Il margine di tempo tra la scoperta e lo sfruttamento si sta riducendo

Punti di forza

• La rapida crescita delle vulnerabilità e l’individuazione basata sull’intelligenza artificiale stanno riducendo il tempo che intercorre tra la divulgazione di una vulnerabilità e il suo sfruttamento attivo.
• Cicli di applicazione delle patch regolari e disciplinati contribuiscono a ridurre l’esposizione complessiva e a prepararsi alle nuove vulnerabilità (CVE).
• Il ripristino è fondamentale per la resilienza, ma deve essere accompagnato dall’applicazione tempestiva delle patch per correggere le vulnerabilità.
• Le organizzazioni dovrebbero avvalersi dell’intelligenza artificiale per accelerare l’individuazione e la risoluzione delle vulnerabilità, anziché lasciare che i problemi si accumulino nei backlog.
• I fornitori, che svolgono un ruolo fondamentale, garantiscono ai clienti una comunicazione rapida e trasparente delle vulnerabilità e indicazioni chiare su come risolverle.

L’anno scorso, secondo i dati di settore, il volume annuale dei CVE si attestava a decine di migliaia; successivamente, il NIST ha segnalato una crescita record dei CVE e un aumento del 263% delle segnalazioni tra il 2020 e il 2025.

Mi rendo conto in tempo reale delle ripercussioni che ciò ha su un team di sicurezza, perché sono in prima linea quando succede. Le solite domande – qual è la nostra vulnerabilità e in quanto tempo possiamo risolverla? – un tempo lasciavano un po’ di respiro. Ora si presentano più rapidamente di quanto la maggior parte dei team riesca a mobilitare il personale necessario per affrontarle. La maggior parte delle organizzazioni dispone di procedure di risposta alle vulnerabilità. Sono però poche quelle che dispongono di procedure concepite per garantire questa rapidità. Per anni, il settore ha organizzato la propria risposta attorno alle singole vulnerabilità. Viene pubblicato un CVE, seguono i punteggi di gravità, l’arricchimento dei dati si mette al passo e i team effettuano il triage con un certo margine di discrezionalità. Quel ritmo presupponeva un’andatura umana nella scoperta, ma tale presupposto non è più valido. Tale volume sta già superando la capacità delle infrastrutture create per monitorarlo. Il NIST ha dichiarato che il National Vulnerability Database sta passando a un modello di arricchimento basato sul rischio, poiché le segnalazioni CVE sono aumentate a un ritmo superiore a quello con cui il programma è in grado di elaborarle completamente.

È probabile che l’intelligenza artificiale stia aggravando la situazione, aiutando gli autori delle minacce a sfruttare le vulnerabilità e consentendo ai difensori di identificarle e convalidarle a un ritmo più veloce di quanto i flussi di lavoro di catalogazione tradizionali riescano a gestire. Il lasso di tempo che intercorre tra la scoperta di una vulnerabilità e il suo sfruttamento si sta riducendo, e un codice di exploit funzionante può comparire prima che una patch venga distribuita su larga scala. Questo rompe il vecchio modello. La gestione strutturata delle vulnerabilità rimane importante, ma molti programmi sono pensati per un’epoca in cui i tempi erano più lenti: raccogliere i segnali, classificare i rischi, assegnare i responsabili e infine intervenire. Quando l’individuazione delle vulnerabilità accelera in modo così repentino, anche i team più disciplinati restano indietro perché il modello operativo non riesce ad assorbire il volume con sufficiente rapidità. Questo rompe il vecchio modello. Pertanto, l’unità di misura del lavoro deve cambiare. Non conta più se una specifica vulnerabilità è stata risolta, ma se la propria organizzazione è in grado di applicare le correzioni, verificarle e ripristinare i sistemi alla velocità richiesta dall’attuale panorama delle minacce.

Patch a orologeria

Iniziate dalla cadenza. Le operazioni più resilienti che ho osservato hanno smesso di considerare l’applicazione delle patch come un’interruzione e hanno iniziato a trattarla come una manutenzione di routine: programmata settimanalmente, con responsabilità ben definite e misurata come qualsiasi altro impegno operativo. Una cadenza regolare contribuisce a ridurre il periodo di esposizione nell’intero parco sistemi e ad eliminare il “premio di panico” associato a ogni singola segnalazione. Quando gli aggiornamenti vengono effettuati ogni settimana, le organizzazioni sono preparate ad affrontare le vulnerabilità (CVE).

La cadenza non significa trattare tutto allo stesso modo. Una vulnerabilità oggetto di sfruttamento attivo, del tipo inserito nel Catalogo delle vulnerabilità note soggette a sfruttamento della CISA, richiede comunque una risposta immediata e fuori programma. Il programma settimanale gestisce il flusso delle segnalazioni come routine, in modo che le vere emergenze ricevano la giusta attenzione senza dover competere con il rumore di fondo.

Colmare la vulnerabilità, non solo il divario

Ecco la parte che Recovery da solo non può risolvere. Se una vulnerabilità mette a rischio una risorsa, ripristinare quella risorsa senza risolvere la vulnerabilità equivale solo a azzerare il conto alla rovescia. La vulnerabilità è ancora lì, in attesa del prossimo tentativo. Recovery è importante, ma non sostituisce la chiusura della falla che ha permesso all’autore della minaccia di entrare.

Ciò significa che il vero lavoro deve avvenire prima, nel momento in cui le vulnerabilità vengono individuate e risolte. L’intelligenza artificiale sta cambiando questa equazione su entrambi i fronti. Gli stessi modelli che aiutano un autore di minacce a individuare uno sfruttamento possono aiutare un fornitore a individuarlo per primo. Il reparto di ingegneria di Commvault utilizza l’intelligenza artificiale sul nostro codice sorgente per individuare le vulnerabilità prima del rilascio, e applichiamo l’intelligenza artificiale per risolvere i problemi rilevati, anziché inserirli in un elenco di attività in sospeso. Una vulnerabilità che rimane in coda per settimane perché un team ha esaurito le risorse disponibili rimane comunque una vulnerabilità. La rapidità di rilevamento non ha alcun significato senza la rapidità di risoluzione.

Chiedete di più ai vostri fornitori

Quando il lasso di tempo che intercorre tra l’individuazione di una vulnerabilità e il suo sfruttamento si misura in ore, i clienti non possono permettersi di venire a conoscenza di una vulnerabilità nel prodotto del proprio fornitore da una terza parte. Devono riceverne notizia dal fornitore stesso, tempestivamente, in un linguaggio chiaro, con una risposta diretta alle domande «Sono interessato?» e «Cosa devo fare per prima cosa?». Chiedete a ogni fornitore critico con quale rapidità rende pubbliche le vulnerabilità, come avvisa i clienti interessati, quali prove fornisce per la risoluzione e come i clienti possono verificare che l’esposizione sia stata eliminata. La trasparenza sulle vulnerabilità fa parte della resilienza.

L’era dell’intelligenza artificiale all’avanguardia non sarà vinta da chi presenta il minor numero di vulnerabilità. Ogni azienda di software seria ne renderà pubbliche di più. Il vantaggio andrà a chi considera l’applicazione delle patch una disciplina costante e Recovery la disciplina che rende superabile la perdita di una finestra temporale.

Domande frequenti

D: Perché il lasso di tempo tra la scoperta di una vulnerabilità e il suo sfruttamento si sta accorciando?
R: Probabilmente l’IA sta aggravando la pressione, aiutando gli autori delle minacce a sfruttare le vulnerabilità e consentendo ai difensori di identificare e convalidare le vulnerabilità più rapidamente di quanto i flussi di lavoro di catalogazione tradizionali riescano ad assorbire. Di conseguenza, il codice di exploit può diventare disponibile prima che molte organizzazioni abbiano avuto il tempo di applicare le patch.

D: Perché i cicli settimanali di applicazione delle patch stanno diventando sempre più importanti? R: Un programma settimanale costante di applicazione delle patch contribuisce a ridurre l’esposizione dell’organizzazione alle vulnerabilità note. Consente inoltre ai team di sicurezza di concentrare immediatamente la propria attenzione sulle minacce attivamente sfruttate e di prepararsi ai nuovi CVE. D: Il Recovery è sufficiente per proteggersi dagli attacchi informatici? R: No. Il Recovery aiuta le organizzazioni a ripristinare le operazioni dopo un incidente, ma ripristinare i sistemi senza risolvere la vulnerabilità sottostante li lascia esposti ad attacchi futuri. Una resilienza efficace richiede sia una correzione rapida che un Recovery affidabile. D: In che modo l’intelligenza artificiale può contribuire a migliorare la gestione delle vulnerabilità? R: L’intelligenza artificiale può aiutare a identificare le vulnerabilità in fase precoce, a stabilire le priorità negli interventi di correzione e ad accelerare il processo di risoluzione. Ciò consente ai team di sicurezza e di ingegneria di reagire più rapidamente, evitando che le vulnerabilità rimangano irrisolte in lunghi arretrati.

D: Cosa dovrebbero chiedere le organizzazioni ai propri fornitori di software riguardo alla gestione delle vulnerabilità? R: Le organizzazioni dovrebbero chiedere con quale rapidità i fornitori rendono note le vulnerabilità, in che modo vengono informati i clienti interessati, quali indicazioni vengono fornite per la risoluzione del problema e come i clienti possano verificare che il problema sia stato risolto completamente. Una comunicazione trasparente è una componente importante della resilienza informatica.

Rajiv Kottomtharayil è Chief Products Officer presso Commvault.