La gestione delle vulnerabilità parte da un presupposto: non puoi difendere ciò che non conosci. I vulnerability database raccolgono in modo strutturato le debolezze note di software, firmware e apparati di rete, permettendo a chi difende (e a chi attacca) di sapere quali falle esistono, dove e con quale gravità. Per un tecnico di supporto cybersecurity, saperli leggere è la base per prioritizzare patch e mitigazioni.
CVE: l’identificatore univoco
Il CVE (Common Vulnerabilities and Exposures) è un catalogo gestito da MITRE e sponsorizzato da CISA. Il suo scopo non è misurare o descrivere in dettaglio, ma assegnare un nome univoco a ogni vulnerabilità, nel formato CVE-AAAA-NNNNN (anno di assegnazione + numero progressivo). Questo identificatore diventa la “lingua comune”: quando un vendor, un feed di threat intelligence e uno scanner parlano dello stesso CVE-2024-12345, sanno di riferirsi esattamente alla stessa falla.
Il CVE non contiene il punteggio di gravità: è solo l’anagrafica. L’arricchimento (severità, prodotti affetti, riferimenti) viene aggiunto da database come l’NVD (National Vulnerability Database) del NIST, che associa a ogni CVE il punteggio CVSS e i codici CPE dei prodotti interessati.
CVSS: quantificare la severità
Il CVSS (Common Vulnerability Scoring System), gestito da FIRST, traduce le caratteristiche tecniche di una falla in un punteggio numerico da 0.0 a 10.0. È composto da gruppi di metriche:
- Base: caratteristiche intrinseche e stabili (vettore d’attacco, complessità, privilegi richiesti, interazione utente, impatto su Confidentiality/Integrity/Availability). È il punteggio pubblicato nei database.
- Temporal / Threat: fattori che variano nel tempo (esistenza di exploit noti, disponibilità di patch).
- Environmental: adattamento al contesto specifico dell’organizzazione.
La classificazione qualitativa standard (CVSS v3.x) è:
| Severità | Range CVSS |
|---|---|
| None | 0.0 |
| Low | 0.1 – 3.9 |
| Medium | 4.0 – 6.9 |
| High | 7.0 – 8.9 |
| Critical | 9.0 – 10.0 |
Il Base score è quello che vedi nell’NVD; le metriche Environmental sono ciò che ti permette di “correggere” quel numero in base a quanto quell’asset conta davvero per te.
Threat intelligence e minacce zero-day
La threat intelligence è l’insieme di informazioni contestualizzate sulle minacce: IOC (Indicators of Compromise come hash, IP, domini), TTP degli attaccanti, campagne attive. Si consuma tramite feed condivisi in formati standard come STIX/TAXII. In ambito Cisco, un esempio concreto è Talos, che alimenta con firme e reputazione dispositivi come Firepower (sensori IPS basati su Snort) e i motori di web/email security.
Una minaccia zero-day è una vulnerabilità non ancora catalogata né corretta: non ha (ancora) un CVE pubblico né una patch. Poiché gli scanner basati su firme non la riconoscono, la difesa si sposta su controlli comportamentali e riduzione della superficie d’attacco.
Il threat modeling serve proprio a ragionare in anticipo: mappare la superficie d’attacco, identificare gli asset di valore, ipotizzare chi potrebbe attaccare, come e quali controlli mancano — invece di limitarsi a rincorrere i CVE già noti. Metodologie come STRIDE aiutano a categorizzare le minacce (spoofing, tampering, ecc.).
Dal punteggio al rischio reale
Il punto critico: CVSS misura la severità tecnica, non il rischio. Il rischio dipende dal contesto — quanto l’asset è esposto (raggiungibile da Internet o solo da una VLAN interna dietro ACL e segmentazione?) e quanto vale. Una falla Critical su un host di laboratorio isolato può contare meno di una Medium su un server di produzione esposto pubblicamente. È qui che intervengono le metriche Environmental e i controlli compensativi (segmentazione, NAT, policy di accesso con Cisco ISE).
Trappole tipiche d’esame
- Scenario: un CVE ha CVSS Base 9.8 ma l’asset è su una VLAN isolata, non raggiungibile dall’esterno → risposta giusta: il rischio effettivo è basso; un CVSS alto non implica automaticamente rischio alto senza valutare esposizione e valore dell’asset.
- Scenario: ti chiedono cosa identifica univocamente una vulnerabilità → risposta giusta: il CVE, non il CVSS (che ne misura la gravità).
- Scenario: un attacco sfrutta una falla senza patch né identificatore pubblico → risposta giusta: è una minaccia zero-day; le firme non la rilevano, servono controlli comportamentali.
- Scenario: dove trovi il punteggio CVSS e i prodotti affetti associati a un CVE → risposta giusta: nell’NVD, che arricchisce il record MITRE.
- Scenario: per adattare la severità al proprio ambiente specifico quale gruppo di metriche usi → risposta giusta: le metriche Environmental del CVSS, non le Base.