Vulnerability Assessment: Cos'è, Come Funziona e Tools
Vulnerability assessment: guida a vulnerability scanning, scanner e tools, CVSS, EPSS, KEV, remediation e vulnerability management. Differenze con il pentest.
- Pubblicato il 2026-11-05
- Tempo di lettura: 8 min
Vulnerability Assessment: guida a scansione, priorità e remediation #
Il vulnerability assessment (in italiano valutazione delle vulnerabilità, abbreviato VA) è il processo con cui un’organizzazione cerca, classifica e ordina per priorità le debolezze di sicurezza nei propri sistemi, applicazioni e reti, prima che qualcuno le sfrutti. Non dimostra che un attacco riesca: cerca e valuta le vulnerabilità note e le altre debolezze rilevabili con scansioni, controlli di configurazione e analisi degli asset, ne stima la gravità e indica in che ordine conviene correggerle.
È una delle attività di base della cyber security e il punto di partenza del vulnerability management. Se vuoi invece capire come si dimostra che una debolezza è davvero sfruttabile, la risposta è nel penetration test .
Vulnerability assessment in breve #
| Domanda | Risposta |
|---|---|
| Cos’è | Processo per identificare, valutare e dare priorità alle vulnerabilità |
| Come si fa | Scope, asset discovery, vulnerability scanning, analisi, prioritizzazione, remediation, rescan |
| È automatizzato? | In gran parte sì, ma richiede analisi umana |
| Trova gli zero-day? | In genere no: gli scanner si basano soprattutto su vulnerabilità note |
| Output | Vulnerability assessment report |
| Come si assegna la priorità? | CVSS, EPSS, KEV e contesto dell’asset |
| Sostituisce il pentest? | No |
| Fa parte del vulnerability management? | Sì |
Cos’è una vulnerabilità #
Una vulnerabilità è una debolezza in un software, in una configurazione o in un processo che un attaccante potrebbe usare per ottenere un accesso, rubare dati o bloccare un servizio. Alcuni esempi:
- un software non aggiornato con un difetto noto;
- una configurazione errata (porta di amministrazione esposta, credenziali di default);
- un certificato TLS scaduto o un protocollo obsoleto;
- una permission troppo ampia su un file o un bucket cloud.
Le vulnerabilità note vengono catalogate con un identificativo CVE (Common Vulnerabilities and Exposures), per esempio CVE-2017-5638, così che tutti parlino della stessa cosa. Una vulnerabilità non ancora nota al produttore è invece uno zero-day
: gli scanner tradizionali si basano soprattutto su vulnerabilità e pattern già noti, quindi in genere non riescono a individuarlo.
Come funziona un vulnerability assessment #
Il processo ha cinque passaggi, e si ripete nel tempo:
- Definizione dello scope: quali sistemi, reti e applicazioni rientrano nella valutazione.
- Individuazione degli asset (asset discovery): non si può proteggere ciò che non si sa di avere. Molti VA scoprono sistemi dimenticati o non censiti.
- Scansione: uno scanner confronta versioni, configurazioni e comportamento dei sistemi con un database di vulnerabilità note.
- Analisi e verifica: si eliminano i falsi positivi, cioè i risultati segnalati ma non reali, e si capisce il contesto di ogni finding.
- Prioritizzazione e report: ogni vulnerabilità riceve una gravità e una priorità di correzione, con le azioni di rimedio. Poi si corregge e si ripete la scansione (rescan) per verificare.
L’ultimo passaggio è quello che separa un VA utile da un semplice file di output: uno scanner genera centinaia di righe, il valore sta nel capire quali contano.
Una precisazione sui termini: il vulnerability scanning è la parte tecnica di scansione (il passaggio 3), mentre il vulnerability assessment comprende anche scope, analisi, prioritizzazione e report. Nell’uso comune i due termini si sovrappongono, ma non sono perfettamente sinonimi.
Vulnerability scanning: scansioni autenticate e non autenticate #
| Tipo | Come funziona | Cosa vede |
|---|---|---|
| Non autenticata | Lo scanner interroga il sistema dall’esterno, senza credenziali | Ciò che vedrebbe un attaccante esterno: servizi esposti, versioni, configurazioni visibili |
| Autenticata | Lo scanner accede con un account dedicato a sola lettura | Patch mancanti, software installato, configurazioni interne, molto meno falsi positivi |
Le scansioni autenticate sono in genere più accurate, perché lo scanner legge direttamente cosa è installato invece di dedurlo da come il sistema risponde. Le due modalità si completano.
I tipi di vulnerability assessment: network, web e cloud #
| Tipo | Cosa valuta |
|---|---|
| Network vulnerability assessment | Host, servizi esposti, firewall, protocolli, segmentazione |
| Host / sistema | Sistema operativo, patch, configurazioni, account |
| Web vulnerability assessment | Difetti comuni di logica, input, autenticazione, configurazione |
| Database | Configurazioni, permessi, versioni |
| Cloud vulnerability assessment (e container) | Configurazioni IAM, storage esposto, immagini con componenti vulnerabili |
| Wireless | Configurazione e cifratura delle reti Wi-Fi |
Vulnerability assessment e penetration test: la differenza #
I due termini si confondono spesso, ma rispondono a domande diverse:
| Vulnerability Assessment | Penetration Test | |
|---|---|---|
| Domanda | Quali debolezze note ci sono? | Un attaccante riesce davvero a sfruttarle, e fin dove arriva? |
| Metodo | Prevalentemente automatizzato | Prevalentemente manuale |
| Copertura | Ampia, molti sistemi | Mirata, percorsi di attacco |
| Output | Elenco di vulnerabilità con gravità | Impatto dimostrato e percorso di attacco |
| Frequenza tipica | Ricorrente (spesso continua o periodica) | Periodica o in occasioni specifiche |
| Falsi positivi | Possibili, da filtrare | Ridotti dalla verifica manuale |
Non si sostituiscono: il VA dà ampiezza, il pentest dà profondità. Molte organizzazioni fanno scansioni regolari e un penetration test periodico.
Vulnerability assessment e vulnerability management #
Anche qui i termini si confondono. Il vulnerability assessment individua le vulnerabilità; il vulnerability management decide come gestirle, correggerle e verificarne la riduzione nel tempo.
| Vulnerability Assessment | Vulnerability Management | |
|---|---|---|
| Cos’è | Un processo di identificazione e valutazione | Un programma continuo |
| Scopo | Fotografare l’esposizione | Ridurre il rischio nel tempo |
| Output | Elenco di finding con gravità | Priorità, correzioni, verifiche, metriche |
| Include | Scansione e analisi | Asset, assessment, remediation, tempi di correzione, retest, reportistica |
In pratica il VA è un ingranaggio del vulnerability management. Insieme al penetration test formano una catena: il VA trova e dà priorità, il pentest verifica e dimostra, il vulnerability management corregge e monitora.
Come si assegna una priorità a una vulnerabilità (CVSS, EPSS e KEV) #
Qui sta la parte più importante e più sottovalutata. Ogni anno vengono pubblicate decine di migliaia di nuove vulnerabilità: nessun team le corregge tutte con la stessa urgenza, né serve farlo. Bisogna ordinarle.
| Criterio | A cosa serve |
|---|---|
| CVSS | Punteggio da 0 a 10 che misura la gravità tecnica. Dice quanto è grave la vulnerabilità in astratto, non quanto sia rischiosa per te |
| EPSS | Stima la probabilità che una vulnerabilità venga sfruttata nel breve periodo |
| CISA KEV | Catalogo di vulnerabilità di cui è documentato lo sfruttamento reale: chi è in lista va trattato con priorità |
| Criticità dell’asset | Un server di produzione con dati sensibili vale più di una macchina di test |
| Esposizione | Un sistema raggiungibile da Internet pesa più di uno isolato nella rete interna |
Un CVSS alto non basta: una vulnerabilità con punteggio 9,8 su un sistema isolato può essere meno urgente di una con punteggio 7 su un servizio esposto e già sfruttato attivamente. Il CVSS ha una versione 4.0 (pubblicata da FIRST nel 2023) che aggiunge più contesto alla valutazione, ma il punteggio base resta una misura di gravità, non di rischio.
Un esempio. CVE A: CVSS 9,8, probabilità di sfruttamento bassa, su un server interno isolato. CVE B: CVSS 7,5, probabilità elevata, su un sistema esposto a Internet e presente nel catalogo KEV. Il CVE B può essere la priorità maggiore, nonostante il punteggio più basso.
Risk-Based Vulnerability Management (RBVM) #
Il Risk-Based Vulnerability Management assegna la priorità alle vulnerabilità usando non solo la gravità tecnica, ma anche probabilità di sfruttamento, esposizione, criticità dell’asset, eventuali controlli compensativi e impatto sull’organizzazione. È il modo di combinare CVSS, EPSS, KEV e contesto in una decisione sola.
Vulnerability scanner: gli strumenti e i software più usati #
| Strumento | Tipo | Note |
|---|---|---|
| Nessus | Commerciale | Tra gli scanner più noti, ampio database di controlli |
| OpenVAS / Greenbone | Open source | Alternativa libera, usata anche in ambito formativo |
| Qualys, Rapid7 InsightVM | Commerciale | Piattaforme di vulnerability management, spesso in ambienti enterprise |
| Nmap con script NSE | Open source | Non è uno scanner di vulnerabilità completo, ma aiuta a individuare servizi e versioni |
Non tutti gli strumenti fanno la stessa cosa: Nmap serve a scoprire host e servizi, non è una piattaforma di vulnerability management; uno scanner di rete non è uno scanner web, e nessuno dei due sostituisce gli strumenti per cloud e container. Uno scanner non sostituisce l’analisi: i risultati vanno sempre interpretati.
Il vulnerability assessment oggi #
Un programma moderno non guarda solo i server: può includere infrastruttura tradizionale, applicazioni web, dipendenze software, immagini container, configurazioni cloud e Infrastructure as Code.
Un esempio pratico: versioni dei servizi con Nmap #
Il primo passo di qualunque VA è sapere cosa è in ascolto. Con Nmap puoi enumerare servizi e versioni di un sistema tuo o per cui hai autorizzazione scritta (per esempio un laboratorio):
nmap -sV -p- 192.168.56.10-sV rileva le versioni dei servizi, -p- scansiona tutte le 65.535 porte. Il risultato è un inventario: servizio, porta, versione. Confrontando le versioni con un database come l’NVD
o con uno scanner dedicato come Nessus
si arriva ai CVE potenzialmente applicabili. Puoi fare pratica in un ambiente come quello di Kali Linux
contro macchine virtuali tue.
Scansionare sistemi altrui senza autorizzazione può essere reato in Italia (accesso abusivo, art. 615-ter c.p.): vale sempre la regola dello scope scritto, la stessa che trovi nel penetration test .
Cosa non rileva bene un vulnerability assessment #
- vulnerabilità di logica applicativa (business logic);
- combinazioni di più debolezze che insieme aprono un percorso di attacco;
- percorsi complessi di privilege escalation;
- alcune configurazioni che dipendono dal contesto;
- vulnerabilità sconosciute (zero-day).
In questi casi serve un penetration test , che ragiona sul contesto e concatena le debolezze.
Cosa contiene un vulnerability assessment report #
| Sezione | Contenuto |
|---|---|
| Executive summary | Stato generale dell’esposizione, in linguaggio non tecnico |
| Scope | Asset analizzati e periodo |
| Findings | Vulnerabilità individuate |
| Severity | Gravità tecnica (di solito CVSS) |
| Risk | Priorità contestualizzata (probabilità di sfruttamento, esposizione, asset) |
| Evidence | Evidenze della rilevazione |
| Remediation | Come correggere |
| Rescan | Verifica dopo la correzione |
Quanto costa un vulnerability assessment #
Non esiste un prezzo unico. Dipende da:
- numero di asset, IP pubblici e subnet interne;
- applicazioni e ambienti cloud inclusi;
- scansioni autenticate o solo esterne;
- frequenza e numero di rescan;
- livello di analisi e reporting;
- gestione continuativa o singolo intervento.
Cambia molto la logica tra un assessment singolo e un servizio continuativo di vulnerability management.
Quanto dura un vulnerability assessment #
La scansione tecnica può durare da poche ore a qualche giorno, in base al numero di asset. Il processo completo comprende anche scope, asset discovery, analisi, triage, correzione e rescan, e quindi è più lungo.
Quando e ogni quanto farlo #
Un vulnerability assessment non è un evento unico: le nuove vulnerabilità escono ogni giorno. Le pratiche comuni sono:
- scansioni ricorrenti (settimanali, mensili o continue per gli asset esposti);
- scansione dopo ogni cambiamento importante (nuovo server, nuova applicazione, nuova release);
- rescan dopo la correzione, per verificare che la patch sia efficace.
Alcuni standard lo richiedono in modo esplicito. Nel PCI DSS, per gli ambienti soggetti ai requisiti applicabili, le scansioni di vulnerabilità interne ed esterne devono essere effettuate almeno ogni tre mesi, con ulteriori scansioni dopo cambiamenti significativi. La ISO/IEC 27001:2022 include un controllo dedicato alla gestione delle vulnerabilità tecniche (A.8.8). La direttiva NIS 2 non fissa una frequenza: richiede misure proporzionate al rischio e include tra queste la gestione delle vulnerabilità, con dettagli che dipendono dal perimetro e dagli atti applicabili.
Errori comuni #
- Eseguire la scansione e fermarsi al report: la scansione non migliora la sicurezza, la correzione sì.
- Trattare tutto come urgente: senza priorità, il team si perde su centinaia di finding a bassa rilevanza.
- Fidarsi ciecamente dello scanner: falsi positivi e falsi negativi esistono in entrambe le direzioni.
- Scansionare solo ciò che si conosce: senza asset discovery, i sistemi dimenticati restano fuori e sono proprio i più a rischio.
- Non ripetere la scansione: senza rescan non sai se la correzione ha funzionato.
Domande frequenti sul vulnerability assessment #
Cos’è un vulnerability assessment? #
Un processo per individuare, classificare e dare priorità alle vulnerabilità di sistemi, reti e applicazioni, di solito con scanner automatici affiancati da analisi umana.
Qual è la differenza tra vulnerability assessment e penetration test? #
Il vulnerability assessment cerca e classifica le vulnerabilità note, con un approccio ampio e prevalentemente automatizzato. Il penetration test verifica manualmente se sono sfruttabili e quale impatto avrebbero.
Cos’è un falso positivo in un vulnerability assessment? #
Un risultato segnalato dallo scanner come vulnerabilità ma che nella realtà non è sfruttabile, per esempio perché la patch è già stata applicata in un altro modo o la configurazione lo impedisce.
Qual è la differenza tra scansione autenticata e non autenticata? #
La scansione non autenticata vede il sistema dall’esterno, come farebbe un attaccante. Quella autenticata usa un account a sola lettura per leggere patch e configurazioni, ed è in genere più accurata.
Cosa significa CVSS? #
Common Vulnerability Scoring System: un punteggio da 0 a 10 che misura la gravità tecnica di una vulnerabilità. Non sostituisce la valutazione del rischio reale, che dipende dal contesto.
Ogni quanto va fatto un vulnerability assessment? #
In modo ricorrente, non una volta sola: molte organizzazioni fanno scansioni periodiche o continue, più una scansione dopo ogni cambiamento importante. Alcuni standard, come il PCI DSS, indicano un minimo di una scansione ogni tre mesi.
Un vulnerability assessment trova gli zero-day? #
In genere no: gli scanner tradizionali si basano soprattutto su vulnerabilità e pattern già noti. Uno zero-day non è ancora noto, quindi di norma sfugge a questo tipo di controllo.
Quali sono le fasi di un vulnerability assessment? #
Definizione dello scope, individuazione degli asset, scansione, analisi e verifica dei risultati, prioritizzazione e report, correzione e rescan.
Qual è la differenza tra vulnerability assessment e vulnerability management? #
Il vulnerability assessment individua e valuta le vulnerabilità. Il vulnerability management è il programma continuo che le gestisce: priorità, correzione, verifica e monitoraggio nel tempo.
Un vulnerability assessment sostituisce un penetration test? #
No. Il VA ha ampiezza e trova vulnerabilità note; il penetration test verifica se sono sfruttabili e valuta l’impatto, comprese le combinazioni di debolezze che uno scanner non vede.
Quanto costa un vulnerability assessment? #
Dipende da numero di asset, ambiti (rete, web, cloud), scansioni autenticate, frequenza, rescan e reporting. Cambia molto tra un assessment singolo e un servizio continuativo.
Quanto dura un vulnerability assessment? #
La scansione tecnica può durare da ore a giorni; il processo completo, con analisi, correzione e rescan, richiede più tempo.
Qual è il miglior vulnerability scanner? #
Dipende da cosa devi scansionare: rete, applicazioni web, cloud o container, con o senza autenticazione, in un ambiente piccolo o enterprise. Non esiste uno strumento migliore in assoluto, ma quello più adatto al perimetro.
Quali strumenti si usano per un vulnerability assessment? #
Scanner come Nessus, OpenVAS/Greenbone, Qualys e Rapid7 InsightVM, affiancati da strumenti come Nmap per l’inventario dei servizi.
