CIS Controls e Vulnerability Assessment Piergiorgio Venuti

CIS Controls e Vulnerability Assessment: guida pratica all’adozione delle best practice

Estimated reading time: 6 minuti

Le Critical Security Controls, note anche come CIS Controls, sono una serie di azioni e tecnologie di cybersecurity sviluppate per proteggere le organizzazioni da attacchi informatici comuni ed efficaci. Questo articolo spiega cos’è la CIS, i vantaggi dell’adozione delle CIS Controls e come integrarle nel processo di Vulnerability Assessment per migliorare la postura di sicurezza.

Cos’è la CIS (Center for Internet Security)?

La Center for Internet Security (CIS) è un’organizzazione no-profit che si occupa di migliorare la resilienza cybernetica a livello globale. La CIS gestisce vari programmi tra cui:

  • Le CIS Controls o Critical Security Controls.
  • L’MS-ISAC (Multi-State Information Sharing & Analysis Center) per condividere intelligence sulle minacce.
  • CIS Benchmarks per configurazioni sicure di sistemi informatici.

La CIS è sostenuta da governi, aziende private, istituzioni accademiche e community tecniche per sviluppare best practice per la sicurezza informatica.

CIS Controls (Critical Security Controls)

Le CIS Controls, note inizialmente come SANS Top 20 Critical Security Controls, sono state sviluppate dalla CIS insieme ad esperti di cybersecurity di alto livello.

Si tratta di una serie di azioni, policy e tool di sicurezza prioritizzati e consolidati in una lista di controllo standard. L’obiettivo è guidare le organizzazioni ad implementare le difese più critiche ed efficaci per bloccare gli attacchi informatici known ed emergenti.

I vantaggi dell’adozione delle CIS Controls includono:

  • Approccio pragmatico e di alto impatto – si concentra sulle best practice di maggior valore.
  • Basato su dati concreti – deriva dall’analisi di milioni di attacchi reali.
  • Applicabilità trasversale – efficace per organizzazioni di ogni dimensione e settore.
  • Metriche misurabili – punteggio di implementazione per tracciare il miglioramento.
  • Aggiornamento costante – revisione continua da parte di esperti per riflettere il threat landscape.

Evoluzione delle CIS Controls

La prima versione delle Critical Security Controls risale al 2008. Nel corso degli anni sono state riviste e aggiornate regolarmente per mantenerle rilevanti contro le minacce emergenti.

L’ultima release è la versione 8 (CIS Controls v8) pubblicata nel 2021, che comprende 20 controlli fondamentali. Ecco alcune delle principali novità:

  • Unificazione dei controlli di identità e accesso in un singolo dominio.
  • Nuovi controlli specifici per dispositivi mobili e IoT.
  • Maggiore focus sugli attacchi alla supply chain e ransomware.
  • Integrazione di tecnologie emergenti come microservizi e container.
  • Nuove metriche di implementazione per una misurazione più granulare.

I 20 Critical Security Controls CIS v8

Di seguito i 20 domini delle CIS Controls ver. 8 raggruppati nelle rispettive aree di gestione:

Proteggere le informazioni e i sistemi critici

  1. Inventario dei dispositivi autorizzati e non autorizzati
  2. Inventory del software autorizzato e non autorizzato
  3. Proteggere le configurazioni di hardware e software su dispositivi mobili, portatili, workstation e server
  4. Valutazione e correzione continua delle vulnerabilità
  5. Protezione degli stage di sviluppo e delivery dell’applicazione software

Sviluppare una cultura di sicurezza e consapevolezza

  1. Autorizzazione amministrativa
  2. Manutenzione, monitoraggio e analisi degli audit log

Potenziare la difesa e semplificare la sicurezza

  1. Difesa contro malware
  2. Limitazione ed il controllo dei porti di rete, protocolli e servizi
  3. Protezione dei dati
  4. Protezione della rete
  5. Controllo dell’accesso sensibile

Usare le analytics per rispondere agli eventi

  1. Protezione dei dati e sistemi di analisi della sicurezza
  2. Rilevamento degli eventi e risposta agli incidenti di sicurezza

Ridurre la superficie di attacco e le opportunità per gli attaccanti

  1. Implementazione di un architettura di sicurezza Zero Trust
  2. Protezione dei dati e controllo degli accessi
  3. Implemenazione di sicurezza per dispositivi di rete e mobility
  4. Protezione dei dispositivi e del datacenter su on-premises, reti ibride e sistemi cloud

Rispondere in modo adattivo per ripristinare la situazione

  1. Piani di incident response e disaster recovery
  2. Esercitazioni per valutare e migliorare i piani di incident response e disaster recovery

CIS Controls Self-Assessment Scanner

Per semplificare l’adozione delle CIS Controls, la CIS mette a disposizione uno strumento gratuito di autovalutazione, il CIS Controls Self-Assessment Scanner.

Questo scanner permette di compilare online un questionario sullo stato di implementazione dei vari controlli all’interno della propria organizzazione.

Al termine si ottiene un report che assegna un punteggio complessivo e identifica le aree di miglioramento prioritarie per rafforzare le difese in base alle CIS Controls.

Lo strumento fornisce una panoramica di alto livello ma non testa direttamente la sicurezza o l’efficacia dei controlli. Per questo sono necessarie attività più approfondite come il Vulnerability Assessment.

Integrare le CIS Controls nel Vulnerability Assessment

Svolgere un Vulnerability Assessment periodico consente di identificare puntualmente tutte le vulnerabilità e falle di sicurezza all’interno dell’infrastruttura IT.

Per coprire in modo completo i vettori di attacco, l’assessment dovrebbe verificare sia configurazioni errate che possono violare le CIS Controls sia vulnerabilità tecniche nei sistemi.

Ad esempio, la scansione può:

  • Rilevare errori di configurazione che espongono porte di rete sensibili.
  • Identificare servizi non necessari attivi su server e workstation.
  • Trovare applicazioni software non aggiornate e soggette ad exploit.
  • Scoprire account con password deboli o credenziali predefinite.
  • Individuare sistemi operativi o database obsoleti e non più supportati.
  • Analizzare in dettaglio policy e impostazioni di sicurezza.

Quindi, il report finale del Vulnerability Assessment può includere specifiche indicazioni di remediation per risolvere questi problemi, allineandosi alle CIS Controls violate.

In questo modo l’organizzazione è in grado di:

  • Misurare il livello effettivo di conformità alle best practice CIS.
  • Prioritizzare le azioni correttive in base al rischio.
  • Monitorare i progressi nell’implementazione delle difese fondamentali.
  • Dimostrare l’impegno a seguire gli standard convalidati dalla community IT.
  • Il Vulnerability Assessment diventa uno strumento ancora più prezioso integrando le verifiche con le CIS Controls come framework di riferimento.
  • Hardening dei sistemi tramite CIS Controls
  • Le CIS Controls forniscono indicazioni operative per proteggere i sistemi informatici attraverso best practice di “hardening”, ovvero il rinforzo della sicurezza.
  • Ecco alcuni esempi di attività di hardening guidate dalle CIS Controls:
  • Rimozione software non necessario – disinstallare componenti, feature e servizi non essenziali in base al Controllo 2.
  • Chiusura porte e servizi – bloccare porte di rete, disabilitare servizi obsoleti e non utilizzati applicando i Controlli 9 e 11.
  • Aggiornamenti periodici – mantenere sistemi operativi, software e firmware pienamente patchati come indicato nel Controllo 4.
  • Minimizzazione utenti e privilegi – assegnare i minimi privilegi amministrativi richiesti dal ruolo dell’utente come da Controllo 6.
  • Protezione dati – crittografare i dati sensibili sia in transito che at rest implementando il Controllo 10.
  • Autenticazione a più fattori – richiedere più credenziali per l’accesso agli asset critici come impone il Controllo 12.
  • Segmentazione rete – separare logicamente ambienti e flussi di dati sensibili come consigliato dal Controllo 11.
  • Log collection e retention – raccogliere, centralizzare e mantenere log di sistema, applicazioni ed eventi di sicurezza per il Controllo 7.
  • Verificando regolarmente la conformità a queste best practice durante il Vulnerability Assessment, le organizzazioni possono mantenere uno stato solido di sicurezza dei loro asset critici.
  • Vulnerability Assessment continuativo
  • Per mantenere costantemente aggiornata la conformità alle CIS Controls e la comprensione dei rischi di sicurezza, è essenziale eseguire il Vulnerability Assessment in modo frequente e continuativo.
  • I vantaggi di un programma continuativo di VA includono:
  • Visibilità in tempo reale – monitoraggio proattivo dell’esposizione a nuove minacce man mano che sistemi e applicazioni cambiano.
  • Rapidità di intervento – identificazione immediata di nuovi gap da risolvere secondo le CIS Controls.
  • Miglioramento progressivo – tracciamento dei progressi nel tempo verso una copertura completa dei controlli critici.
  • Gestione dinamica del rischio – valutazione dell’impatto di cambiamenti interni ed esterni sull’esposizione agli attacchi.
  • Prova di Diligenza – dimostrazione dell’impegno concreto a seguire framework riconosciuti di best practice.
  • Esternalizzando il Vulnerability Assessment continuativo a fornitori qualificati di servizi gestiti, aziende e organizzazioni possono trarre vantaggio da competenze specializzate e tecnologie avanzate per integrare in modo efficace le CIS Controls nel proprio programma di sicurezza.
  • Conclusione
  • Le CIS Critical Security Controls costituiscono una solida base di best practice cybersecurity sviluppata da esperti di alto profilo.
  • Integrandole nel processo di Vulnerability Assessment, le organizzazioni possono valutare in modo concreto la propria conformità a questi standard convalidati e identificare le aree di miglioramento prioritarie.
  • Un programma continuativo di verifiche consente di monitorare nel tempo lo stato di sicurezza e guidare attività di hardening e mitigazione del rischio in linea con le raccomandazioni delle CIS Controls.
  • Adottando un approccio proattivo, è possibile rispondere più rapidamente alle minacce in continua evoluzione, riducendo la superficie di attacco e rafforzando la postura complessiva di cybersecurity.

Useful links:

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS CSIRT

RSS darkreading

RSS Full Disclosure

  • SEC Consult SA-20240513-0 :: Tolerating Self-Signed Certificates in SAP® Cloud Connector Maggio 14, 2024
    Posted by SEC Consult Vulnerability Lab via Fulldisclosure on May 14SEC Consult Vulnerability Lab Security Advisory < 20240513-0 > ======================================================================= title: Tolerating Self-Signed Certificates product: SAP® Cloud Connector vulnerable version: 2.15.0 - 2.16.1 (Portable and Installer) fixed version: 2.16.2 (Portable and Installer) CVE number: CVE-2024-25642 impact: high homepage:...
  • TROJANSPY.WIN64.EMOTET.A / Arbitrary Code Execution Maggio 14, 2024
    Posted by malvuln on May 14Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2024 Original source: https://malvuln.com/advisory/f917c77f60c3c1ac6dbbadbf366ddd30.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: TrojanSpy.Win64.EMOTET.A Vulnerability: Arbitrary Code Execution Description: The malware looks for and executes a x64-bit "CRYPTBASE.dll" PE file in its current directory. Therefore, we can hijack the DLL and execute […]
  • BACKDOOR.WIN32.ASYNCRAT / Arbitrary Code Execution Maggio 14, 2024
    Posted by malvuln on May 14Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2024 Original source: https://malvuln.com/advisory/2337b9a12ecf50b94fc95e6ac34b3ecc.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.AsyncRat Vulnerability: Arbitrary Code Execution Description: The malware looks for and executes a x32-bit "CRYPTSP.dll" PE file in its current directory. Therefore, we can hijack the DLL and execute […]
  • Re: Panel.SmokeLoader / Cross Site Request Forgery (CSRF) Maggio 14, 2024
    Posted by malvuln on May 14Updated and fixed a payload typo and added additional info regarding the stored persistent XSS see attached. Thanks, Malvuln Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2024 Original source: https://malvuln.com/advisory/4b5fc3a2489985f314b81d35eac3560f_B.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Panel.SmokeLoader Vulnerability: Cross Site Request Forgery (CSRF) - Persistent XSS […]
  • Panel.SmokeLoader / Cross Site Request Forgery (CSRF) Maggio 14, 2024
    Posted by malvuln on May 14Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2024 Original source: https://malvuln.com/advisory/4b5fc3a2489985f314b81d35eac3560f_B.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Panel.SmokeLoader Vulnerability: Cross Site Request Forgery (CSRF) Family: SmokeLoader Type: Web Panel MD5: 4b5fc3a2489985f314b81d35eac3560f (control.php) SHA256: 8d02238577081be74b9ebc1effcfbf3452ffdb51f130398b5ab875b9bfe17743 Vuln...
  • Panel.SmokeLoader C2 / Cross Site Scripting (XSS) Maggio 14, 2024
    Posted by malvuln on May 14Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2024 Original source: https://malvuln.com/advisory/4b5fc3a2489985f314b81d35eac3560f.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Panel.SmokeLoader Vulnerability: Cross Site Scripting (XSS) Family: SmokeLoader Type: Web Panel MD5: 4b5fc3a2489985f314b81d35eac3560f (control.php) SHA256: 8d02238577081be74b9ebc1effcfbf3452ffdb51f130398b5ab875b9bfe17743 Vuln ID:...
  • Panel.Amadey.d.c C2 / Cross Site Scripting (XSS) Maggio 14, 2024
    Posted by malvuln on May 14Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2024 Original source: https://malvuln.com/advisory/50467c891bf7de34d2d65fa93ab8b558.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Panel Amadey.d.c Vulnerability: Cross Site Scripting (XSS) Family: Amadey Type: Web Panel MD5: 50467c891bf7de34d2d65fa93ab8b558 (Login.php) SHA256: 65623eead2bcba66817861246e842386d712c38c5c5558e50eb49cffa2a1035d Vuln ID:...
  • Re: RansomLord v3 / Anti-Ransomware Exploit Tool Released Maggio 14, 2024
    Posted by malvuln on May 14Updated, fixed typo SHA256 : 810229C7E62D5EDDD3DA9FFA19D04A31D71F9C36D05B6A614FEF496E88656FF5
  • RansomLord v3 / Anti-Ransomware Exploit Tool Released Maggio 14, 2024
    Posted by malvuln on May 14Proof-of-concept tool that automates the creation of PE files, used to exploit Ransomware pre-encryption. Updated v3: https://github.com/malvuln/RansomLord/releases/tag/v3 Lang: C SHA256: 83f56d14671b912a9a68da2cd37607cac3e5b31560a6e30380e3c6bd093560f5 Video PoC (old v2): https://www.youtube.com/watch?v=_Ho0bpeJWqI RansomLord generated PE files are saved to disk in the x32 or x64 directories where the program is run from. Goal is to exploit...
  • APPLE-SA-05-13-2024-8 tvOS 17.5 Maggio 14, 2024
    Posted by Apple Product Security via Fulldisclosure on May 14APPLE-SA-05-13-2024-8 tvOS 17.5 tvOS 17.5 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT214102. Apple maintains a Security Releases page at https://support.apple.com/HT201222 which lists recent software updates with security advisories. AppleAVD Available for: Apple TV HD and Apple TV 4K (all […]

Customers

Newsletter

{subscription_form_2}