La regola del 3%: come silenziare il 97% degli avvisi del cloud e garantire maggiore sicurezza

Prioritizzare ciò che deve essere risolto prima e perché è davvero importante

La promessa fondamentale del cloud sono la velocità e la scalabilità. Tuttavia, per i team di sicurezza, l'entità è diventato l'avversario principale. Attualmente ci troviamo in un paradosso della sicurezza del cloud: le organizzazioni hanno implementato un numero maggiore di strumenti di scansione rispetto al passato, tuttavia la loro effettiva posizione di rischio non è mai stata meno chiara.

Lo standard del settore è stato quello di affidarsi al volume come parametro di successo. Quanti problemi abbiamo scoperto? Quante patch abbiamo applicato? Ma in un ambiente cloud moderno, il volume non è una metrica, bensì una responsabilità. Quando i team di sicurezza sono sommersi da migliaia di avvisi "critici" basati sulla gravità teorica, sono costretti ad assumere un approccio reattivo. I team che si occupano di vulnerabilità conoscono bene questo scenario. 

I dati rivelano una forte inefficienza: mentre gli strumenti tradizionali segnalano quasi il 60% delle vulnerabilità come "alte" o "critiche", Tenable Research mostra che solo l'1,6%-3% circa rappresenta un rischio aziendale reale e sfruttabile. Questo costringe i team a passare la maggior parte del tempo a rincorrere i falsi allarmi piuttosto che il rischio.

Per far maturare il programma di sicurezza del cloud, devi smettere di assegnare le priorità in base alla gravità e iniziare ad assegnarle in base alla sfruttabilità. È arrivato il momento di passare dalla gestione delle vulnerabilità alla gestione dell'esposizione.

Il costo operativo del rischio teorico

Il CVSS (Common Vulnerability Scoring System) è stato lo standard predefinito per la definizione delle priorità. Tuttavia, il CVSS non dispone del contesto aziendale necessario per essere efficace in tutti i settori, in particolare nel cloud. Il CVSS misura la gravità di un bug software in modo isolato. Non tiene conto del contesto dell'asset. È pubblico? È privilegiato? Accede a dati sensibili?

Se il tuo team lavora su un elenco ordinato esclusivamente in base al CVSS, sta perdendo tempo prezioso su difetti teorici, mentre i veri percorsi di attacco rimangono aperti. L'obiettivo non è correggere di più, l'obiettivo è correggere ciò che è importante. Come dice il proverbio: "Quando tutto è importante, niente è importante".

Combinazioni dannose: definire il rischio reale

Nella sicurezza moderna, ogni violazione è essenzialmente una violazione dell'identità. Sebbene una configurazione errata o una vulnerabilità possano fornire l'appiglio iniziale, è l'identità, e in particolare i suoi diritti e privilegi, che consente a un incidente di sicurezza di passare da "mediocre" a "peggiore".

Le violazioni raramente avvengono in modo isolato. Si trovano all'incrocio preciso tra esposizione pubblica, vulnerabilità e identità privilegiata. Questa convergenza è la combinazione dannosa che crea la tempesta perfetta per gli autori di attacchi.

Correlare questi fattori è notoriamente difficile perché i dati spesso risiedono in silos: i dati di vulnerabilità in uno strumento, i dati IAM in un altro e l'esposizione della rete in un terzo. Oggi i team di sicurezza devono colmare queste lacune, trasformando i dati grezzi in contesto, in visione chiara e in azione.

Il vero rischio è definito dalla convergenza di questi tre fattori, di cui si avvalgono con piacere gli autori di attacchi:

• Esposizione pubblica: l'asset è accessibile da Internet.
• Vulnerabilità critica: il software contiene un difetto noto e sfruttabile.
• Privilegio o diritto eccessivo: l'identità associata ha ampie autorizzazioni (ad esempio, Admin o Root).

Nelle combinazioni dannose, la vulnerabilità spesso apre la porta, ma il privilegio eccessivo consegna all'autore di attacchi le "chiavi del regno". Nonostante l'evidente pericolo, secondo il Tenable Cloud Security Risk Report 2025, quasi il 29% delle organizzazioni ha almeno un carico di lavoro che opera con questa configurazione.

Queste combinazioni sono gli obiettivi principali degli attori delle minacce perché offrono un percorso diretto per l'esfiltrazione dei dati, il ransomware o altri impatti dannosi. L'identificazione e la correzione di queste intersezioni specifiche, piuttosto che il rincorrere un elenco generico di CVE, è la differenza tra il "lavoro che tiene inutilmente occupati" e l'effettiva riduzione del rischio affrontando l'esposizione. 

L'effetto Jenga®: rischio ereditato nell'IA e nell'identità

La sfida della definizione delle priorità si combina alla rapida adozione dell'IA e alla natura stratificata dei servizi cloud, che Tenable Cloud Research ha soprannominato "effetto Jenga".

Quando distribuiscono carichi di lavoro IA, le organizzazioni spesso ereditano dai fornitori configurazioni predefinite rischiose. Ad esempio, secondo il Tenable Cloud AI Risk Report 2025, nel 90,5% delle organizzazioni che hanno configurato Amazon SageMaker l'accesso root è abilitato di default in almeno un'istanza del notebook. Se il blocco di base dello stack non è sicuro, l'intero carico di lavoro è compromesso.

Inoltre, l'identità è diventata l'obiettivo primario degli autori di attacco. Puoi applicare patch a tutti i software presenti nell'ambiente, ma se un autore di attacchi compromette un'identità con privilegi eccessivi, non è necessario un exploit. È sufficiente effettuare l'accesso. Con l'84% delle organizzazioni in possesso di chiavi di accesso inutilizzate o di lunga data con autorizzazioni critiche, come emerge dal Tenable Cloud Research Report 2024, la gestione dell'identità e degli accessi non è più un optional.

Una strategia matura di gestione delle vulnerabilità deve trattare i rischi di identità e le configurazioni errate dell'IA con la stessa urgenza delle vulnerabilità del software.

Rendere operativa la gestione dell'esposizione

Per colmare le lacune di efficienza riscontrate nel cloud, i responsabili della sicurezza devono adottare una piattaforma di protezione delle applicazioni cloud-native (CNAPP) che unifichi la visibilità e costringa a imponga la prioritizzazione in base al contesto.

Scopri come cambiare il tuo modello operativo:

1. Mantenere lo slancio (la verifica in 5 minuti)

La paralisi è nemica della sicurezza. Di fronte a una montagna di avvisi, i team spesso si bloccano. Tenable Cloud Security interrompe questa paralisi con il widget "Se hai solo 5 minuti". Questa funzione non riguarda un'indagine forense approfondita, ma l'igiene e l'impulso. Identifica i "risultati positivi" immediati e ovvi, come un bucket S3 esposto pubblicamente o una chiave inattiva, che si possono risolvere subito. In questo modo si garantisce che anche nei giorni più impegnativi si stia risolvendo qualcosa piuttosto che niente. Inoltre, si evita che il "debito igienico" si accumuli mentre ci si prepara per un lavoro più approfondito. Questo è un'ottima posizione da assegnare ai dipendenti meno esperti.

2. Attaccare le combinazioni dannose

Una volta gestiti i risultati rapidi, sposta l'attenzione sui rischi strategici. Qui il tuo obiettivo sono le combinazioni dannose ed è qui che si applicano le risorse migliori. Mettendo in relazione i dati relativi a identità, rete e vulnerabilità, è possibile identificare il 3% degli avvisi che potrebbe portare a una violazione devastante. La correzione di queste esposizioni crea una riduzione misurabile del rischio organizzativo che può essere comunicata al consiglio di amministrazione.

3. Spostare la correzione alla fonte

"ClickOps", la pratica di correggere manualmente le impostazioni nella console cloud, è inefficiente e temporanea. La distribuzione successiva spesso sovrascrive la correzione.

Le organizzazioni mature integrano la sicurezza nel ciclo di vita dello sviluppo. Tenable Cloud Security rintraccia i problemi di runtime fino alla IaC (Infrastructure as Code) specifica che li ha creati. Può quindi generare automaticamente una richiesta pull con le modifiche necessarie al codice.

Questo vale anche per l'identità. Invece di stimare le autorizzazioni, la piattaforma analizza il comportamento di utilizzo effettivo per generare policy di privilegio minimo che eliminano automaticamente gli accessi non utilizzati.

Conclusione: sicurezza basata sul valore

La metrica per un programma di sicurezza cloud di successo non è più il "numero di avvisi chiusi". È la riduzione misurabile dell'esposizione.

Non possiamo aumentare i team per adeguarci alla crescita del cloud, ma possiamo aumentare l'intelligence. Sfruttando il contesto per identificare il 3% delle esposizioni che creano rischi per l'azienda, l'organizzazione passa da un approccio reattivo ai falsi allarmi alla prioritizzazione e alla correzione proattive delle esposizioni.

Guardalo in azione

La breve demo qui sotto guida attraverso un ambiente di IA nel cloud e mostra come Tenable identifichi i carichi di lavoro, riveli i rischi nascosti ed evidenzi i problemi più importanti.

Offre uno sguardo rapido e diretto alla gestione dell'esposizione e come si presenta in pratica nell'uso reale.

Scopri di più su come prioritizzare i rischi del cloud in base a ciò che è realmente importante.

(Jenga® è un marchio registrato di proprietà di Pokonobe Associates.)