Rohit Dhamankar, Direttore del progetto, risponde ala domande più frequenti relative alla SANS Top-20 2007

Per chi è stata scritta la lista?

Negli ultimi anni mi è diventato chiaro che la lista SANS Top 20 è utilizzata da organizzazioni molto diverse tra loro. Alcune organizzazioni di grandi dimensioni utilizzano la lista Top-20 per ricontrollare le loro attività intraprese nel miglioramento della sicurezza, mentre alcune organizzazioni più piccole usano questa lista come strumento esclusivo per guidare tutta la loro attività di rimozione e prevenzione delle vulnerabilità. Così, mentre creavamo la lista abbiamo cercato di servire le due diverse platee.

É ancora rilevante, nel 2007, pubblicare un documento con le peggiori vulnerabilità dell'anno?

Alla luce delle considerazioni che seguono, la risposta non può che essere positiva.

• La scansione dei dati su Internet dimostra che ci sono ancora sistemi affacciati su Internet senza le patch per vulnerabilità che sono state ampiamente sfruttate. Personalmente non ho intenzione di smettere di lavorare a questo progetto fino a quando vedrò un qualsiasi worm come Blaster o Slammer generare un evento in un IDS/IPS nella rete di un cliente.
• Anche se tutte le patch fossero applicate, bisognerebbe vederla ancora con le minacce zero-day! La lista di quest'anno include una serie di difese per le minacce zero-day.
• I professionisti della sicurezza sono così concentrati sulla "sfida del giorno" da aver sempre bisogno di promemoria sulle minacce di volta in volta emergenti, in modo che possano cercare risorse per la lotta contro i nuovi pericoli

Perchè la lista si chiama Top 20 quando il numero di vulnerabilità attuale (CVE) è di molto superiore a 20?

• La vita potrebbe essere molto più semplice se si potesse creare una lista di 20 voci CVE critiche e poi sostenere che la protezione contro gli attacchi che sfruttano quelle venti vulnerabilità renderebbe Internet sicuro. La realtà, lo sappiamo, è molto diversa. Se solo uno prendesse gli attacchi settimanali alle vulnerabilità delle applicazioni Web rilevate l'anno scorso, vedrebbe che il numero di vulnerabilità critiche è già superiore a 100! Questo è il numero di vulnerabilità che deriva da centinaia di migliaia di tentativi di attacchi sul web ogni giorno. L'approccio della top 20 è quello di aiutare a focalizzare l'attenzione sulle "classi" di vulnerabilità che vengono sfruttate, e fornire una guida per amministratori di sistema, programmatori e manager su come mitigare ciascuna classe di vulnerabilità.
• La Top 20 raggruppa le vulnerabilità critiche in classi in modo che si possano applicare strategie comuni per la protezione di un intera classe. Per esempio, un largo numero di overflow MS-RPC può essere prevenuto bloccando le porte 139/tcp e 445/tcp sul perimetro di rete.
• La Top 20 aiuta inoltre ad identificare i vettori di diffusione utilizzati da un ampio numero di malware. È triste notare come nel 2007 accada che i malware si diffondano con successo sulle reti usando password identificate con attacchi brute-force!
• Abbiamo mantenuto il nome "Top-20" per conservare la tradizione di un marchio che identifica la continuità del lavoro portato avanti in questo progetto.

Per qualsiasi commento, scrivete a Indirizzo e-mail protetto dal bots spam , deve abilitare Javascript per vederlo