1. Inventario del perimetro
Individuiamo domini, sottodomini, indirizzi IP e servizi pubblici che fanno parte del perimetro autorizzato. Output: inventario degli asset con l'indicazione di quelli confermati dal cliente.
Vulnerability assessment · Priorità di remediation · Da €490
Vulnerability assessment web: cosa è esposto e cosa correggere prima
Il vulnerability assessment individua e classifica le vulnerabilità di siti e applicazioni, le ordina per rischio e propone un piano di correzione. Trasforma una lista di segnali in decisioni operative che il team può seguire.
Che cos'è un vulnerability assessment
È un controllo ampio e sistematico della superficie esposta. Il suo obiettivo è rispondere a tre domande: cosa è raggiungibile da internet, quali componenti hanno vulnerabilità note, quali di queste vanno corrette per prime.
A differenza del penetration test, il vulnerability assessment non tenta di sfruttare le debolezze in profondità. Il suo valore sta nella copertura, nella ripetibilità e nella capacità di mostrare come la situazione cambia nel tempo.
Le cinque fasi del nostro assessment
Automazione per la copertura, controllo umano per la qualità. Ogni fase produce un documento che resta nel fascicolo.
2. Scansione controllata
Eseguiamo scansioni automatizzate su servizi, configurazioni e componenti, con parametri concordati per non degradare il servizio. Output: segnali grezzi per asset.
3. Correlazione e verifica
Colleghiamo versioni dei componenti alle vulnerabilità pubblicate (CVE) e verifichiamo a mano i casi incerti, per eliminare i falsi positivi. Output: vulnerabilità confermate o escluse, con motivazione.
4. Prioritizzazione
Ogni vulnerabilità è ordinata per gravità, presenza di exploit pubblici ed esposizione reale del sistema. Output: classifica di rischio con la motivazione di ogni posizione.
5. Piano e riverifica
Il piano di remediation assegna priorità e responsabilità. Dopo le correzioni riverifichiamo, gratuitamente entro 30 giorni. Output: piano di correzione e confronto con il ciclo precedente.
Cosa valutiamo, in concreto
Quattro famiglie di controlli, scelte in base a quello che è davvero esposto.
Superfici esposte
Domini, sottodomini, servizi in ascolto, porte aperte inattese e ambienti di test o sviluppo raggiungibili da internet.
Versioni e vulnerabilità note
Server web, framework, CMS, librerie e plugin, confrontati con le vulnerabilità pubblicate. Qui il rischio più frequente è un componente non aggiornato.
Configurazioni
Protocolli e cifrature TLS, intestazioni di sicurezza, cookie, elenco delle directory, messaggi di errore che rivelano informazioni interne.
Esposizione di dati
File sensibili accessibili, backup dimenticati, file di configurazione pubblici e informazioni che un attaccante può raccogliere senza autenticarsi.
Cosa riceve il cliente
Il report è costruito per essere usato, non archiviato. Ogni documento risponde a una domanda precisa.
Inventario degli asset
L'elenco di ciò che è esposto, con l'indicazione di ciò che è stato confermato dal cliente. Serve come base per tutti i cicli successivi.
Classifica delle vulnerabilità
Ogni voce con gravità, esposizione, motivazione della priorità e riferimenti alle vulnerabilità pubblicate. Niente elenchi senza contesto.
Piano di remediation
Le correzioni raggruppate per componente, con priorità, responsabile suggerito e indicazioni operative per chi deve intervenire.
Sintesi per il management
Una pagina che spiega lo stato del perimetro, i rischi principali e le decisioni necessarie, senza richiedere competenze tecniche.
Con quale frequenza farlo
La sicurezza di un perimetro cambia ogni volta che cambia un componente. Per questo un assessment è più utile se si ripete.
Consigliamo un ciclo ogni 4 o 6 mesi per i perimetri che cambiano spesso, e comunque dopo una release importante, un cambio di hosting, una nuova integrazione o la pubblicazione di una vulnerabilità critica sui componenti che usi. Ogni ciclo viene confrontato con il precedente: cosa è stato chiuso, cosa è nuovo, cosa è peggiorato.
Vulnerability assessment o penetration test: quale ti serve
La scelta dipende dalla domanda che devi rispondere. Non sono in alternativa: spesso il primo prepara il secondo.
Serve copertura ampia
Hai molti siti o molti componenti e vuoi sapere quali sono esposti. Parti dal vulnerability assessment.
Serve prova di impatto
Un cliente, una gara o un auditor chiede di sapere se una debolezza è davvero sfruttabile. Serve il penetration test.
Serve un ciclo continuo
Il perimetro cambia spesso. Il vulnerability assessment ripetuto mostra l'andamento; il penetration test si aggiunge sulle applicazioni critiche.
Serve evidenza per ISO 27001
Il controllo 8.8 chiede una gestione documentata delle vulnerabilità. Il nostro report è costruito per documentarla.
Errori comuni nella gestione delle vulnerabilità
Sono gli stessi problemi in organizzazioni di ogni dimensione.
- Correggere in base alla sola gravità. Un problema critico su un sistema non raggiungibile può avere meno urgenza di uno medio su un servizio pubblico con un exploit disponibile.
- Ricevere migliaia di segnali senza verifica. Senza validazione manuale il team perde settimane su falsi positivi.
- Non avere un responsabile. Un piano senza owner non viene eseguito, anche se è corretto.
- Fare un solo ciclo. Un assessment isolato invecchia. Il valore sta nel confronto tra cicli.
Cosa serve per iniziare
- L'elenco dei domini e dei servizi da includere, con l'indicazione di quelli di tua proprietà o autorizzati.
- Una finestra temporale per le scansioni, concordata se il sito ha traffico elevato.
- Un referente che confermi l'inventario e riceva le domande durante il lavoro.
- L'autorizzazione firmata e le regole di ingaggio, prima dell'avvio.
Quanto costa
Il piano Perimetro singolo costa €490 una tantum, IVA esclusa, per un dominio principale con i suoi sottodomini. Più domini o perimetri estesi sono su preventivo, con cicli programmati da tre cicli in su. Il listino completo è nella home.
Domande frequenti sul vulnerability assessment
Ogni quanto va ripetuto un vulnerability assessment?
Dipende da quanto cambiano i sistemi. Per perimetri che cambiano spesso consigliamo un ciclo ogni 4 o 6 mesi, con il confronto tra un ciclo e il precedente.
Un vulnerability assessment basta per la compliance?
È un elemento di evidenza, non una certificazione. Dimostra un controllo continuo sulle vulnerabilità, utile per ISO/IEC 27001, NIS2 e GDPR, insieme agli altri controlli dell'organizzazione.
Qual è la differenza con uno scanner?
Lo scanner produce segnali. Il nostro assessment li verifica manualmente, elimina i falsi positivi e li ordina per rischio, così il team sa cosa correggere per primo e perché.
Serve accesso ai nostri server?
No. L'assessment del piano singolo è esterno: osserva il perimetro pubblico. Verifiche con accesso interno o con credenziali sono un servizio separato, su preventivo.
Come gestite i falsi positivi?
Ogni segnale incerto viene riprodotto o verificato a mano. Il report indica sia le vulnerabilità confermate sia quelle escluse, con la motivazione.
Il report aiuta a rispondere ai questionari dei clienti?
Sì. Documenta il perimetro, il metodo, la data, gli esiti e le azioni correttive: le informazioni che i questionari di sicurezza normalmente chiedono.
Quanto tempo serve per il report?
Consegniamo il report in 5 giorni lavorativi dalla firma dell'autorizzazione. La riverifica gratuita è inclusa entro 30 giorni.
Il vulnerability assessment può rallentare il sito?
Le scansioni sono configurate con parametri concordati per non degradare il servizio, e possono essere eseguite in una finestra scelta da te.
Vuoi sapere quali vulnerabilità colpiscono il tuo perimetro?
Mandaci un dominio: in 24 ore ti diciamo per iscritto se serve la verifica da €490, su quale perimetro e cosa guarderemmo.
Leggi il perimetro gratis