Gli endpoint — desktop, laptop, server, apparati di rete, dispositivi IoT — sono tra le superfici più esposte di un’organizzazione. La grande maggioranza degli attacchi reali non sfrutta vulnerabilità “zero-day” sconosciute, ma falle note per cui esiste già una correzione che nessuno ha applicato. Il patch management è il processo strutturato che governa questa superficie, e come tecnico di supporto cybersecurity è tra le tue leve difensive più concrete.
Il ciclo di patch management
Applicare aggiornamenti non è un gesto estemporaneo, ma un ciclo ripetibile:
- Inventory — sapere quali asset, OS, applicazioni e firmware esistono. Non puoi patchare ciò che non censisci.
- Assessment / prioritizzazione — incrociare le vulnerabilità note (identificate da un CVE e pesate da un punteggio CVSS) con l’esposizione reale dell’asset.
- Testing — verificare la patch in un ambiente controllato per evitare regressioni.
- Deployment — distribuzione (idealmente centralizzata, non “a mano” macchina per macchina).
- Verifica — confermare che la patch sia effettivamente installata e attiva.
Un aggiornamento cumulativo spesso porta con sé anche le correzioni precedenti; comprendere questo evita di lasciare buchi quando si “salta” qualche ciclo.
Le quattro superfici da aggiornare
Il patching non riguarda solo il sistema operativo. Ci sono quattro livelli distinti, ciascuno con un canale di distribuzione proprio:
| Livello | Cosa aggiorna | Canale tipico | Rischio se trascurato |
|---|---|---|---|
| Sistema operativo | Kernel, componenti di sistema | Windows Update, gestori pacchetti Linux (apt/yum), aggiornamenti macOS | Privilege escalation, RCE |
| Applicazioni | Browser, client di posta, runtime, plugin | Aggiornatori app o software distribution | Exploit via file/documenti/web |
| Device driver | Interfaccia HW/SW (rete, GPU, storage) | Update OS o sito del vendor HW | Codice in kernel-mode compromesso |
| Firmware | UEFI/BIOS, controller, apparati di rete e IoT | Utility del produttore, immagine IOS-XE su router/switch | Persistenza sotto l’OS, quasi invisibile |
Nota che gli apparati Cisco rientrano a pieno titolo: aggiornare l’immagine IOS-XE di un router o di uno switch è esattamente patch management applicato all’infrastruttura di rete.
Patching e finestra di esposizione
Il valore del patching si misura in finestra di esposizione: il tempo che intercorre tra la pubblicazione della patch (momento in cui la vulnerabilità diventa pubblica e “armabile”) e la sua effettiva applicazione. Più questa finestra è ampia, più aumenta la probabilità che un attaccante sfrutti la falla prima di te. Il patching è quindi la remediation primaria delle vulnerabilità note: non le “nasconde”, le rimuove eliminando il codice difettoso.
Attenzione a due limiti concettuali fondamentali:
- Una patch non è retroattiva. Corregge la vulnerabilità, ma non annulla un exploit già andato a segno. Se il sistema è stato compromesso prima di aggiornare, malware, backdoor, account o persistenze installati restano al loro posto. Dopo un incidente serve incident response, non solo un aggiornamento.
- Il patching riduce il rischio, non lo azzera. Restano gli zero-day e i sistemi end-of-life che non ricevono più aggiornamenti.
Firmware e driver: i vettori dimenticati
È qui che cade la maggior parte delle organizzazioni. Firmware (UEFI/BIOS, controller di dischi, apparati) e driver vengono aggiornati raramente perché il processo è manuale, rischioso o percepito come “non urgente”. Ma un firmware vulnerabile è un vettore d’attacco privilegiato: vive sotto il sistema operativo, sopravvive a reinstallazioni e reset, ed è cieco agli antivirus tradizionali. Analogamente, i driver girano in kernel-mode: una loro vulnerabilità dà all’attaccante i privilegi più alti possibili. Un programma di patch management maturo tratta firmware e driver con la stessa serietà dell’OS.
Trappole tipiche d’esame
- Scenario: un host è stato compromesso; applichi subito tutte le patch. Sei al sicuro? → No. La patch chiude la falla per il futuro ma non rimuove malware o persistenze già installate: serve rilevamento e bonifica (incident response).
- Scenario: tutti gli OS e le applicazioni sono aggiornati, ma un router mostra un exploit attivo. → La causa più probabile è il firmware/immagine (IOS-XE) non aggiornato; firmware e driver sono spesso l’anello trascurato.
- Scenario: vuoi ridurre il rischio delle vulnerabilità note. Qual è la remediation principale? → Applicare le patch riducendo la finestra di esposizione, non solo aggiungere un firewall o un IPS come compensazione.
- Scenario: una macchina è a fine supporto (end-of-life) e non riceve più aggiornamenti. → Il patching non è più un’opzione: occorre isolare/segmentare o dismettere l’asset, perché resterà vulnerabile per sempre.
- Scenario: distinguere CVE e CVSS. → Il CVE identifica la vulnerabilità, il CVSS ne quantifica la gravità e guida la prioritizzazione delle patch.