Basi di Dati delle Vulnerabilità. Dal Raccogliere al Lavorare

Ogni volta che parliamo di vulnerabilità, sentiamo parlare di diversi database dove possiamo trovarle. Ci sono molti diversi database delle vulnerabilità, ma qual è stato il primo? E come appaiono le vulnerabilità in questi database? In questo articolo, cercheremo di saperne di più.

Che Cos’è una Base di Dati delle Vulnerabilità?

Una base di dati delle vulnerabilità è uno strumento che consente di accedere alle informazioni sulle vulnerabilità note. Gli esperti raccolgono, verificano e condividono informazioni con una vasta comunità per migliorare le conoscenze sulla cybersecurity. Le basi di dati delle vulnerabilità aiutano le organizzazioni a tracciare e correggere le vulnerabilità nei loro sistemi. Gli scanner di vulnerabilità sono basati sulle basi di dati delle vulnerabilità. Uno scanner di vulnerabilità è uno strumento di test automatizzato che cerca vulnerabilità e difetti nel sistema. Gli scanner sono completamente automatizzati e cercano solo vulnerabilità, segnalando potenziali esposizioni. Dopodiché, si procede a un penetration test. Dovrebbe distinguere questi due strumenti, poiché sono collegati, ma non sono la stessa cosa.

I database coprono una varietà di vulnerabilità. Differiscono tra loro a seconda dello scopo. Le vulnerabilità includono:

• Hardware – codifica debole, degrado dei componenti e vulnerabilità del firmware.
• Software – problemi di interfaccia utente, difetti di sincronizzazione, errori di privilegio, errori di assegnazione della memoria e difetti di progettazione.
• Rete – architetture insicure, autenticazione insufficiente e accesso non controllato.

Come Funziona una Base di Dati delle Vulnerabilità

Il primo passo nella raccolta delle vulnerabilità è segnalarle. Le segnalazioni possono provenire da diverse fonti, dagli sviluppatori agli utenti. C’è un periodo di attesa per ogni vulnerabilità che è stata segnalata. Dura dai 30 ai 90 giorni prima che l’informazione diventi pubblica. Questo periodo di attesa è necessario per consentire agli sviluppatori di creare e rilasciare patch. Inoltre, durante questo periodo i clienti possono configurare queste patch per proteggersi, anche prima della notifica pubblica. Dipende dalle politiche di notifica e dai prodotti. Dopo il rilascio della patch, la vulnerabilità diventa pubblica per l’intera comunità con le sue specifiche.

Come Vengono Valutate le Vulnerabilità

Uno degli elenchi di vulnerabilità più popolari è un CVE di MITRE, un’organizzazione no-profit sponsorizzata dal governo. Il sistema è stato istituito a settembre 1999. Questa organizzazione ha creato una classificazione delle vulnerabilità. Questo sistema è il CVSS – il Common Vulnerability Scoring System. Una volta scoperta una vulnerabilità, viene elencata nel CVE, ma senza alcuna specifica. Dopo il periodo di attesa, le specifiche vengono aggiornate nel CVE.

Identificatori CVE

Gli identificatori sono stati creati per semplificare l’uso e la comprensione delle vulnerabilità da parte delle persone in tutto il mondo. Poiché ogni sistema aveva i propri database e identificatori, era troppo difficile identificare una stessa vulnerabilità. Da allora, ogni vulnerabilità ha il suo ID, Riferimento e Descrizione:

• ID CVE contiene l’anno in cui la vulnerabilità è stata ricercata e il numero.
• Riferimento contiene i collegamenti alle patch, documenti con raccomandazioni e commenti degli sviluppatori.
• Descrizione contiene la definizione della vulnerabilità.

Base di Dati delle Vulnerabilità Popolari

• NVD (National Vulnerability Database)
  

  Il NVD è stato istituito nel 2005 dal governo degli Stati Uniti. È il principale database quando parliamo di database delle vulnerabilità open source. Il NVD non pubblica vulnerabilità ma analizza i CVE dalla lista MITRE. Questa analisi consiste nel punteggio CVSS, nei collegamenti alle patch disponibili, nelle informazioni su come funziona la vulnerabilità e nella valutazione dell’impatto. Tutti questi elementi ti aiuteranno a comprendere e a dare priorità alla risoluzione delle vulnerabilità che hai.

• OSVDB (Open Source Vulnerability Database)
  

  L’ OSVDB è stato creato nel 2004 da Jake Kouns, il fondatore di Risk Based Security – la società che gestisce una versione commerciale dell’OSVDB – il VulnDB. Lo scopo dell’OSVDB era fornire informazioni dettagliate sulle vulnerabilità di sicurezza per uso non commerciale. Tuttavia, alcune imprese hanno utilizzato questo database per uso commerciale senza pagare. Dopodiché, l’OSVDB è stato chiuso nell’aprile 2016. Nel 2011 Risk Based Security ha avviato una versione commerciale, chiamata VulnDB. Questo database contiene più di 140k voci. Queste voci includono informazioni sui venditori interessati, il tipo di vulnerabilità, la classificazione e le informazioni sugli ID. Inoltre, molte voci contengono informazioni sull’intelligence sulle minacce e le contromisure.

Fonti Aggiuntive

Insieme alle basi di dati delle vulnerabilità, è possibile utilizzare anche i bollettini di sicurezza. Questa è una fonte che aiuta a conoscere le vulnerabilità di sicurezza, le strategie di rimedio e gli aggiornamenti per il software. Alcune imprese IT hanno i loro bollettini di sicurezza, ad esempio IBM, Microsoft, ecc. A causa delle informazioni sensibili contenute nei bollettini, non contengono informazioni dettagliate sull’esploitazione delle vulnerabilità. I bollettini di sicurezza informano i clienti sulle vulnerabilità. I clienti sono responsabili di verificare i danni effettivi o potenziali dalle vulnerabilità.

Inoltre, ci sono agenzie e servizi che forniscono informazioni sulle vulnerabilità. Ad esempio, i CIS Benchmarks sviluppati grazie agli sforzi volontari di esperti IT, fornitori e sviluppatori dei CIS Benchmarks. Nel nostro Database Vulnerability Assessment, utilizziamo le linee guida dei CIS Benchmarks e dei DISA STIGS per identificare e mitigare le vulnerabilità di sicurezza e impostare una configurazione sicura.

Ci sono molte basi di dati delle vulnerabilità che puoi utilizzare per proteggere il tuo sistema. Le basi di dati delle vulnerabilità diventano la base degli scanner di vulnerabilità, grazie ai quali puoi automatizzare il processo di ricerca delle vulnerabilità. Ricorda di essere consapevole delle vulnerabilità nei tuoi sistemi per proteggere i dati sensibili e la tua reputazione.