CVSS, EPSS, SSVC ed Exploitability Index: tutti strumenti inutili senza contesto

Con il numero di vulnerabilità a cui sono sottoposte le aziende in tutto il mondo, i ricercatori del Rochester Institute of Technology, dell’Università delle Hawaii e di Leidos hanno condotto il più grande studio comparativo ad oggi dei quattro sistemi di punteggio delle vulnerabilità più diffusi: CVSS, EPSS, SSVC ed Exploitability Index.

Gli autori hanno analizzato 600 vulnerabilità reali provenienti dalle versioni Patch Tuesday di Microsoft per scoprire quanto questi sistemi siano coerenti tra loro, quanto bene gestiscano le attività di definizione delle priorità e con quale accuratezza prevedano il rischio di sfruttamento.

I risultati sono stati allarmanti: tutti e quattro i sistemi mostrano nette differenze nelle valutazioni delle stesse CVE. È stata riscontrata una correlazione estremamente bassa tra loro: in alcuni casi, la percezione della gravità della minaccia dipende radicalmente dall’approccio utilizzato. Ciò porta a una situazione paradossale: la stessa vulnerabilità può essere inclusa nella lista di priorità di un sistema e ignorata da un altro.

Gli autori sottolineano che, in pratica, questo porta al caos nel processo decisionale. I sistemi spesso raggruppano centinaia di CVE nelle stesse “classi principali”, senza fornire una vera e propria gradazione. Ad esempio, secondo CVSS ed Exploitability Index, più della metà delle vulnerabilità rientra nei livelli di priorità più elevati, mentre EPSS seleziona solo quattro CVE, creando il problema opposto: un’eccessiva selettività e il rischio di trascurare casi pericolosi.

Il documento presta particolare attenzione all’efficacia dell’EPSS come strumento per la previsione di attacchi futuri. Nonostante l’obiettivo dichiarato di prevedere la probabilità di exploit entro 30 giorni, meno del 20% delle vulnerabilità CVE sfruttabili note presentava punteggi EPSS elevati prima di essere aggiunte al catalogo KEV. Inoltre, il 22% delle vulnerabilità non aveva alcun punteggio nel sistema fino alla conferma degli attacchi. Ciò compromette seriamente la sua affidabilità come strumento preventivo.

SSVC, a sua volta, offre una categorizzazione qualitativa delle azioni (ad esempio, “monitorare”, “agire”), ma anche qui sono state riscontrate delle difficoltà: la decisione dipende dal parametro poco comparabile “impatto sulla missione e sul benessere”, il che rende difficili i confronti tra organizzazioni.

È stato inoltre verificato se le tipologie di vulnerabilità (secondo il CWE) influenzino le discrepanze tra le valutazioni. È emerso che non esiste una connessione sistematica: anche all’interno di un CWE si riscontrano forti discrepanze, il che indica l’autonomia della logica di ciascun sistema e l’assenza di un approccio universale.

Lo studio dimostra che l’utilizzo di uno qualsiasi di questi sistemi senza un adattamento contestuale e adeguato alle esigenze di una specifica organizzazione può portare a false priorità. Gli autori raccomandano di non fare affidamento su un unico sistema come fonte universale di verità, ma di utilizzare una combinazione di metriche, integrate con dati e policy interne. È particolarmente importante distinguere tra i concetti di gravità e probabilità di sfruttamento: si tratta di assi diversi che richiedono strumenti di valutazione diversi.

Il lavoro evidenzia la necessità di ripensare l’intero sistema di valutazione delle vulnerabilità. Le organizzazioni moderne non necessitano di un solo indicatore numerico, ma di strumenti trasparenti, interpretabili e adattabili al contesto, che tengano conto delle reali condizioni operative, della criticità delle risorse e della logica aziendale. Solo così è possibile costruire un processo di gestione delle vulnerabilità efficace e affidabile.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Manuel Roccon

Ho iniziato la mia carriera occuparmi nella ricerca e nell’implementazioni di soluzioni in campo ICT e nello sviluppo di applicazioni. Al fine di aggiungere aspetti di sicurezza in questi campi, da alcuni anni ho aggiunto competenze inerenti al ramo offensive security (OSCP), occupandomi anche di analisi di sicurezza e pentest in molte organizzazioni.

Aree di competenza: Ethical Hacking, Bug Hunting, Penetration Testing, Red Teaming, Security Research, Cybersecurity Communication