Vulnerability assessment, senza rumore.
Individuiamo le vulnerabilità note di infrastruttura e applicazioni, le verifichiamo a mano e le ordiniamo per rischio reale: il tuo team corregge prima ciò che conta, invece di scorrere l'export grezzo di uno scanner.
Prima l'ampiezza, poi la precisione
Il vulnerability assessment esamina in modo sistematico sistemi, applicazioni e configurazioni per scovare vulnerabilità note, patch mancanti ed errori di configurazione. Copre in poco tempo un perimetro ampio ed è il punto di partenza naturale di un programma di sicurezza.
Da soli, gli scanner producono elenchi lunghi e pieni di falsi positivi. Alla scansione automatica affianchiamo la verifica manuale e il contesto: quanto è esposto l'asset, quali dati contiene, se la vulnerabilità si può davvero sfruttare. Ne esce un elenco breve e ordinato, su cui il team può lavorare subito.
Vulnerability Assessment Identifica e classifica le debolezze
- Vulnerability scanning infrastrutturale
- Web & API security analysis
- Review di autenticazione e autorizzazione
- Misconfiguration detection
- Patch validation
- Risk classification & prioritization
Risultati
- Reportistica tecnica dettagliata
- Roadmap di remediation basata sul rischio
- Maggiore compliance
- Riduzione della probabilità di compromissione
Dall'inventario alla remediation, in cinque fasi.
Un processo ripetibile, che rende confrontabili i risultati da un ciclo all'altro.
Perimetro e inventario
Definiamo il perimetro, da range IP e domini fino ad applicazioni, API e account cloud, e gli accessi autenticati che servono per avere un quadro completo.
Scansione automatica
Scansioni autenticate e non autenticate rilevano vulnerabilità, patch mancanti e configurazioni deboli su tutto il perimetro concordato.
Verifica manuale
I tester confermano i finding rilevanti, scartano i falsi positivi e controllano se più debolezze si possono concatenare. BackBox AI aiuta a correlare i risultati delle diverse fonti.
Priorità in base al rischio
Ogni problema confermato riceve un punteggio CVSS adattato al tuo contesto: esposizione, valore dell'asset e prove di sfruttamento reale.
Report e piano di remediation
Un report tecnico con evidenze e correzioni, un executive summary e una roadmap di remediation ordinata per rischio. Gli assessment periodici misurano i progressi nel tempo.
Misurati su riferimenti pubblici.
I finding riportano gli identificativi CVE e CWE e il punteggio CVSS; nella priorità pesano le prove di sfruttamento, come la presenza nel catalogo Known Exploited Vulnerabilities della CISA. Il processo segue NIST SP 800-115 e supporta i controlli di gestione delle vulnerabilità previsti da ISO/IEC 27001, PCI DSS (requisito 11.3), NIS2 e DORA.
BackBox AI incrocia l'output degli scanner con i dati di configurazione e con gli incarichi precedenti, e aiuta i tester a separare ciò che è sfruttabile dal rumore. Ogni finding che finisce nel report è verificato.
Framework e riferimenti
Vulnerability assessment, le domande più frequenti.
Vulnerability assessment e scansione delle vulnerabilità sono la stessa cosa?
No. La scansione è solo uno degli ingredienti. L'assessment aggiunge la definizione del perimetro, la verifica manuale, l'eliminazione dei falsi positivi, priorità calibrate sul tuo contesto e un piano di remediation: tutto ciò che serve per decidere che cosa correggere, e in quale ordine.
Ogni quanto va ripetuto un vulnerability assessment?
La cadenza trimestrale è un buon punto di partenza, e PCI DSS impone scansioni interne ed esterne ogni tre mesi per i sistemi in perimetro. Gli asset critici esposti su internet meritano cicli mensili o continui, più una verifica dopo ogni modifica significativa.
Mi serve un vulnerability assessment o un penetration test?
Si parte dall'assessment, che offre la visione d'insieme: mostra dove sei esposto su tutto il perimetro. Il penetration test si aggiunge sui sistemi più importanti, per dimostrare che cosa potrebbe fare un attaccante con quelle debolezze. Insieme, le due attività formano il VAPT.
Serve un assessment autenticato?
È fortemente consigliato. Con le credenziali l'assessment vede patch mancanti, configurazioni locali errate e difetti applicativi dietro il login, che una scansione esterna non autenticata non riesce a raggiungere.
La NIS2 richiede il vulnerability assessment?
In Italia sì, per i soggetti essenziali: le misure di base dell'ACN chiedono vulnerability assessment e/o penetration test sui sistemi rilevanti, periodicamente e prima della messa in esercizio, documentati in una relazione. I dettagli sono nella pagina sui test per la NIS2.