Database delle vulnerabilità

Un database delle vulnerabilità (vulnerability database, VDB) è una piattaforma finalizzata a raccogliere, mantenere e diffondere informazioni sulle vulnerabilità informatiche note. Il database, di norma, descrive la vulnerabilità identificata, valuta il potenziale impatto sui sistemi interessati ed eventuali procedure o aggiornamenti per mitigare il problema. Un VDB assegna un identificativo univoco a ogni singola vulnerabilità catalogata, come un numero (per esempio 123456) o una classificazione alfanumerica (per esempio VDB-2020-12345). Le informazioni contenute nel database possono essere rese disponibili tramite pagine web, applicazioni esterne o API. Un VDB potrebbe fornire le informazioni gratuitamente, a pagamento o con una combinazione di queste due modalità.

Storia

Il primo database di vulnerabilità è stato il "Repaired Security Bugs in Multics", pubblicato il 7 febbraio 1973 da Jerome H. Saltzer. Ha descritto l'elenco come "una lista con tutti i modi conosciuti con cui un utente può violare o aggirare i meccanismi di protezione di Multics". Inizialmente l'elenco venne reso in qualche modo privato, con l'intento di nascondere i dettagli delle vulnerabilità fino a quando non fossero state trovate soluzioni. L'elenco pubblico conteneva due vulnerabilità locali di privilege escalation e tre attacchi locali di denial of service.

Esempi vulnerabilità dei database

I principali database di vulnerabilità, come il database ISS X-Force, il database Symantec/SecurityFocus BID e l'Open Source Vulnerability Database (OSVDB) aggregano un'ampia gamma di vulnerabilità di pubblico dominio, tra cui Common Vulnerabilities and Exposures (CVE). Il principale scopo del CVE, gestito dalla Mitre Corporation, è quello di tentare di aggregare le vulnerabilità note attribuendone un identificativo univoco in formato standardizzato. Molti database di vulnerabilità utilizzano le informazioni ricevute da CVE e approfondiscono la ricerca fornendo punteggi di pericolosità delle vulnerabilità, valutazioni d'impatto e i necessari metodi di risoluzione. In passato, i CVE erano fondamentali per collegare i database delle vulnerabilità così da condividere patch e soluzioni di sicurezza critiche per impedire ai pirati informatici di accedere a informazioni sensibili su sistemi riservati. Il National Vulnerability Database (NVD), gestito dal National Institute of Standards and Technology (NIST), è gestito separatamente dal database CVE gestito dalla Mitre Corporation, ma raccoglie solo le informazioni sulle vulnerabilità del CVE. NVD funge da integrazione a questi dati, fornendo il punteggio di rischio Common Vulnerability Scoring System (CVSS) e i dati della Common Platform Enumeration (CPE).

L'Open Source Vulnerability Database (OSVDB) offre un indice accurato, tecnico e imparziale sulla sicurezza delle vulnerabilità. Il database completo cataloga oltre 121.000 vulnerabilità. L'OSVDB è stato fondato nell'agosto 2002 e lanciato nel marzo 2004. Inizialmente, le nuove vulnerabilità identificate venivano analizzate dai membri del progetto e le spiegazioni erano riportate sul loro sito web. Con il crescere della necessità del servizio, tuttavia, l'esigenza di personale dedicato ha portato alla nascita della Open Security Foundation (OSF), un'organizzazione no-profit fondata nel 2005 per fornire finanziamenti ai progetti di sicurezza e in primo luogo all'OSVDB L'OSVDB è stato chiuso nell'aprile 2016.

Il National Vulnerability Database (NVD) statunitense è un database completo sulle vulnerabilità della sicurezza informatica creato nel 2005 che riporta i dati del CVE. Il NVD è uno strumento di riferimento primario per la sicurezza informatica, sia per i privati, sia per le industrie, fornendo risorse informative sulle attuali vulnerabilità. Il NVD contiene oltre 100.000 documenti. Analogamente all'OSVDB, l'NVD pubblica valutazioni di impatto e classifica il materiale in un indice per fornire agli utenti un sistema di ricerca intellegibile. Altri Paesi dispongono di propri database di vulnerabilità, come il National Vulnerability Database cinese e il Data Security Threats Database russo.

Una varietà di società commerciali mantiene anche i propri database di vulnerabilità, offrendo ai clienti servizi che forniscono dati sulle vulnerabilità nuovi e aggiornati in formato leggibile dalla macchina e attraverso portali web. Gli esempi includono il portale DeepSight di Symantec e il feed di dati sulle vulnerabilità, il gestore delle vulnerabilità di Secunia (acquistato da Flexera) e il servizio di intelligence sulle vulnerabilità di Accenture (precedentemente iDefense).

I database delle vulnerabilità raccomandano alle aziende di sviluppare, classificare ed eseguire patch o altre misure correttive che tentino di correggere le vulnerabilità critiche. Tuttavia, questo può spesso portare alla creazione di ulteriori potenziali vulnerabilità, poiché le patch vengono create frettolosamente per impedire ulteriori sfruttamenti e violazioni dei sistemi. A seconda del livello di competenza di un utente o di un'azienda, è necessario garantire un accesso appropriato a un database delle vulnerabilità che fornisca indicazioni sulle vulnerabilità note che possono riguardare l'utente stesso. La giustificazione per limitare l'accesso ai singoli individui è quella di impedire ai pirati informatici di conoscere le vulnerabilità dei sistemi aziendali che potrebbero essere sfruttate ulteriormente.