Cloudflare ha presentato Zero Wire, un feed pubblico di intelligence sulle vulnerabilità disponibile nella sezione dedicata alla sicurezza di Cloudflare Radar. È progettato per aiutare i team di sicurezza a comprendere le vulnerabilità significative, valutare la potenziale esposizione e decidere quali azioni intraprendere.

Anziché catalogare ogni CVE, Zero Wire si concentra sulle vulnerabilità critiche nei software esposti a Internet, comprese le applicazioni web, i relativi runtime e librerie, nonché i servizi accessibili da Internet. I briefing spiegano il problema, individuano le distribuzioni che potrebbero richiedere verifiche, descrivono ciò che si sa sullo sfruttamento e rimandano alle indicazioni dei fornitori e ad altre prove.

Ogni voce include i passaggi successivi consigliati, come verificare le versioni interessate, applicare gli aggiornamenti dei fornitori, esaminare le attività sospette o mantenere controlli compensativi durante l’applicazione delle patch. Gli utenti possono cercare i briefing per CVE o nome del problema e seguire i tag tecnologici per trovare voci correlate. Un briefing può riguardare più CVE correlate quando considerarle insieme rende più chiara la risposta.

La homepage suddivide le voci in «Da esaminare» e «Riferimento». La prima categoria comprende i problemi che richiedono una valutazione o un’azione attiva, mentre la seconda conserva i briefing le cui indicazioni si sono stabilizzate. Il passaggio alla categoria Riferimento non significa che tutti i sistemi interessati siano stati aggiornati. Le informazioni sullo stato e la data dell’ultima verifica vanno lette insieme alle prove e non considerate un verdetto sui sistemi specifici di un’organizzazione.

I briefing includono anche un prompt che i team possono usare con un agente di IA per svolgere una valutazione in sola lettura del software distribuito, delle correzioni pertinenti, dell’esposizione e dei controlli compensativi. Richiede prove per ogni risorsa, informazioni mancanti e azioni suggerite; usare il prompt non effettua scansioni né modifica i sistemi.

Cloudflare afferma che il feed combina le proprie attività di ricerca sulla sicurezza e le osservazioni della rete con fonti esterne, tra cui i record CVE, gli avvisi dei fornitori e, ove pertinente, il Known Exploited Vulnerabilities Catalog della CISA. I briefing distinguono le prove di tentativi di attacco dalla prova di una compromissione: il traffico che corrisponde a una regola del Web Application Firewall non dimostra che un sistema sia stato sfruttato con successo, e l’assenza di tale traffico sulla rete Cloudflare non dimostra che lo sfruttamento non stia avvenendo altrove.

Quando le protezioni Cloudflare possono essere d’aiuto, una voce ne spiega l’ambito e i requisiti di configurazione. Una regola WAF è un controllo compensativo per il traffico che copre, non un sostituto della correzione del software vulnerabile. I link alle impostazioni del dashboard non attivano automaticamente una regola né verificano una distribuzione; ai team viene indicato di seguire le istruzioni di risoluzione dei problemi fornite dal vendor.

L’esempio di Cloudflare è la vulnerabilità php2shell, che riguarda difetti nel runtime PHP. Aggiornare soltanto un’applicazione o un plugin WordPress o Magento non correggerebbe un runtime interessato. Il briefing invita i team a identificare il runtime in uso e a consultare le indicazioni di sicurezza di PHP per conoscere le versioni interessate e le modalità di correzione. Il grafico delle richieste HTTP che corrispondono alle regole gestite del WAF di Cloudflare viene presentato come indicazione dell’interesse dei responsabili delle minacce, non come conteggio dei sistemi compromessi o degli exploit riusciti.

Fonti: Cloudflare Blog.