Come una vulnerabilità passa dalla scoperta alla registrazione CVE fino al test pronto nell’OPENVAS ENTERPRISE FEED, e perché la velocità decide della vostra sicurezza.
Richiedi consulenza gratuitaTra la comparsa di una falla nel codice e la sua risoluzione nella rete si gioca una corsa contro il tempo. Prima è disponibile un test affidabile, più breve è la finestra in cui gli aggressori possono sfruttare una vulnerabilità prima che venga scoperta e chiusa. Per la maggior parte delle vulnerabilità note, il percorso dalla falla silenziosa al test pronto nell’OPENVAS ENTERPRISE FEED segue uno schema simile.
Il ciclo di vita di una vulnerabilità descrive il percorso di una falla di sicurezza dalla sua comparsa inosservata nel codice, attraverso la scoperta e la registrazione ufficiale come CVE (Common Vulnerabilities and Exposures), fino alla disponibilità di un test in grado di identificare in modo affidabile i sistemi interessati.
Per le aziende questa cronologia è rilevante perché il rischio di sfruttamento non inizia né termina con la pubblicazione del CVE. Una gestione delle vulnerabilità completa deve quindi considerare sia le falle già note pubblicamente sia quelle riservate e non ancora pubblicate.
Non tutte le vulnerabilità attraversano esattamente le stesse tappe, ma la maggior parte delle falle note segue questo schema:
| Fase | Cosa succede | Ruolo di Greenbone |
|---|---|---|
| 1. La vulnerabilità esiste | Un problema di sicurezza entra inosservato in un prodotto software, spesso a causa di un errore di programmazione o di una configurazione predefinita non sicura. | Greenbone raccomanda processi di sviluppo sicuri e applica gli stessi principi ai propri prodotti. |
| 2. La vulnerabilità viene scoperta | Un ricercatore, un aggressore o uno strumento automatizzato individua la falla, che può essere rimasta inosservata per anni. | Eventuali scoperte interne vengono sempre segnalate in modo responsabile al fornitore o alle autorità competenti. |
| 3. CVE riservato | Un ente di numerazione CVE assegna un identificativo riservato, non ancora pubblicato, per preparare in modo coordinato avviso e correzione. | Greenbone monitora i forum di discussione rilevanti e spesso inizia già in questa fase lo sviluppo del test, senza attendere la pubblicazione. |
| 4. CVE pubblicato | La voce riceve una data ufficiale, una classificazione di gravità e ulteriori link. Sono possibili aggiornamenti successivi. | I test preparati in anticipo vengono collegati automaticamente al numero CVE, con nuove informazioni integrate subito. |
| 5. Advisory del fornitore pubblicato | Il fornitore del software interessato pubblica un avviso di sicurezza, di solito con una versione aggiornata o indicazioni di configurazione. | Un processo in gran parte automatizzato recupera gli advisory dei fornitori e crea rapidamente un test per il feed. |
| 6. Distribuzione da parte di terzi | I fornitori di sistemi operativi o distribuzioni, come Red Hat o Debian, integrano il componente interessato e pubblicano propri avvisi, talvolta in ritardo. | Per ogni fornitore rilevante viene predisposto un test dedicato, spesso autenticato, per aumentare la qualità di rilevamento. |
Studi recenti mostrano quanto si sia già ridotta la finestra tra la pubblicazione e lo sfruttamento di una vulnerabilità:
Fonti: Verizon Data Breach Investigations Report (2026); Rapid7 Global Threat Landscape Report (2026).
Per la stessa falla di sicurezza compaiono spesso più test nell’OPENVAS ENTERPRISE FEED. Le ragioni tecniche sono comprensibili:
Un feed rapido e aggiornato è solo metà dell’equazione. L’altra metà è una soluzione che esegue questi test in modo affidabile sulla propria infrastruttura e ne classifica i risultati per criticità.
Un primo percorso pratico per verificare la velocità della vostra gestione delle vulnerabilità attuale:
Come può esistere un test Greenbone prima della pubblicazione ufficiale del CVE?
Greenbone non attende la pubblicazione ufficiale del CVE. Lo sviluppo del test inizia non appena una vulnerabilità diventa nota, il che può avvenire giorni, e in alcuni casi persino mesi, prima della pubblicazione ufficiale. Una volta assegnato il numero CVE, questo viene collegato automaticamente al test corrispondente.
Qual è la differenza tra un CVE riservato e uno pubblicato?
Un CVE riservato ha già un identificativo fisso ma nessun dettaglio pubblico. Serve a preparare in modo coordinato avviso e correzione. Solo con la pubblicazione la voce riceve una classificazione di gravità, una descrizione e ulteriori link.
Perché esistono più test Greenbone per la stessa vulnerabilità?
Di solito perché sono possibili sia un test remoto sia un ulteriore test autenticato, oppure perché un componente vulnerabile fa parte di più prodotti di fornitori diversi, ciascuno dei quali pubblica un proprio avviso.
Perché i test per Debian, Red Hat e distribuzioni simili appaiono talvolta più tardi del CVE?
I fornitori di distribuzioni seguono un proprio processo di controllo qualità prima di rilasciare una versione corretta. Greenbone crea un test non appena viene pubblicato il relativo advisory del fornitore, il che può avvenire giorni o settimane dopo il CVE a seconda del fornitore.
Quanto velocemente Greenbone fornisce un test per una nuova vulnerabilità?
Per le falle prioritarie l’obiettivo è la disponibilità entro 24 ore dalla pubblicazione. I tempi effettivi dipendono dalla qualità delle informazioni disponibili dal fornitore e dallo sforzo di test necessario.
Con quali criteri Greenbone prioritizza i nuovi test di vulnerabilità?
I fattori decisivi sono la gravità CVSS, la diffusione del prodotto interessato e la fattibilità dell’automazione. Una falla di gravità media in un software molto diffuso riceve spesso priorità maggiore di una falla critica in un’applicazione di nicchia.
Cos’è un Vulnerability Test (VT) nell’OPENVAS ENTERPRISE FEED?
Un Vulnerability Test è una routine di controllo automatizzata che verifica se una determinata vulnerabilità è presente su un sistema analizzato. L’OPENVAS ENTERPRISE FEED contiene oltre 100.000 test di questo tipo ed è ampliato quotidianamente con nuove voci.
Il feed copre anche vulnerabilità senza un CVE ufficiale?
Sì. In alcuni casi non esiste ancora un CVE, ma solo un numero riservato o un advisory del fornitore senza assegnazione CVE. Greenbone può già fornire un test in questi casi e lo collega retroattivamente non appena viene assegnato un CVE.
Verifichiamo insieme quanto è ampia oggi, nel vostro ambiente, la finestra tra la pubblicazione e la chiusura di una vulnerabilità.
