Incidenti e vulnerabilità.

Gli incidenti di sicurezza Sono eventi che mettono a rischio integrità, riservatezza o disponibilità di dati nei sistemi. Possono verificarsi se esistono le condizioni adatte, come le debolezze e le vulnerabilità.

Esempio

Un errore di programmazione logico può portare ad una debolezza. Se viene sfruttata, tutto il software diventa vulnerabile perché il bug diventa falla di sicurezza.

Nel dettaglio:

• Debolezza (weakness): è un difetto e/o falla interna al sistema che, se scoperta, può essere sfruttata per bypassare misure di sicurezza. Può essere sia hardware e sia software. È intrinseca nella natura dell'oggetto, e non dipende dall'utilizzo.

• Vulnerabilità (vulnerability): è una debolezza specifica del sistema, e viene sfruttata attraverso un exploit per compromettere la sicurezza. È direttamente legata all'utilizzo dell'oggetto. (vulnerability = exploit + weakness )

Classificazione delle vulnerabilità

• Intrinseche: sfruttano l'apertura della rete e degli elementi in quella rete (dispositivi, protocolli, porte logiche di rete, software non aggiornati, vulnerabilità zero-day)

Una vulnerabilità zero-day è un difetto di sicurezza sconosciuto al fornitore hardware o sviluppatore. Il termine indica che gli sviluppatori hanno "zero giorni" per riparare la falla prima che venga sfruttata, rendendo il sistema già esposto ad attacchi immediati e pericolosi poiché non esiste (ancora) una patch correttiva.

• Tecnologiche: Legate a specifici elementi hardware, software o di protocolli, che presentano errori di progettazione.

• Umane: La vulnerabilità a volte più sfruttata, perché si basa sull'imprevedibilità del comportamento umano, più facilmente ingannabile e tendente a commettere errori.

Come si tiene traccia?

Per proteggere in maniera efficace i sistemi informatici, l'azienda MITRE Corp. in collaborazione con il Dipartimento di Sicurezza USA mantene aggiornato il database di debolezze e vulnerabilità finora trovate. Nel dettaglio:

• CWE (Common Weakness Enumeration): fornisce una classificazione standard ed un elenco di tutte le debolezze riscontrate nell'hardware e nel software.

• CVE (Common Vulnerabilities and Exposures): è un catalogo delle diverse vulnerabilità, filtrate e valutate in base ad un punteggio denominato CVSS - Common Vulnerability Scoring System. Il punteggio va da 0 (basso impatto) a 10 (critico). Il criterio si basa su diversi fattori: modalità di attacco, privilegi necessari, necessità di interazione, ...

• Anche GitHub, piattaforma Git più usata al mondo, mette a disposizione il suo database di vulnerabilità, sincronizzato con CVE e CWE. Per visitarlo, premere qui