Molte organizzazioni continuano a valutare il proprio livello di sicurezza informatica in base al numero di appliance difensive installate, come endpoint detection (EDR) o firewall di ultima generazione. Tuttavia, dal punto di vista di un attaccante, l’efficacia di una difesa non si misura superando frontalmente questi ostacoli, ma individuando i punti ciechi dell’infrastruttura: asset non censiti, servizi legacy dimenticati o configurazioni errate.
L’Attack Surface Management (ASM) rappresenta l’approccio ingegneristico necessario per identificare, analizzare e mitigare continuamente tutti i punti di ingresso potenziali che un attore malevolo potrebbe sfruttare. Per i CIO e i responsabili dei sistemi, questo significa passare da una logica di monitoraggio passivo a una mappatura rigorosa e dinamica di tutto ciò che è visibile, sia dall’esterno che all’interno della rete.
Mappatura della superficie d’attacco: Vulnerability Assessment vs Penetration Test
Il primo pilastro dell’ASM è la visibilità totale. Non è possibile proteggere ciò che non si conosce. Molte aziende soffrono del fenomeno del Shadow IT infrastrutturale, come istanze cloud temporanee create dagli sviluppatori e mai rimosse, o apparati di rete esposti a internet senza un reale controllo.
Per mappare correttamente questa superficie, i team tecnici devono comprendere la complementarietà di due attività fondamentali:
- Vulnerability Assessment (VA): È un’attività di scansione automatizzata e ricorrente mirata a identificare la presenza di vulnerabilità note, configurazioni deboli o patch mancanti su tutti gli asset aziendali. Fornisce un inventario tecnico del rischio e deve essere eseguito con cadenza periodica per intercettare i cambiamenti infrastrutturali.
- Penetration Test (PT): È un’analisi manuale e mirata in cui un professionista simula un attacco reale. L’obiettivo non è fare l’elenco dei difetti, ma verificare come tali vulnerabilità possano essere concatenate tra loro per violare i sistemi, bypassare i controlli e ottenere privilegi amministrativi.
Prioritarizzazione delle CVE: superare la dittatura del CVSS
Una volta completata la mappatura, i reparti IT si trovano spesso a gestire report con centinaia di vulnerabilità note (CVE – Common Vulnerabilities and Expositions). L’errore metodologico più comune è tentare di risolverle seguendo ciecamente il punteggio di gravità standard CVSS (Common Vulnerability Scoring System).
Un patching efficace richiede una prioritarizzazione basata sul contesto reale e sull’indice di exploitability:
- Presenza di exploit pubblici: Una vulnerabilità con CVSS 7.5 già sfruttata attivamente in attacchi ransomware reali (presente ad esempio nel catalogo KEV della CISA) deve avere la priorità assoluta rispetto a una vulnerabilità con CVSS 9.0 puramente teorica e priva di exploit pubblico.
- Esposizione dell’asset: Un server web pubblico esposto direttamente su internet richiede un intervento immediato (Zero-Day patching) rispetto a un sistema legacy isolato all’interno di un segmento di rete protetto.
Hardening sistemistico e Active Directory: bloccare i movimenti laterali
Se il Vulnerability Assessment riduce la probabilità di un accesso iniziale, l’hardening dei sistemi ha l’obiettivo di neutralizzare le fasi successive dell’attacco, in particolare i movimenti laterali e l’escalation dei privilegi. Quando un attaccante penetra in una rete, il suo obiettivo primario è quasi sempre il controllo del Domain Controller.
La messa in sicurezza dell’infrastruttura deve prevedere interventi di irrigidimento strutturale:
- Disattivazione dei protocolli obsoleti: Rimuovere tassativamente vecchi protocolli di autenticazione e cifratura come SMBv1, LLMNR, NBT-NS e versioni legacy di TLS (1.0 e 1.1), che si prestano ad attacchi di tipo Man-in-the-Middle e a pass-the-hash.
- Protezione contro Kerberoasting e AS-REP Roasting: Configurare Active Directory imponendo password complesse e lunghe per i Service Account (Managed Service Accounts – MSA) e monitorando le richieste anomale di ticket Kerberos, vettori classici utilizzati per decifrare le credenziali degli amministratori di dominio.
- Micro-segmentazione della rete: Isolare i carichi di lavoro critici tramite VLAN e regole di firewall interne. Se una macchina di un utente aziendale viene compromessa, la segmentazione impedisce al malware o all’attaccante di raggiungere liberamente i server di produzione o i segmenti dedicati ai backup.
L’importanza di un partner strategico nella remediation
Ridurre l’hardware esposto, configurare policy di hardening e analizzare continuamente le CVE richiede tempo, strumenti dedicati e un livello di specializzazione che i team IT interni, spesso assorbiti dalla manutenzione ordinaria, faticano a mantenere con costanza. La sicurezza non è un progetto a termine, ma un processo di revisione architetturale continua.
Affidarsi a un servizio strutturato di Consulenza Cybersecurity aziendale consente alle organizzazioni di disporre di competenze verticali per eseguire analisi della superficie d’attacco, definire piani di remediation efficaci e guidare i sistemisti interni nell’applicazione delle migliori pratiche internazionali. Esternalizzare la fase di assessment e validazione tecnica permette al CIO di ottenere una visione oggettiva del rischio, blindando l’infrastruttura prima che le vulnerabilità vengano intercettate dalle scansioni degli attori criminali.
