La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha pubblicato un catalogo di vulnerabilità, anche di Apple, Cisco, Microsoft e Google, che hanno conosciuto exploit e vengono attivamente sfruttate da cyber attori malintenzionati, oltre a richiedere alle agenzie federali di dare la priorità applicare patch per quei difetti di sicurezza entro tempi "aggressivi".
"Queste vulnerabilità rappresentano un rischio significativo per le agenzie e l'impresa federale", ha affermato l'agenzia in una direttiva operativa vincolante (BOD) pubblicata mercoledì. "È essenziale correggere in modo aggressivo le vulnerabilità note sfruttate per proteggere i sistemi informativi federali e ridurre gli incidenti informatici".
Circa 176 vulnerabilità identificate tra il 2017 e il 2020 e 100 falle dal 2021 sono arrivate all'elenco iniziale, che dovrebbe essere aggiornato con ulteriori vulnerabilità sfruttate attivamente man mano che verranno note, a condizione che siano state assegnate vulnerabilità ed esposizioni comuni (CVE) e hanno un'azione correttiva chiara.
La direttiva vincolante impone che le vulnerabilità di sicurezza scoperte nel 2021 - quelle tracciate come CVE-2021-XXXXX - vengano risolte entro il 17 novembre 2021, fissando una scadenza per l'applicazione delle patch del 3 maggio 2022 per le restanti vulnerabilità precedenti. Sebbene il BOD sia principalmente rivolto alle agenzie civili federali, la CISA raccomanda alle imprese private e agli enti statali di rivedere il catalogo e rimediare alle vulnerabilità per rafforzare la loro posizione di sicurezza e resilienza.
La nuova strategia prevede inoltre che l'agenzia si allontani dalla correzione delle vulnerabilità basata sulla gravità a quelle che rappresentano un rischio significativo e vengono abusate nelle intrusioni nel mondo reale alla luce del fatto che gli avversari non sempre fanno affidamento solo sulle debolezze "critiche" per raggiungere i loro obiettivi, con alcuni degli attacchi più diffusi e devastanti che concatenano più vulnerabilità classificate come "alto", "medio" o persino "basso".
"Questa direttiva fa due cose. Primo, stabilisce un elenco concordato di vulnerabilità che vengono sfruttate attivamente", ha affermato il VP of Strategy di Tripwire. "In secondo luogo, fornisce le scadenze per porre rimedio a tali vulnerabilità. Fornendo un elenco comune di vulnerabilità da affrontare per la bonifica, CISA sta effettivamente livellando il campo di gioco per le agenzie in termini di priorità. Non spetta più a ogni singola agenzia decidere quali vulnerabilità sono la priorità più alta da correggere."
Commenti
Posta un commento