Verificare la sicurezza della propria infrastruttura IT non significa necessariamente affidarsi a una soluzione chiusa e costosa. L’Open Source Vulnerability Management utilizza un motore di scansione il cui codice sorgente è consultabile pubblicamente per individuare, valutare e prioritizzare le vulnerabilità, in modo trasparente e non come una scatola nera. Questa panoramica mostra fin dove arriva questo approccio da solo e dove conviene un’integrazione commerciale.

I punti chiave in breve
Open Source Vulnerability Management indica l'uso di tecnologia di scansione con codice sorgente pubblicamente consultabile, per lo più con licenza GPL, per cercare in modo sistematico le falle di sicurezza nella propria infrastruttura IT. OPENVAS è uno di questi progetti open source: nato nel 2005 come fork di Nessus e sviluppato da allora con il contributo dell'ufficio federale tedesco per la sicurezza informatica (BSI) e di una community attiva. Per la protezione completa dei sistemi aziendali critici, il feed commerciale OPENVAS ENTERPRISE FEED integra il motore di scansione aperto con test aggiornati quotidianamente e supporto tecnico.
Tra i principali vantaggi:
  • Motore di scansione completamente consultabile e verificabile, non una scatola nera
  • Nessuna dipendenza da un unico fornitore (nessun vendor lock-in)
  • Combinabile con il feed enterprise commerciale per software aziendale e supporto

Che cos’è l’Open Source Vulnerability Management?

Open Source Vulnerability Management descrive l’uso di scanner di sicurezza il cui codice sorgente è pubblicamente disponibile, per identificare, valutare e prioritizzare in automatico le vulnerabilità in reti, server e dispositivi. Al centro non c’è tanto il costo della licenza, quanto la tracciabilità: ogni routine di verifica può essere ispezionata, invece di doversi affidare solo alla promessa di un fornitore.

Il termine viene spesso confuso con un altro ambito: la messa in sicurezza dei componenti open source all’interno del proprio software, nota anche come Software Composition Analysis. In quel caso si tratta di trovare vulnerabilità nelle librerie utilizzate, non di scegliere lo strumento di scansione. L’Open Source Vulnerability Management descritto qui riguarda invece la ricerca di vulnerabilità nell’intera infrastruttura IT con uno strumento a codice aperto. Le basi tecniche sono approfondite nella pagina Sicurezza IT e sicurezza delle informazioni.

L’esempio più noto è OPENVAS: nato nel 2005, quando il suo predecessore Nessus passò da una licenza aperta a una proprietaria. Da allora lo scanner viene sviluppato sotto licenza GPL, inizialmente con il supporto del BSI tedesco, oggi sotto la guida della società tedesca Greenbone AG. Storia e confronto con la controparte commerciale sono approfonditi nella pagina OPENVAS vs. Nessus.

Vantaggi e limiti dell’approccio aperto

Se uno scanner aperto da solo sia sufficiente o se convenga un’integrazione commerciale dipende dal proprio ambiente IT:

I punti di forza dell’approccio aperto

  • Codice sorgente completamente consultabile, non una scatola nera
  • Nessuna dipendenza da un unico fornitore
  • Routine di rilevamento verificate da una community internazionale
  • Esecuzione on-premise o nel proprio cloud, pieno controllo sui dati

Dove l’approccio aperto da solo non basta

  • Il Community Feed copre soprattutto software per utenti privati
  • Nessun tempo di risposta o SLA garantito per contratto
  • Aggiornamento e gestione restano interamente a proprio carico
  • Evidenze limitate per audit e requisiti di conformità

È esattamente qui che interviene l’OPENVAS ENTERPRISE FEED: integra il motore di scansione aperto con una base dati gestita commercialmente e aggiornata quotidianamente, policy di conformità e supporto del produttore.

L’Open Source Vulnerability Management in cifre

Alcuni dati recenti mostrano quanto velocemente evolve lo scenario delle minacce e perché la sola analisi manuale non basta più:

48.185 CVE

nuove vulnerabilità pubblicate nel 2025, in aumento del 20,6 % rispetto all’anno precedente e un nuovo record

31 %

degli incidenti analizzati nel Verizon Data Breach Investigations Report (2026) è riconducibile allo sfruttamento di vulnerabilità come vettore di accesso iniziale, in aumento rispetto al 20 % del rapporto precedente

28 %

delle vulnerabilità segnalate nel 2025 ha ricevuto dal database statunitense NVD una classificazione tecnica completa (CVSS, CWE, CPE), un valore nettamente inferiore rispetto all’anno precedente

Fonti: CVE Program (2025); Verizon Data Breach Investigations Report (2026); National Vulnerability Database, NIST (2025).

Dove l’approccio community raggiunge i suoi limiti

Una panoramica delle limitazioni più comuni quando si lavora esclusivamente con uno scanner community gratuito:

Firme con ritardo

I test del Community Feed vengono aggiornati in modo irregolare, per cui le nuove vulnerabilità emergono più tardi rispetto a un feed commerciale aggiornato quotidianamente.

Copertura limitata

I test riguardano soprattutto prodotti per uso privato, mentre software aziendale diffuso come Cisco, SAP o Palo Alto è coperto solo dall’Enterprise Feed.

Nessun supporto del produttore

Per domande o problemi resta solo il confronto nel forum della community, senza tempi di risposta vincolanti.

Gestione a proprio carico

Gestione, protezione e backup dell’infrastruttura di scansione restano interamente a proprio carico, senza servizi professionali a cui fare riferimento.

Evidenze di conformità mancanti

Senza pacchetti di policy per i CIS Benchmark e standard analoghi, i requisiti di audit possono essere soddisfatti solo in parte.

Nessun aggiornamento automatico del prodotto

Le appliance gratuite come OPENVAS FREE ricevono aggiornamenti regolari del feed, ma non un aggiornamento automatico del software stesso.

Quale approccio è adatto a chi

A seconda delle dimensioni aziendali e dei requisiti, conviene una diversa combinazione di scanner aperto e feed commerciale:

Privati e postazioni singole

OPENVAS FREE offre un ingresso rapido e gratuito con il Community Feed, ideale per fare pratica senza funzioni enterprise.

Piccole imprese

OPENVAS BASIC unisce il motore di scansione aperto al feed enterprise commerciale a un prezzo di ingresso conveniente, operativo in pochi minuti.

Medie e grandi imprese

OPENVAS SCAN aggiunge sensori, accesso API e ticket di remediation, portando l’approccio aperto a livello enterprise.

Community Feed ed Enterprise Feed a confronto

La differenza principale tra l’approccio open source gratuito e quello commerciale sta nel feed sottostante:

Caratteristica OPENVAS COMMUNITY FEED OPENVAS ENTERPRISE FEED
Costo Gratuito Abbonamento a pagamento
Copertura software per uso privato Sì Sì
Copertura software aziendale No Sì
Frequenza di aggiornamento Irregolare Più volte al giorno
Policy di conformità (es. CIS Benchmark) No Sì
Supporto del produttore con SLA No Sì

Un confronto dettagliato è disponibile nella pagina OPENVAS Feed a confronto.

Come si evolve l’Open Source Vulnerability Management

Rilevamento delle vulnerabilità assistito dall’IA

Sia gli attaccanti sia i difensori utilizzano sempre più l’intelligenza artificiale per individuare più rapidamente nuove vulnerabilità, uno dei motivi del forte aumento dei CVE segnalati.

Priorizzazione basata sul rischio, non solo sul CVSS

Con l’Exploit Prediction Scoring System (EPSS) la probabilità effettiva di sfruttamento di una vulnerabilità conta sempre di più rispetto alla sola gravità.

Più richiesta di trasparenza

Normative come la direttiva NIS2 e il Cyber Resilience Act richiedono misure di sicurezza tracciabili, un vantaggio per una tecnologia open source verificabile.

L’Open Source Vulnerability Management con Greenbone

OPENVAS è a sua volta un progetto open source: il motore di scansione è concesso in licenza GPL e sviluppato dalla società tedesca Greenbone AG. A seconda delle esigenze può essere utilizzato con il Community Feed gratuito o con l’Enterprise Feed commerciale.

Segui un collegamento aggiunto manuale
Gestione automatizzata delle vulnerabilità per medie e grandi imprese, con scansioni continue, accesso API e priorizzazione basata su CVSS.
Gestione delle vulnerabilità per piccole imprese e postazioni singole, operativa in pochi minuti e provabile gratis per 14 giorni.

Per una prova senza impegno e con i propri tempi è disponibile anche OPENVAS FREE.

Checklist: l’approccio aperto è adatto alla vostra IT?

Un primo percorso concreto per trovare l’approccio open source giusto per la vostra IT:

  • Verificare quale quota della propria IT sia software per uso privato o software aziendale
  • Testare il Community Feed per valutarne personalmente estensione e aggiornamento
  • Definire il livello di supporto necessario: self-service oppure tempi di risposta garantiti per contratto
  • Confrontare i requisiti di conformità come i CIS Benchmark con il reparto competente
  • Valutare l’Enterprise Feed per i sistemi aziendali critici
  • Provare OPENVAS BASIC o OPENVAS SCAN gratis per 14 giorni
  • Rivedere periodicamente l’approccio e adattarlo alla crescita dell’ambiente IT

Domande frequenti sull’Open Source Vulnerability Management

Open Source Vulnerability Management indica l’uso di tecnologia di scansione con codice sorgente pubblicamente consultabile per trovare, valutare e prioritizzare le vulnerabilità nella propria infrastruttura IT.

No. In quel caso si tratta di mettere in sicurezza le librerie open source usate nel proprio software, ambito noto anche come Software Composition Analysis. L’Open Source Vulnerability Management riguarda invece la scelta di uno strumento di scansione aperto per l’intera infrastruttura IT.

Sì, il motore di scansione di OPENVAS è concesso in licenza GPL ed è quindi liberamente consultabile. I prodotti commerciali OPENVAS BASIC e OPENVAS SCAN integrano questo nucleo aperto con un Enterprise Feed a pagamento e supporto tecnico.

Il Community Feed copre soprattutto software per uso privato e viene aggiornato in modo irregolare. L’Enterprise Feed testa inoltre software aziendale diffuso, viene aggiornato più volte al giorno e include policy di conformità e supporto.

Per un primo approccio o per ambienti privati sì. Non appena è in uso software aziendale o sono richieste evidenze di conformità, l’Enterprise Feed commerciale diventa di norma necessario.

Il codice sorgente pubblicamente consultabile viene esaminato da un’ampia community, il che spesso rende visibili gli errori più rapidamente rispetto al software chiuso. Per il tasso di rilevamento effettivo resta però decisivo quanto siano aggiornati i test utilizzati.

Lo scanner in sé è utilizzabile gratuitamente. I costi derivano solo dall’Enterprise Feed opzionale, il cui prezzo dipende dall’ambiente da scansionare, da poche decine di euro al mese fino a licenze aziendali più ampie.

La gestione classica delle vulnerabilità descrive il processo generale di identificazione, valutazione e correzione delle vulnerabilità, indipendentemente dallo strumento utilizzato. L’Open Source Vulnerability Management pone inoltre l’accento sulla scelta di una tecnologia di scansione trasparente e pubblicamente consultabile come base di questo processo.

Pronti per più trasparenza nella vostra gestione delle vulnerabilità?

Verifichiamo insieme se l’approccio aperto è sufficiente per la vostra IT o dove conviene un’integrazione commerciale.