Gestione delle vulnerabilità

La Gestione delle vulnerabilità è il punto in cui Cert-IX consolida i risultati prodotti dalle tue scansioni in un'unica lista di lavoro con priorità. Ogni risultato è collegato a una vulnerabilità nota — tipicamente identificata da un CVE — classificata per gravità, arricchita con segnali di sfruttamento reale e tracciata dalla prima rilevazione fino a una correzione verificata. L'obiettivo è semplice: aiutare il tuo team a concentrare gli sforzi sulle vulnerabilità che ti espongono davvero a rischi, nell'ordine giusto.

Questa pagina spiega da dove provengono i risultati, come viene assegnata loro la priorità e come si muovono lungo il loro ciclo di vita.

Da dove provengono i risultati

La Gestione delle vulnerabilità non esegue scansioni per conto proprio — aggrega i risultati delle superfici di scansione che Cert-IX già fornisce. Un'unica vista può quindi riflettere diverse fonti complementari:

Fonte	Cosa contribuisce	Ideale per
Motori Scan API	Scansioni on-demand e guidate da API (per esempio Trivy, Nuclei, Nikto e OWASP ZAP) che individuano CVE in immagini, dipendenze e servizi esposti sul web	Controlli esterni e guidati da CI
Agente Bitscanner	Rilevamento continuo di vulnerabilità e CVE su reti e host interni	Asset dietro il firewall
DepCheck (MCP)	Controlli delle vulnerabilità delle dipendenze per codebase e agenti di coding AI, supportati dagli stessi dati di advisory	Supply chain del software

Raccolta dei risultati della rete interna

I risultati provenienti da host dietro il tuo firewall richiedono un agente scanner. Scarica Bitscanner da downloads.cert-ix.com e registralo con il tuo Tenant ID (che trovi in Impostazioni → Organizzazione). Consulta Agenti scanner per i passaggi di distribuzione.

Gravità e assegnazione delle priorità

Ogni risultato porta con sé una valutazione di gravità derivata dal suo punteggio CVSS, usando le quattro fasce standard:

Gravità	Intervallo CVSS	Cosa significa di solito
Critical	9.0–10.0	Esposizione grave, spesso esecuzione di codice remoto o compromissione totale. Interviene con urgenza.
High	7.0–8.9	Rischio significativo. Assegna priorità tempestivamente.
Medium	4.0–6.9	Rischio moderato. Pianifica la correzione.
Low	0.1–3.9	Rischio minore. Interviene quando le risorse lo consentono.

La sola gravità non basta per decidere cosa correggere per primo: un problema Medium sfruttato oggi supera spesso un High che non lo è. Cert-IX sovrappone segnali di sfruttamento reale al punteggio CVSS grezzo:

• CISA KEV — se la vulnerabilità compare nel catalogo Known Exploited Vulnerabilities della CISA, ovvero uno sfruttamento attivo e confermato.
• EPSS — la probabilità, secondo l'Exploit Prediction Scoring System, che una vulnerabilità venga sfruttata a breve termine.
• Esposizione — se l'asset interessato è esposto su Internet o raggiungibile da reti non attendibili.
• Criticità dell'asset — quanto è importante il sistema interessato per le tue operazioni.

Correggi prima ciò che viene sfruttato

Un risultato segnalato nel catalogo CISA KEV o con un punteggio EPSS elevato merita attenzione prima di un problema con CVSS più alto ma senza prove di sfruttamento. Le vulnerabilità sfruttate in the wild sono quelle che gli attaccanti stanno usando in questo momento.

Il ciclo di vita della vulnerabilità

I risultati attraversano un insieme definito di stati, così che ognuno abbia sempre uno stato corrente chiaro e un passo successivo chiaro:

1. Identificata — una scansione ha rilevato la vulnerabilità.
2. Confermata — è stata validata come problema reale anziché come falso positivo.
3. Assegnata — un responsabile è incaricato di correggerla.
4. In corso — una correzione è in atto.
5. In attesa di verifica — la correzione è stata applicata ed è in attesa di una nuova scansione.
6. Risolta — una scansione di controllo conferma che la vulnerabilità è scomparsa.

Un risultato può anche essere contrassegnato come rischio accettato quando una correzione non è praticabile e il rischio residuo viene invece documentato e preso in carico.

Lavorare con un risultato

Aprire un risultato riunisce tutto ciò che serve per valutarlo e agire su di esso:

• CVE ID — l'identificatore Common Vulnerabilities and Exposures.
• Gravità / CVSS — il punteggio e la sua fascia.
• Sfruttamento — indicatori CISA KEV ed EPSS.
• Asset interessati — i sistemi in cui è stata rilevata la vulnerabilità.
• Descrizione — cos'è la debolezza e il suo potenziale impatto.
• Correzione — indicazioni consigliate per risolverla.
• Stato e cronologia — lo stato corrente del ciclo di vita e una cronologia delle modifiche.

Esempio di risultato

I campi seguenti illustrano come si presenta un risultato una volta raccolto. I valori si riferiscono a una vulnerabilità reale e pubblicamente documentata, mostrata puramente a titolo di esempio:

Campo	Valore
CVE ID	CVE-2021-44228 ("Log4Shell")
Gravità	Critical (CVSS 10.0)
Sfruttamento	Presente su CISA KEV; EPSS elevato
Asset interessato	Servizio che include Apache Log4j 2.x
Descrizione	Esecuzione di codice remoto non autenticata tramite lookup JNDI in stringhe registrate nei log
Correzione	Aggiorna Log4j a una release corretta (2.17.1 o successiva)
Stato	Confermata → In corso

Filtrare e concentrarsi

Gli ambienti di grandi dimensioni producono molti risultati, quindi la lista può essere ristretta alla porzione che ti interessa — per esempio per gravità, stato del ciclo di vita, asset o gruppo di asset interessato, stato di sfruttamento (KEV / EPSS) o data di rilevamento. Un insieme filtrato può essere esportato per la condivisione o per aprire ticket nei tuoi strumenti.

Correzione

Per ogni risultato, Cert-IX abbina la vulnerabilità a indicazioni per la correzione. La risposta giusta dipende dal problema:

Opzione	Quando usarla
Patch	Applica la correzione di sicurezza del fornitore
Aggiornamento	Passa a una versione più recente e non interessata
Configurazione	Modifica le impostazioni per rimuovere l'esposizione
Mitigazione	Applica un controllo compensativo quando una correzione non è ancora disponibile
Accettazione	Documenta e accetta formalmente il rischio residuo

Dopo la correzione, esegui una scansione di verifica sull'asset interessato. Quando la scansione di controllo non segnala più la vulnerabilità, il risultato passa a Risolta — chiudendo il cerchio tra rilevamento e correzione.

Impostare gli obiettivi di correzione

Molti team assegnano una finestra temporale obiettivo di correzione a ogni gravità, così che nulla di serio rimanga irrisolto. Punti di partenza comuni sono:

Gravità	Obiettivo tipico
Critical	1–2 giorni
High	~1 settimana
Medium	~30 giorni
Low	~90 giorni

note

Queste finestre sono esempi illustrativi che i team adottano comunemente — non garanzie fisse della piattaforma. Scegli obiettivi adatti alla tua tolleranza al rischio e ai tuoi obblighi normativi.

Buone pratiche

• Esegui scansioni in modo continuo. Mantieni gli agenti scanner distribuiti ed esegui scansioni regolarmente, così che le nuove vulnerabilità emergano rapidamente.
• Assegna la priorità in base allo sfruttamento, non solo alla gravità. Elimina i risultati elencati in KEV e con EPSS elevato prima dei problemi con punteggio più alto ma senza prove di sfruttamento.
• Verifica sempre. Esegui una nuova scansione dopo la correzione prima di spostare un risultato su Risolta.
• Prendi in carico il rischio accettato. Quando accetti un rischio, registra chi ne è responsabile e perché, e rivedilo periodicamente.

Approfondimenti

• Panoramica di Analytics — come la Gestione delle vulnerabilità si inserisce insieme alle altre viste di analytics.
• Agenti scanner — distribuisci Bitscanner per il rilevamento delle vulnerabilità sulla rete interna.
• Panoramica di Scan API — esegui scansioni on-demand ed estrai i risultati in modo programmatico.
• DepCheck (MCP) — controlli delle vulnerabilità delle dipendenze per codebase e agenti di coding AI.