Threat, vulnerability, exploit, risk e CVSS/CVE

I mattoni fondamentali della security operations

Nel lavoro quotidiano di un SOC analyst, alcuni termini vengono usati come sinonimi mentre in realtà descrivono cose molto diverse. L’esame 200-201 insiste su queste distinzioni perché guidano la prioritizzazione degli alert e la triage degli incidenti.

• Threat (minaccia): qualsiasi circostanza o evento con il potenziale di causare danno. La minaccia esiste indipendentemente dai tuoi sistemi (es. una campagna di ransomware).
• Threat actor (agente di minaccia): chi genera la minaccia. Può essere uno script kiddie, un gruppo di cybercrime, un insider, un hacktivist o un attore nation-state / APT. Il livello di sofisticazione e motivazione cambia il profilo di rischio.
• Vulnerability (vulnerabilità): una debolezza in software, configurazione o processo (es. un buffer overflow, una password di default, una VLAN non segmentata). È latente: esiste anche se nessuno la sfrutta.
• Exploit: il codice o la tecnica concreta che attiva una vulnerabilità per produrre un effetto (RCE, privilege escalation). Senza vulnerabilità, l’exploit non ha bersaglio.
• Risk (rischio): la probabilità che una minaccia sfrutti una vulnerabilità moltiplicata per l’impatto sull’organizzazione. È l’unica grandezza che tiene conto del valore dell’asset.
• Attack surface: l’insieme di tutti i punti (porte, servizi, API, endpoint, utenti, dispositivi IoT) attraverso cui un attore può interagire con il sistema. Ridurla (hardening, segmentazione, chiusura di servizi) è una delle contromisure più efficaci.

Relazione chiave: un threat actor usa un exploit contro una vulnerability esposta nell’attack surface, generando un risk proporzionale all’impatto sull’asset colpito.

CVE e NVD: il vocabolario delle vulnerabilità note

Il programma CVE (Common Vulnerabilities and Exposures), gestito da MITRE, assegna un identificatore univoco a ogni vulnerabilità pubblicamente nota, nella forma CVE-AAAA-NNNN (es. CVE-2021-44228, Log4Shell). Il CVE non contiene lo score: è solo un’etichetta condivisa che permette a vendor, tool e analisti di parlare della stessa cosa.

Il NVD (National Vulnerability Database), gestito dal NIST, arricchisce ogni CVE con metadati: CVSS score, categoria CWE (tipo di debolezza), configurazioni CPE affette e riferimenti. Nel workflow di un SOC, il CVE è il puntatore e l’NVD è la scheda tecnica che alimenta la prioritizzazione delle patch.

CVSS v3: come si costruisce la severità

Il CVSS (Common Vulnerability Scoring System) v3.x produce uno score da 0.0 a 10.0. La componente più importante per l’esame è il Base Metric Group, che descrive le caratteristiche intrinseche e immutabili della vulnerabilità.

Exploitability metrics:

Impact metrics — misurano l’effetto sulla triade CIA:

• Confidentiality (C), Integrity (I), Availability (A): ciascuna None / Low / High.

C’è poi lo Scope (S): se un exploit esce dal componente vulnerabile e colpisce risorse gestite da un’altra security authority, lo scope è Changed e lo score sale.

Regola pratica: il punteggio più alto arriva da AV:Network + AC:Low + PR:None + UI:None + impatto High su C/I/A + Scope:Changed. Le fasce qualitative: 0.1–3.9 Low, 4.0–6.9 Medium, 7.0–8.9 High, 9.0–10.0 Critical.

Oltre al Base esistono i gruppi Temporal (maturità dell’exploit, disponibilità di fix) e Environmental (peso della CIA nel tuo ambiente): servono a calare lo score generico nella realtà specifica, ma sono opzionali.

Trappole tipiche d’esame

• Scenario: una scheda NVD riporta un CVE con CVSS 9.8 ma nessun IOC in rete → risposta giusta: è una vulnerabilità latente ad alta severità, non un attacco in corso. Lo score misura il potenziale, non l’attività. Serve patching prioritario, non incident response.
• Scenario: si osservano tentativi di connessione, payload e privilege escalation contro un servizio → questo è un exploit attivamente sfruttato; qui scatta la risposta all’incidente, indipendentemente dal fatto che il CVSS sia “solo” Medium.
• Scenario: la domanda chiede la differenza tra threat e risk → il risk include probabilità e impatto sull’asset; la threat esiste anche senza asset esposti. Non confonderli.
• Scenario: Privileges Required = None + Attack Vector = Network → questi valori aumentano lo score (più facile da sfruttare, quindi più severa). Molti candidati li invertono.
• Scenario: distinguere CVE da CVSS → il CVE è l’identificatore, il CVSS è il punteggio. Il CVE non contiene severità; quella la fornisce l’NVD tramite CVSS.