesata sul contesto: una falla critica su un sistema esposto a internet e pieno di dati conta più della stessa falla su una macchina isolata e marginale.
5. Report. L'esito è un documento che elenca le vulnerabilità in ordine di priorità, con indicazioni pratiche di rimedio, leggibile sia dai tecnici sia da chi decide.
6. Remediation. La parte che conta davvero: applicare le patch, correggere le configurazioni, chiudere i servizi inutili. Un report che nessuno chiude non ha reso l'azienda più sicura.
7. Ri-scansione di verifica. Dopo gli interventi si scansiona di nuovo, per confermare che le falle siano state chiuse e che non ne siano comparse di nuove.

È un ciclo, non un evento singolo: la superficie esposta cambia di continuo, e per questo il VA torna a girare a intervalli regolari.

Gli strumenti

Il motore di un vulnerability assessment è lo scanner di vulnerabilità: un software che mantiene un catalogo aggiornato di debolezze note e verifica in modo sistematico quali siano presenti sugli asset analizzati. Tra i più diffusi sul mercato ci sono Nessus, Qualys e OpenVAS, ciascuno con caratteristiche proprie in termini di copertura, modalità di installazione e integrazione con il resto degli strumenti.

Una distinzione tecnica utile è tra scansione non autenticata e autenticata. Nella prima lo scanner osserva l'asset dall'esterno, come farebbe un attaccante senza credenziali; nella seconda accede al sistema con un account e ne ispeziona configurazione, patch installate e software presenti. La scansione autenticata vede molto di più e riduce sia i falsi positivi sia i falsi negativi: è la modalità preferibile quando è possibile predisporla, mentre quella non autenticata resta utile per capire come appare la superficie esposta a chi guarda da fuori.

Vale però una precisazione: lo strumento è una parte del lavoro, non tutto. Uno scanner senza un inventario accurato analizza solo ciò che gli viene indicato, e senza qualcuno che interpreti i risultati produce lunghe liste in cui il critico e il trascurabile stanno mescolati. Il valore di un VA sta tanto nella competenza di chi lo conduce quanto nello scanner che utilizza.

CVSS: come si legge la gravità

Per non trattare tutte le vulnerabilità allo stesso modo serve un metro condiviso. Lo standard di riferimento è il CVSS (Common Vulnerability Scoring System), che assegna a ogni vulnerabilità un punteggio da 0 a 10 in base a fattori come la facilità di sfruttamento e l'impatto potenziale. Più il punteggio è alto, più la vulnerabilità è considerata grave.

Il punteggio è un ottimo punto di partenza, ma non va preso come verdetto assoluto: dice quanto una falla è grave in generale, non quanto è grave per te. Una vulnerabilità di gravità media su un sistema che espone dati sensibili a internet può meritare più attenzione di una grave su un sistema interno e isolato. Ecco perché alla classificazione segue sempre la prioritizzazione sul contesto reale dell'azienda.

Ogni quanto va fatto

Non esiste una cadenza unica valida per tutti, ma il principio è chiaro: il vulnerability assessment è un'attività periodica o continua, non una tantum. La superficie esposta cambia ogni volta che si aggiorna un software, si pubblica un servizio o si aggiunge una macchina, e ogni giorno vengono rese pubbliche nuove vulnerabilità che il giorno prima non erano note. Un assessment fatto una volta e mai più diventa in fretta una foto scaduta.

Un buon criterio pratico è affiancare a una cadenza regolare le scansioni straordinarie legate agli eventi: dopo un cambiamento rilevante dell'infrastruttura, il rilascio di un'applicazione o la pubblicazione di una vulnerabilità critica che riguarda componenti in uso. In questo modo il ritmo di base copre l'ordinario e le verifiche mirate intercettano i momenti in cui il rischio si alza di colpo.

C'è poi il fronte normativo a spingere nella stessa direzione. La ISO 27001 include la gestione delle vulnerabilità tecniche tra i controlli attesi da un sistema di gestione della sicurezza (ne parliamo nella guida completa alla ISO 27001); la NIS2, con le sue misure di gestione del rischio, si aspetta valutazioni regolari della sicurezza dei sistemi; e la DORA, nel comparto finanziario, richiede un programma strutturato di test, di cui il vulnerability assessment è un tassello di base. In tutti e tre i casi non basta averlo fatto una volta: serve dimostrare un processo che gira nel tempo.

Vulnerability assessment e penetration test: non sono la stessa cosa

È la confusione più frequente, e vale la pena chiarirla. Il vulnerability assessment trova ed elenca le vulnerabilità in ampiezza, in modo automatico, senza sfruttarle. Il penetration test fa il passo successivo: va in profondità e le sfrutta manualmente, per dimostrare cosa otterrebbe davvero un attaccante. Il primo è la mappa, il secondo è la prova sul campo.

I due non si escludono, si completano. L'approccio che li combina ha un nome, VAPT (Vulnerability Assessment and Penetration Testing): prima il VA per la mappa ampia delle esposizioni, poi il pen test sui punti critici emersi, per capire quali di quelle esposizioni sono realmente pericolose. Abbiamo dedicato un articolo al confronto punto per punto, penetration test vs vulnerability assessment, e uno a cosa sia e come funzioni un penetration test. Se il bersaglio è una singola applicazione web, perimetro e metodologia cambiano ancora: lo spieghiamo nella scheda sul web application penetration test. Se invece la domanda riguarda ogni quanto ripetere il test offensivo, il modello continuativo si chiama penetration test as a service.

Gli errori che ne riducono il valore

Un vulnerability assessment rende quanto vale il modo in cui lo si conduce. Tre trappole ricorrenti.

• Scansionare senza inventario. Se metà degli asset non è nell'elenco, il report sarà pulito e la falla resterà proprio dove nessuno ha guardato.
• Fermarsi al report. La lista non riduce il rischio: lo riducono le patch e le correzioni che seguono. Senza remediation e ri-scansione, il VA è un esercizio a vuoto.
• Inseguire il numero di voci. Mille vulnerabilità elencate e nessuna chiusa valgono meno di dieci criticità reali risolte. Il metro è quante ne correggi, non quante ne trovi.

In sintesi: il vulnerability assessment è la radiografia periodica della tua superficie esposta: identifica, classifica e mette in ordine di priorità le vulnerabilità note, in ampiezza e in modo automatico, per poi guidare la remediation e verificarla con una nuova scansione. È l'igiene di base che ISO 27001, NIS2 e DORA danno per scontata, e la premessa su cui poggia ogni attività più avanzata, penetration test compreso. In AmagisTech inseriamo il vulnerability assessment in un percorso continuo di security operations, perché i risultati non restino un file in un cassetto ma alimentino il presidio quotidiano: il quadro completo è nei nostri servizi di cybersecurity.