Patch management: guida alla scelta della soluzione migliore

L’adozione di uno strumento di patch management all’avanguardia è diventata sempre più indispensabile in ambito professionale e negli scenari aziendali. Il numero delle vulnerabilità scoperte all’interno dei software non accenna a diminuire: anzi, come testimoniano le statistiche più aggiornate, i ricercatori nell’ambito della sicurezza hanno individuato quasi 26.500 lacune di sicurezza nel 2022 con un +20% rispetto all’anno precedente.

La guida all’acquisto delle soluzioni di patch management elaborata da NinjaOne aiuta a identificare la piattaforma migliore per le esigenze del professionista e dell’impresa. L’obiettivo è mettersi al sicuro da qualunque tentativo di aggressione proteggendo l’integrità, la riservatezza e la disponibilità dei dati aziendali.

Basti pensare che il 60% delle violazioni subìte da utenti business potrebbero essere evitate grazie alla tempestiva applicazione delle patch correttive rilasciate dai vari sviluppatori (fonte: Ponemon Institute). Inoltre, come racconta un recente report elaborato da Palo Alto Networks, Unit 42, passano appena 15 minuti dopo l’annuncio di una nuova vulnerabilità di sicurezza (assegnazione ufficiale di un identificativo CVE) prima che gli aggressori inizino a cercare sistemi attaccabili.

Per provare la gestione integrata delle patch con NinjaOne e toccare con mano i benefici descritti nei paragrafi a seguire, consigliamo di effettuare una registrazione gratuita compilando il modulo online.

Perché il numero delle vulnerabilità nei software non decresce mai?

A mano a mano che gli esperti di sicurezza individuano e segnalano ai produttori software nuove vulnerabilità e queste sono oggetto di correzione, il numero dei bug che possono facilitare varie tipologie di attacchi informatici non dovrebbe decrescere?

In realtà, i software moderni sono estremamente complessi e spesso composti da milioni di linee di codice. La complessità del software rende inevitabile la presenza di errori e vulnerabilità, anche quando i programmatori adottano pratiche di sviluppo sicuro: si pensi alla filosofia DevSecOps. La continua evoluzione ed aggiornamento del software, inoltre, tende a introdurre nuovi potenziali punti deboli. In un altro articolo abbiamo visto quanti e quali sono i principali tipi di vulnerabilità di sicurezza.

L’innovazione tecnologica avanza rapidamente, introducendo nuove funzionalità e nuovi approcci di sviluppo software. Questa costante evoluzione crea però nuove opportunità per gli aggressori che si adoperano per identificare vulnerabilità precedentemente sconosciute e sfruttare tecniche di attacco “inedite”.

La comunità di ricercatori che si occupa di sicurezza informatica diventa più ampia di anno in anno, con un numero sempre maggiore di persone che si dedicano alla ricerca sulla sicurezza informatica. D’altra parte, hacker e cracker sono sempre più motivati a individuare nuove vulnerabilità di sicurezza: sono mossi da motivazioni finanziarie, ideologiche o semplicemente da sfide di carattere personale.

La vorticosa espansione dei mercati dell’Internet delle Cose (IoT), dei dispositivi mobili e delle reti aziendali, offre nuovi vettori di attacco e punti di ingresso per gli attacchi locali e remoti. Un aspetto, questo, che contribuisce significativamente ad ampliare la superficie di attacco.

Infine, anche quando vengono scoperte e corrette le varie vulnerabilità, molti utenti spesso tendono a utilizzare versioni obsolete o non aggiornate del software, esponendosi a rischi in alcuni casi davvero pesanti.

Patch management: quale soluzione scegliere per gestire gli aggiornamenti software

La scelta di una soluzione di patch management all’altezza della situazione permette di avvantaggiarsi di un processo strutturato e automatizzato che aiuta a eliminare gli errori umani (sia al livello del team IT che degli utenti finali) e a risparmiare tempo.

Il sistema operativo segnala in modo chiaro la disponibilità dei nuovi aggiornamenti di sicurezza ed esorta l’utente a installarli (in Windows 10 e in Windows 11 l’installazione delle patch di sistema è automatica per impostazione predefinita, ma liberamente personalizzabile). Anche i principali browser Web integrano routine per il download e l’installazione automatica degli aggiornamenti, spesso contenenti le correzioni a fronte della scoperta di gravi vulnerabilità di sicurezza. I vari sistemi operativi (Windows, macOS, Linux,…) includono i cosiddetti packet manager ovvero strumenti che possono controllare la disponibilità di nuove versioni software.

Ciò che manca, tuttavia, è una visione d’insieme sull’intero parco macchine installato in ufficio e in azienda.

L’automatizzazione delle patch quindi l’adozione di una soluzione integrata per la gestione degli aggiornamenti di sicurezza dei sistemi operativi e di tutti i software di terze parti in uso su ciascun sistema, assicura massima coerenza e fa sì che ogni dispositivo collegato alla rete aziendale, in locale così come a distanza, garantisca un elevato livello di sicurezza.

È opportuno scegliere una soluzione di patch management che permetta di controllare lo stato degli aggiornamenti software su ciascun dispositivo aziendale da un’unica interfaccia di amministrazione, sia a livello di sistema operativo che di applicazioni installate.

Come valutare una soluzione di patching

La prima domanda da porsi per valutare una soluzione di patching automatizzato consiste nel verificare quali sono i sistemi operativi presenti nella propria infrastruttura che devono essere aggiornati e quali applicazioni di terze parti sono maggiormente utilizzate.

Dopo aver stilato questa sorta di inventario, è opportuno confrontare la lista con l’elenco fornito dallo sviluppatore della soluzione di patch management.

Nel caso di un prodotto come NinjaOne, accedendo alla sezione Amministrazione quindi scegliendo Criteri, si accede all’elenco dei software di terze parti che la piattaforma è in grado di riconoscere e aggiornare attraverso l’installazione delle patch più recenti (cliccare su Software nella colonna di sinistra quindi sulla scheda Prodotti).

La sezione Patch di Windows consente di impostare la politica desiderata per la gestione e l’installazione degli aggiornamenti per il sistema operativo Microsoft: è possibile fare la stessa cosa con i sistemi macOS e Linux.

Un buon strumento per la gestione delle patch ne automatizza l’elaborazione e la distribuzione, con una serie di strumenti integrati che aiutano a identificare, analizzare, approvare, distribuire e convalidare gli aggiornamenti.

Con NinjaOne, cliccando su Amministrazione, Patching è possibile approvare e rifiutare preventivamente le patch per il sistema operativo.

Non tutte le patch sono sicure da distribuire nel proprio ambiente: la piattaforma di gestione delle patch deve essere in grado di supportare le approvazioni e i rifiuti manuali delle patch in base alle decisioni degli amministratori IT. Inoltre, deve essere prevista la distribuzione di correzioni di emergenza per risolvere eventuali problematiche zero-day. Si tratta delle situazioni in cui un problema di sicurezza è già noto ma non esiste ancora una correzione ufficiale rilasciata dallo sviluppatore del software vulnerabile.

Identikit delle patch e piattaforma per la gestione degli aggiornamenti da adattare agli scenari ibridi

Il processo di patching è irto di sfide e una soluzione di patch management adeguata dovrebbe includere strumenti utili a sanare eventuali comportamenti anomali che dovessero mettersi in evidenza dopo l’installazione degli aggiornamenti (terminale remoto, funzionalità di blocco delle patch, disinstallazione delle patch problematiche, editor di registro,…).

A uso e consumo del team tecnico, dashboard e report sulle prestazioni delle patch sono essenziali per scoprire potenziali vulnerabilità, comprendere la criticità di una correzione, garantire che i dispositivi siano aggiornati e dimostrare lo stato delle patch ai fini della governance.

NinjaOne dispone di una lista di possibili stati del dispositivo, eventualmente personalizzabile. Tra questi stati ci sono anche le informazioni di integrità relative al processo di patching: il sistema indica ad esempio se ci sono aggiornamenti la cui installazione risulta in sospeso o non è andata a buon fine.

Infine, una piattaforma di patch management non dovrebbe essere complessa da utilizzare e anzi dovrebbe adattarsi automaticamente ad ambienti di lavoro ibridi nei quali server, workstation e dispositivi sono utilizzati sia all’interno delle sedi aziendali che da remoto. Si pensi ad esempio ai luoghi in cui si trovano fisicamente collaboratori e dipendenti, fuori dagli edifici dell’impresa.

Sono queste le situazioni in cui molte delle soluzioni di patch management meno versatili e flessibili falliscono miseramente.

Come si distingue la gestione delle patch di NinjaOne

NinjaOne mette sotto gli occhi di tutti i vantaggi derivanti dall’integrazione tra patch management e RMM (monitoraggio e gestione da remoto). Tanti strumenti di gestione delle patch hanno
un’elevata “barriera di attivazione”, che comporta maggiori oneri per l’azienda. Proponendosi come una soluzione cloud, NinjaOne innanzi tutto consente di evitare i costi di manutenzione on-premise e di formazione approfondita.

Con NinjaOne basta distribuire appositi moduli “agent” (software peraltro leggeri e assolutamente discreti) sui dispositivi aziendali da amministrare per vederli apparire nella comoda pagina di gestione accessibile da browser e basata sul cloud.

Non c’è bisogno che un dispositivo sia collegato alla rete aziendale per verificarne lo stato e gestirlo a distanza mediante l’interfaccia di NinjaOne: tutti i device risultano accessibili da un’unica dashboard online ed anzi, è possibile specificare il comportamento da tenere quando un dispositivo sconosciuto (ad esempio uno che non dispone dell’agent NinjaOne) viene aggiunto alla rete.

Lo schema di gestione delle patch proposto da NinjaOne è completamente automatizzato, gestendo anche i processi di prepatch e postpatch.

Automazione nella gestione delle patch

Appositi profili di automazione consentono di personalizzare le regole di patching in base alla gravità delle corrispondenti vulnerabilità e alle categorie degli aggiornamenti. Gli amministratori possono scegliere di approvare e rifiutare automaticamente le patch oppure approvarle o rifiutarle manualmente in base alla categoria, rendendo zero touch la gestione della maggior parte degli aggiornamenti via via rilasciati.

NinjaOne offre molteplici strumenti per l’automazione delle patch nell’ambito di tutti i sistemi operativi supportati. Grazie al meccanismo di scripting, parte integrante della piattaforma, gli amministratori IT hanno la possibilità di personalizzare nel dettaglio l’approccio alla gestione degli aggiornamenti.

Il software NinjaOne consente azioni di patching “ad hoc” sui singoli dispositivi o gruppi di essi, permette di avviare la scansione, la distribuzione o la disinstallazione delle patch con la semplice pressione di un pulsante e dà quindi modo di rimediare immediatamente agli zero-day o annullare gli effetti di eventuali patch imperfette.

Accedere allo stato di ciascun sistema e ottenere un inventario dei programmi installati

La pagina principale di NinjaOne, nella sezione Patching, espone un report particolarmente efficace con l’indicazione dei dispositivi aggiornati e conformi. Ci sono anche i riferimenti alle patch che hanno causato qualche tipo di problema o la cui installazione è semplicemente approvata oppure ancora in sospeso.

Con un clic su Patching, Software, Inventario si ottiene la lista completa di tutte le applicazioni utilizzate nell’ambito della propria struttura. È utile capire su quali sistemi sono in uso i vari programmi e applicare le patch di sicurezza ove disponibili.

L’interfaccia Web di NinjaOne offre visibilità completa sul processo di patching, in modo da conoscere a colpo d’occhio lo stato di tutti gli endpoint. I resoconti con i dati “per-patch” e “per-endpoint” sulle vulnerabilità note, consentono di ottenere facilmente preziose indicazioni sullo stato di conformità di ogni sistema e ricevere avvisi proattivi sugli aggiornamenti problematici.

I dati ricevuti in tempo reale da ogni dispositivo amministrato, aiutano a verificare quando i sistemi sono stati aggiornati l’ultima volta, controllare se sono conformi a specifici standard di sicurezza, ricevere avvisi e notifiche proattivi sul comportamento delle patch e comprendere lo stato di salute di ciascun device.

Per approfondire, suggeriamo di scaricare gratis la guida all’acquisto di soluzioni di patch management, disponibile in formato PDF. La prova gratuita di NinjaOne permette inoltre di verificare in proprio tutti i vantaggi che abbiamo descritto nel nostro articolo e capire come la gestione delle patch in azienda può diventare davvero sicura, efficace e intelligente. Per davvero.

Credit immagine in apertura: iStock.com/NicoElNino