CVE, CVSS e KEV: tre informazioni diverse
CVE è un sistema di identificatori e record pubblici per vulnerabilità note. La forma CVE-ANNO-NUMERO serve a riferirsi allo stesso problema tra strumenti e avvisi del produttore; l’anno non è necessariamente quello della scoperta.
- CVE identifica il problema. Il record e i riferimenti aiutano a trovare prodotti e versioni coinvolti.
- CVSS esprime la severità tecnica tramite un punteggio e un vettore. Non è, da solo, la probabilità di un attacco al tuo sistema.
- CISA KEV elenca vulnerabilità con evidenza di sfruttamento reale secondo i criteri CISA. Non comprende necessariamente ogni vulnerabilità sfruttata.
Come capire se una CVE riguarda il tuo server
Confronta prodotto, versione, configurazione e condizioni dell’avviso ufficiale con l’inventario. Controlla anche i bollettini della distribuzione Linux: una correzione può essere riportata in una versione precedente tramite backport, quindi il solo numero di versione può essere fuorviante.
Un risultato non pertinente va verificato, non ignorato a priori. In Obermon puoi segnare una vulnerabilità come falso positivo e conservare chi ha deciso, quando e perché. Un inventario senza risultati non dimostra che il sistema sia privo di vulnerabilità sconosciute.
Una sequenza pratica per dare priorità
Prima verifica se il problema si applica al tuo software. Poi cerca evidenze di sfruttamento, considera esposizione e impatto e verifica la patch o le mitigazioni del produttore.
- Già sfruttata: valuta subito l’esposizione e il rimedio; non aspettare soltanto il punteggio.
- Critica con una correzione disponibile: pianifica rapidamente aggiornamento e verifica.
- Altri casi: mantieni una lista di lavoro, valuta il contesto e ricontrolla gli avvisi del produttore.
Come Obermon usa queste informazioni
Il controllo quotidiano confronta il software installato sui server e nei container con le vulnerabilità note e mostra cosa aggiornare. Gli avvisi sono riservati ai problemi già sfruttati oppure critici con una correzione disponibile.
Gli stati aperta, presa in carico, falso positivo, mitigata e risolta aiutano a seguire le decisioni. Una mitigazione non è necessariamente una correzione definitiva: ricontrolla il rischio e verifica il risultato dopo l’intervento.
Fonti e approfondimenti
Le indicazioni sono informative e non sostituiscono una valutazione tecnica o legale del tuo caso.