Vulnerabilità delle applicazioni: CVSS Exploitability Metrics

Exploitability Metrics

Queste metriche, che fanno parte della classificazione CVSS, descrivono le caratteristiche della componente vulnerabile. Pertanto, ciascuna delle metriche elencate in questa sezione devono essere valutate rispetto alla componente vulnerabile, e rispecchiano le proprietà della vulnerabilità che permettono ad un attacco di avere successo.

Vettore di attacco (AV)

Questa metrica riflette il contesto con cui vulnerabilità sfruttamento è possibile. Questo valore metrica (e di conseguenza il punteggio di base) sarà più grande è la più remota (logicamente e fisicamente) un aggressore può essere al fine di sfruttare la componente vulnerabile. Il presupposto è che il numero di potenziali aggressori per una vulnerabilità che potrebbe essere sfruttata da tutto il Internet è maggiore del numero di potenziali aggressori che potrebbe sfruttare una vulnerabilità che richiede l’accesso fisico a un dispositivo, e garantisce quindi un punteggio superiore.

Complessità dell’attacco (AC)

Questa metrica descrive le condizioni che esulano dal controllo dell’attaccante che devono esistere al fine di sfruttare la vulnerabilità. Come descritto di seguito, tali condizioni possono richiedere la raccolta di ulteriori informazioni sul bersaglio, la presenza di determinate impostazioni di configurazione di sistema, o eccezioni computazionali. È importante sottolineare che la valutazione di questa metrica esclude eventualmente la necessità di interazione con l’utente al fine di sfruttare la vulnerabilità (tali condizioni vengono acquisite in Interaction metrica Utente). Questo valore metrica è più grande per gli attacchi meno complesse. L’elenco dei possibili valori è presentato nella Tabella 2.

Privilegi necessari (PR)

Questa metrica descrive il livello di privilegi un utente malintenzionato deve possedere prima di sfruttare la vulnerabilità. Questa metrica se più grande se non hanno bisogno di privilegi.

Interazione utente (UI)

Questa metrica cattura il requisito per un utente, oltre al malintenzionato, a partecipare compromesso successo del componente vulnerabile. Questa metrica determina se la vulnerabilità può essere sfruttata esclusivamente alla volontà dell’attaccante, o se un utente separato (o un processo avviato dall’utente) deve partecipare in qualche modo. Questo valore metrica è maggiore quando non è richiesto alcun intervento da parte dell’utente.

Vulnerabilità delle applicazioni: introduzione a CVSS

Il Common Vulnerability Scoring System (CVSS) è framework aperto per comunicare le caratteristiche e l’impatto di vulnerabilità di sicurezza. Il suo modello quantitativo assicura una misurazione precisa e ripetibile, mentre gli utenti possono vedere le metriche che sono stati utilizzati per generare i punteggi di vulnerabilità.
CVSS ben si adatta ad essere adottato come sistema di misura standard per le industrie, organizzazioni e governi che hanno bisogno di punteggi precisi e coerenti sull’impatto di una vulnerabilità.

CVSS può essere utilizzato per pianificare le attività di correzione di vulnerabilità e nel calcolo della gravità della vulnerabilità scoperte sui propri sistemi.

CVSS è composto di tre gruppi di metriche: Base, Temporale e Ambientale, ciascuna composta da un insieme di parametri.

Il gruppo di metriche di base rappresenta le caratteristiche intrinseche di una vulnerabilità che sono costanti nel tempo. Si suddivide in due sottogruppi: metriche di sfruttabilità e le metriche di impatto.

Il gruppo di metriche temporali descrive le caratteristiche di una vulnerabilità che possono cambiare nel tempo, ma non in base all’ambiente dell’utente. Ad esempio, la presenza di un kit facilmente utilizzabile aumenterebbe il punteggio CVSS, mentre la creazione di una patch ufficiale lo abbasserebbe.

Il gruppo di metriche ambientali rappresenta le caratteristiche di una vulnerabilità che sono rilevanti per l’ambiente di un particolare utente. Queste metriche consentono all’analista di valutare la presenza di elementi nel proprio ambiente operativo, che possono modificare le conseguenze della vulnerabilità.

Protezione per Microsoft SharePoint

Molte aziende ed anche enti pubblici stanno sviluppando progetti con Microsoft SharePoint per creare dei portali di condivisione e scambio di documenti.

Questi portali permettono di caricare e scaricare dei documenti che vengono memorizzati all’interno di un database Microsoft SQL Server anzichè in comuni file.

Questi documenti spesso sono accessibili e/o caricati da utenti anche esterni che si trovano al di fuori del perimetro aziendale e che potrebbero non essere protetti secondo le policy aziendali o comunque con prodotti dello stesso livello qualitativo, ed in questa maniera SharePoint potrebbe diventare una falla nella sicurezza aziendale.

Un software antivirus comune non è in grado di analizzare i documenti memorizzati in SharePoint, proprio perché i documenti non sono dei file, ma sono dei record all’interno di un database.

E’ necessario un software progettato in modo specifico, come Kaspersky Security for Microsoft SharePoint, in grado di analizzare i documenti memorizzati sfruttando alcune tecnologie messe a disposizione da Microsoft come Virus Scan API (VSAPI)

Kaspersky Security for SharePoint Server permette di effettuare:

la scansione dei documenti memorizzati durante i download del file o quando effettuato il caricamento.
la scansione su richiesta di tutti i documenti memorizzati.
il controllo sul contenuto del documento con la possibilità di bloccarlo.

La struttura tecnica Argonavis ha conseguito la certificazione sul prodotto Kaspersky Security for Microsoft SharePoint ed è in grado di aiutarvi nella scelta del prodotto, nella sua installazione e configurazione.

Richiedi Informazioni

Come agire di fronte al rischio informatico

Ogni azienda ed organizzazione è esposta a rischi di un attacco informatico. Gli approcci possibili verso queste minacce sono di quattro tipi:

Mitigazione del rischio: vengono implementati controlli di sicurezza, rafforzate le politiche e le procedure di sicurezza, viene fatta formazione al personale, vengono adottati strumenti adeguati e se necessario viene modificato l’ambiente infrastrutturale.
Trasferimento del rischio: viene stipulata una polizza assicurativa in grado di coprire le perdite causate da un incidente informatico. Va notato che difficilmente una polizza assicurativa sarà in grado di risarcire il danno di immagine che un attacco produce.
Accettazione del rischio: non viene presa nessuna misura di sicurezza accettando il rischio di subire un attacco ed una perdita economica per l’azienda in caso di incidente.
Va considerato che i responsabili dell’azienda, potrebbero essere chiamati a rispondere di fronte alla legge della negligenza con cui hanno trattato alcuni dati, che le aziende custodiscono.
Interruzione delle attività a rischio: si sceglie di interrompere le attività che stanno mettendo a rischio la sicurezza. Considerato che la capacità di aggressione ad un sistema informatico è talmente elevata, che se si dovessero interrompere tutte le attività che comportano un rischio informatico, occorrerebbe interrompere l’utilizzo di ogni mezzo tecnologico.

La soluzione in grado di eliminare il rischio in modo assoluto non è presente, la capacità dei criminali informatici è molto elevata ed in continua evoluzione, esistono strumenti molto efficaci per la mitigazione del rischio, in grado di ridurre notevolmente l’esposizione al rischio, proporzionalmente al livello di adeguatezza della soluzione rispetto la minaccia.

Una azienda con notevole esposizione al rischio di attacco, potrebbe scegliere in aggiunta alle soluzione di mitigazione del rischio di stipulare una polizza assicurativa.

Questo approccio sembra a prima vista particolare e poco diffuso, mentre invece è una pratica molto diffusa. Quando acquistiamo un certificato SSL, con un pò di attenzione si noterà che il certificato ci viene fornito con una assicurazione che copre i danni subiti da un eventuale attacco, entro un massimale che cambia per ciascuna tipologia di certificato.

Questo è un esempio di mitigazione del rischio (Crittografia del canale di comunicazione) con un trasferimento del rischio (polizza assicurativa).

Exploitability Metrics

Vettore di attacco (AV)

Complessità dell’attacco (AC)

Privilegi necessari (PR)

Interazione utente (UI)

Categorie