Monitoraggio CVE che porta all'azione.
Guardare CVEs non è sufficiente. Ciò che conta è sapere quali ti riguardano, in che ordine gestirli e cosa succede dopo l'allarme.
Una CVE (Vulnerabilità ed esposizioni comuni) è l'identificatore pubblico di una vulnerabilità. Più di 40.000 sono stati pubblicati nel 2024 e la curva non si è appiattita dal 2016 (Metriche del programma CVE). Una squadra che conta una trentina di componenti ne vedrà nel corso dell'anno qualche decina che effettivamente la riguardano. L’intero problema sta in questo rapporto.
Il vero costo del rumore
Leggere ogni CVE pubblicata richiederebbe più di due ore per giorno lavorativo, per un tasso di pertinenza inferiore all'un per cento. Nessuno regge questo ritmo. Quello che succede in pratica è peggio che rinunciare: il team legge per due settimane, poi scorre, poi filtra su « critico », poi smette di aprire. Il giorno in cui una falla lo riguarda davvero, la notifica arriva in un canale che nessuno guarda più.
Quindi il vero rischio è l’esclusione, non il volume. Un'impostazione di monitoraggio viene giudicata in base a una domanda: qualcuno lo leggerà ancora tra sei mesi?
Costruire un ambito e mantenerlo aggiornato
Un ambito di monitoraggio è l'elenco di ciò che esegui, con le versioni. Ci sono tre modi per costruirlo: inserirlo a mano, importare un file SBOM (Distinta materiali del software, l'inventario dei componenti prodotto dalla pipeline di creazione del software) o consentire il rilevamento delle tecnologie dietro un URL pubblico. Bastano due minuti per una decina di componenti.
La parte difficile non è crearlo, ma mantenerlo aggiornato. Un aggiornamento di versione, una libreria aggiunta, un server sostituito da un client: ogni modifica non registrata è un punto cieco. Importare un SBOM ad ogni release è l’unico meccanismo che regge nel tempo, perché non dipende dalla memoria di nessuno.
Tre segnali per stabilire le priorità e quando ognuno sbaglia
Una volta ristretto l'elenco, devi ancora scegliere l'ordine. Tre riferimenti pubblici rispondono a questa domanda e dovrebbero essere letti in questo esatto ordine.
KEV prima: il catalogo delle vulnerabilità sfruttate attivamente, pubblicato dall'agenzia statunitense per la sicurezza informatica. Non è una previsione, è una constatazione: l’elenco degli incendi già accesi. Un CVE che si trova nell'KEV e presente nel tuo ambiente viene risolto, nessuna discussione. Il suo limite: elenca solo ciò che è stato osservato e riportato, quindi a volte arriva dopo lo sfruttamento. Come leggere il catalogo KEV.
EPSS successivo: probabilità di sfruttamento osservata nei successivi trenta giorni, ricalcolata ogni mattina. Sono le previsioni del tempo: con la possibilità di pioggia non si discute, si porta l’ombrello. Il suo limite: descrive il mondo, non te. Un difetto altamente probabile in un servizio che non esponi difficilmente ti preoccupa. Cosa prevede EPSS e cosa no.
CVSS ultimo: la gravità intrinseca, da 0 a 10. È la magnitudo di un terremoto: la forza dell’evento, indipendentemente dal fatto che ci sia una città sopra di esso. Il suo limite è il più importante da conoscere: la maggior parte dei sistemi critici classificati CVEs non vengono mai sfruttati. Come leggere un vettore CVSS, e la calcolatrice per costruirne uno.
Una regola che puoi utilizzare così com'è: qualsiasi cosa nell'KEV e presente nel tuo ambiente viene gestita entro 48 ore; successivamente, qualsiasi cosa con un EPSS superiore a 0,1; CVSS serve solo a rompere il pareggio tra due candidati.
Cosa succede dopo l'avviso
Un avviso che non porta da nessuna parte è un costo senza ritorno. Il percorso completo ha quattro stati: ricevuto, analizzato, in fase di correzione, risolto. Ogni avviso ha un proprietario denominato; ogni cambiamento di stato lascia una traccia datata, che è utile tanto al team quanto lo è a un revisore dei conti sei mesi dopo.
Due ritardi da non confondere, perché si confondono ovunque. Il sincronizzazione: quanto spesso vengono riletti i feed. Il elaborazione: il tempo che intercorre tra la lettura di un CVE e l'invio della notifica, che da noi rimane sotto i 30 secondi. Nessuno strumento può essere più veloce della sua frequenza di sincronizzazione e qualsiasi fornitore che annuncia solo una cifra nasconde l'altra.
Fine del supporto, il punto cieco
Una versione giunta al termine del suo ciclo di vita non riceverà mai un'altra patch. Non è una vulnerabilità in più: è la garanzia che ogni futura vulnerabilità rimarrà aperta. Un monitoraggio serio quindi tiene traccia delle date di fine del supporto con la stessa precisione di CVEs, con un preavviso sufficiente per pianificare una migrazione anziché scoprirla in giornata.
Nove feed, controllo incrociato
Nessuna singola fonte è completa da sola. Da febbraio 2024, arricchimento CVE da parte del NVD ha subito un brusco rallentamento: molte vulnerabilità sono rimaste per mesi senza un punteggio o un riferimento al prodotto. Effettuiamo un controllo incrociato di nove feed (elenco CVE, NVD, catalogo KEV, punteggi EPSS, prove di concetto pubblicate, avvisi GitHub, OSV, pubblicazioni CERT-FR e database europeo EUVD) per rimanere utilizzabili quando uno di essi rimane indietro. Fonti e relative licenze in dettaglio.
In pratica, lunedì mattina
Quattro passi, in quest'ordine, per una squadra che parte dal nulla.
- Dichiarare venti componenti, versioni incluse. Non cento: quelli esposti a Internet e quelli che detengono dati.
- Imposta la soglia. Tutto nell'KEV, qualunque sia il suo punteggio, più qualsiasi cosa superiore a 7 nell'CVSS. Ciò porta da diverse migliaia di CVEs al mese fino a una manciata di avvisi.
- Separare i canali. Elementi critici per Slack o Teams, il resto in una sintesi quotidiana. Inviare tutto a Slack equivale a silenziare Slack.
- Rivedere il volume dopo una settimana. Più di dieci avvisi? Alzare la soglia. Zero? Probabilmente il tuo ambito è incompleto.
Quale strumento per gestire tutto questo
Il metodo sopra non dipende da alcun prodotto. Per scegliere chi lo realizza, due pagine: la Classifica 2026 di sei strumenti di monitoraggio CVE se stai iniziando da zero, e il confronti testa a testa se usi già OpenCVE, Cyberwatch o CVEDetails. TechWatchAlert applica questo metodo, in francese, ospitato in Francia, con un piano gratuito per metterlo alla prova sul proprio campo.
Domande frequenti
Cos'è il monitoraggio CVE?
Monitoraggio continuo delle vulnerabilità pubbliche che interessano il software e le apparecchiature in uso, in modo da poterle correggere prima che vengano sfruttate. Ciò che lo distingue dalla semplice lettura di un feed è il filtraggio rispetto a un ambito dichiarato.
Come automatizzi il monitoraggio di CVE?
Dichiara il tuo stack (fornitori, prodotti, versioni), quindi lascia che lo strumento filtri il feed, dia priorità con KEV e EPSS e ti invii una notifica sul tuo canale. L’automazione che conta non è la raccolta, che è facile, ma il triage, che è il vero lavoro.
Il monitoraggio di CVE è gratuito?
Il piano gratuito di TechWatchAlert include 3 elementi di stack, 1 webhook di avvisi, 1 applicazione SBOM, senza carta di credito. Anche altri strumenti hanno livelli gratuiti. Ciò che non è mai gratuito è il tempo speso nel triage quando nessuno filtra al posto tuo.
Monitoraggio CVE o scanner di vulnerabilità?
Uno scanner scopre ciò che viene eseguito sulle tue macchine, tramite un agente o l'accesso alla rete. Il monitoraggio inizia dallo stack dichiarato e ti avvisa dell'CVEs corrispondente, senza agenti e senza intrusioni. I due rispondono a domande diverse e si completano a vicenda.
Quanto tempo ci vuole per impostare il monitoraggio?
Concedetevi due minuti per dichiarare una decina di componenti e una settimana di osservazione per ottimizzare la soglia del rumore. La regolazione della soglia conta più della configurazione.
Piano Free, nessuna carta
Ottieni solo l'CVEs che interessa il tuo patrimonio immobiliare.
Dichiara i tuoi componenti una volta. Ti avvisiamo non appena un difetto colpisce uno di essi, già prioritario per KEV e EPSS, sul canale di tua scelta. Il primo avviso si spegne alla sincronizzazione successiva.
- Free, nessuna carta di credito
- Costruito e ospitato in Francia
- Esporta i tuoi dati in qualsiasi momento