Exploit Prediction Scoring System, il modello di Iconsulting come alternativa a CVSS

La bolognese Iconsulting propone un nuovo modello di prioritizzazione delle azioni di sicurezza, EPSS (Exploit Prediction Scoring System) che vuole andare oltre il sistema oggi più adottato, CVSS (Common Vulnerability Scoring System), che con gli anni sta mostrando tutti i suoi limiti. 

Cosa è e come funziona Exploit Prediction Scoring System (EPSS)

Partiamo dal presupposto che uno degli strumenti a oggi più diffusi per la cybersecurity è il classico CVSS, Common Vulnerability Scoring System, che si basa sulle vulnerabilità rese pubbliche (CVE). Molto semplicemente, gli amministratori IT continuano a tenere sotto controllo la lista delle vulnerabilità e si assicurano che i loro sistemi ne siano esenti. Nel caso siano vulnerabili, applicano le patch o le correzioni di sicurezza richieste. Semplice e incredibilmente efficace.

C'è un problema, però: le vulnerabilità iniziano a essere davvero troppe e i responsabili IT si trovano a dover scegliere quali sono più importanti da correggere, non potendole risolvere tutte contemporaneamente. Qui entra in gioco il modello elaborato da Iconsulting, EPSS (Exploit Prediction Scoring System). La soluzione sviluppata dall'azienda bolognese non si limita a indicare le potenziali vulnerabilità del sistema, ma indica anche quelle che hanno maggiore probabilità di venire sfruttate da un attaccante, aiutando i responsabili IT a decidere le priorità di intervento. 

Ma come funziona? Come suggerisce il nome, Exploit Prediction Scoring System fa leva su machine learning ed elaborazione di testi in linguaggio naturale (natural language processing) per analizzare non solo i bollettini CVE, ma anche altre fonti liberamente accessibili per comprendere quali di queste vulnerabilità sono sfruttate attivamente dai criminali informatici. EPSS Aiuta insomma a comprendere quali bug vanno corretti con maggiore urgenza, così da ridurre il rischio di incidenti informatici. 

“Il tema della gestione efficace e tempestiva delle vulnerabilità sta diventando sempre più importante, non solo per le grandi imprese", afferma Flavio Venturini, Innovation Director di Iconsulting. "Tecniche avanzate di Machine Learning, come quelle che abbiamo sviluppato per il modello EPSS, possono cambiare in modo sostanziale l’approccio alla gestione della vulnerabilità, perché considerano una molteplicità di informazioni a fini decisionali altrimenti difficilmente gestibili da un operatore umano”.