Aggiornamenti e software obsoleto
Modulo 5: Dispositivi, software e rete · Tempo di lettura: 10 minuti
Obiettivo formativo: dopo questa lezione sarà in grado di impostare una politica di aggiornamento per sistemi operativi, app, plugin, router e altri dispositivi, e di spiegare cosa significa "fine del supporto" e cosa fare in quel caso.
Concetti chiave: vulnerabilità, patch, zero-day, aggiornamenti automatici, firmware, plugin, inventario, fine del supporto (end of life), dispositivo periferico (edge device)
Un aggiornamento è una serratura in più
Il software contiene errori. Alcuni errori sono solo fastidiosi (un pulsante che non funziona), altri sono una vulnerabilità: un errore che permette a un aggressore di fare qualcosa che non dovrebbe essere possibile, come accedere senza password o far eseguire codice proprio. Il produttore lo risolve con una patch, che Le arriva come aggiornamento.
L'aspetto insidioso sta nell'ordine temporale. Non appena esce un aggiornamento, la vulnerabilità diventa di fatto pubblica. Gli aggressori confrontano la versione vecchia e quella nuova, vedono cosa è stato corretto e costruiscono un attacco basato su questo. Dopodiché effettuano una scansione automatica di tutta la rete alla ricerca di dispositivi che non hanno ancora installato l'aggiornamento. È esattamente l'attacco opportunistico descritto nella lezione 1.1: non cercano Lei, cercano chiunque sia rimasto indietro.
Uno zero-day è una vulnerabilità già sfruttata prima che esista una patch. In questo caso può fare poco, se non seguire le indicazioni del produttore e limitare i danni (backup, privilegi minimi). Ma la stragrande maggioranza delle intrusioni nelle piccole imprese avviene tramite vulnerabilità per le quali l'aggiornamento era disponibile da tempo.
L'ACN (Agenzia per la Cybersicurezza Nazionale), https://www.acn.gov.it/, ha rilevato che una quota significativa di piccole imprese non ha attivato gli aggiornamenti automatici su tutti i propri dispositivi connessi a internet. L'indicazione è semplice: non rimandi l'aggiornamento e attivi gli aggiornamenti automatici dove possibile.
Cosa possiede davvero? L'inventario
Non può aggiornare ciò che ha dimenticato di avere. La maggior parte delle imprese, quando pensa agli aggiornamenti, pensa a laptop e telefoni, ma i dispositivi più pericolosi sono spesso quelli silenziosi:
| Tipo | Esempi | Come si aggiorna di solito |
|---|---|---|
| Computer e telefoni | Windows, macOS, Linux, Android, iOS | Automaticamente, se lo attiva e non rimanda all'infinito il riavvio |
| Programmi e app | Browser, pacchetto per ufficio, lettore PDF, app di contabilità | Spesso automaticamente; i programmi singoli a volte no |
| Sito web | CMS, plugin, temi, versione PHP | In parte automaticamente; plugin e temi spesso manualmente |
| Apparecchiature di rete | Router, modem, punti wifi, firewall, server VPN | Firmware, spesso manualmente o tramite il fornitore |
| Dispositivi periferici | NAS, stampante di rete, videocamera IP, campanello intelligente, sistema di allarme, sistema di cassa | Firmware, spesso manualmente, a volte mai |
| Servizi cloud | E-mail, contabilità, piattaforma e-commerce | Il fornitore aggiorna il servizio; Lei gestisce le impostazioni |
I dispositivi collegati direttamente a internet e raggiungibili dall'esterno (router, server VPN, NAS con accesso remoto, videocamera) vengono chiamati dispositivi periferici (edge device). Sono il bersaglio più frequente, perché un aggressore può raggiungerli senza che un collaboratore clicchi su nulla. Un esempio anonimizzato: uno studio di commercialisti aveva un NAS con "accesso da qualsiasi luogo" attivato. Il produttore ha rilasciato un aggiornamento di sicurezza, lo studio non lo ha installato e poche settimane dopo tutti i file sul NAS erano criptati. Nessuno aveva cliccato su nulla.
Una politica di aggiornamento in cinque accordi
Una politica non deve essere un documento di dieci pagine. Per una piccola impresa funzionano questi accordi:
- Automatico dove possibile. Attivi gli aggiornamenti automatici per sistemi operativi, browser, app e, dove possibile, per CMS e plugin e per il firmware di router e NAS.
- Il riavvio fa parte del processo. Molti aggiornamenti funzionano solo dopo un riavvio. Stabilisca che tutti riavviano almeno una volta alla settimana e non rimandi un riavvio per settimane.
- Dispositivi periferici per primi. Per i dispositivi raggiungibili dall'esterno: verifichi Lei stesso se ci sono aggiornamenti, ad esempio una volta al mese, e installi un aggiornamento di sicurezza entro pochi giorni. Se il produttore o l'ACN avverte di uno sfruttamento attivo, lo installi lo stesso giorno.
- Un responsabile per dispositivo. Nell'inventario ogni riga indica chi lo aggiorna: Lei stesso, un collaboratore, la Sua azienda IT o chi ha realizzato il Suo sito. Se non c'è nessun nome, non lo aggiorna nessuno.
- Ciò che non serve più va eliminato. Un plugin che non usa, un vecchio laptop in armadio ancora collegato alla rete, un sito di prova su un sottodominio: li elimini, così non dovrà nemmeno aggiornarli.
Ha dubbi sul fatto che un aggiornamento possa rompere qualcosa? Faccia prima un backup (modulo 6) e poi aggiorni. Non installare un aggiornamento per paura di problemi è quasi sempre il rischio maggiore.
Fine del supporto: quando non arrivano più aggiornamenti
Ogni versione di software o firmware ha una data di scadenza. Dopo quella data il produttore non rilascia più aggiornamenti di sicurezza. Questo si chiama fine del supporto (end of life, EOL). Il dispositivo continua a funzionare normalmente, ed è proprio questo l'aspetto ingannevole: nessuno nota nulla, mentre ogni nuova vulnerabilità resta aperta per sempre.
Esempi:
- Windows 10. Il supporto ordinario è terminato il 14 ottobre 2025. Dopo questa data arrivano solo aggiornamenti di sicurezza tramite il programma ESU di Microsoft, con date di scadenza diverse a seconda della situazione. Verifichi sul sito di Microsoft cosa vale per i Suoi dispositivi e pianifichi il passaggio a una versione supportata o a un altro dispositivo.
- PHP e altri linguaggi per siti web. Ogni versione di PHP riceve aggiornamenti di sicurezza per alcuni anni. Se il Suo sito gira su una versione vecchia, il server potrebbe essere sicuro, ma il Suo sito no.
- Router, NAS e videocamere. I dispositivi economici a volte ricevono aggiornamenti firmware solo per pochi anni, a volte mai. L'ACN consiglia di verificare prima dell'acquisto per quanto tempo il produttore supporta il dispositivo, e di sostituire i dispositivi che non ricevono più aggiornamenti.
- Plugin e temi. Un plugin il cui sviluppatore ha smesso di aggiornarlo non riceve più correzioni. Cerchi un sostituto.
Non può sostituire subito qualcosa? Limiti il rischio: lo disconnetta da internet, lo metta in una rete separata (lezione 5.3) e non gli dia accesso a dati importanti.
Aggiornare in sicurezza: solo attraverso il canale ufficiale
Gli aggressori sfruttano anche la parola "aggiornamento". Un pop-up su un sito web "Il Suo browser è obsoleto, scarichi qui l'aggiornamento" oppure un'e-mail "installi l'aggiornamento di sicurezza in allegato" sono quasi sempre malware. Gli aggiornamenti veri arrivano tramite il sistema operativo, lo store dell'app, la funzione di aggiornamento integrata nel programma stesso o il sito web del produttore. Mai tramite un link in un'e-mail o un pop-up su un sito qualsiasi.
Nella pratica: ecco come si presenta
Con un pacchetto hosting con DirectAdmin, come quello di WebOké, sceglie la versione PHP del Suo sito tramite Select PHP version. Se desidera fare prima un backup prima di aggiornare il Suo sito o i plugin, può farlo ad esempio in Installatron con il pulsante Backup, dopodiché in caso di problemi può ripristinare la versione precedente. Presso altri fornitori funziona in modo simile: cerchi "versione PHP" e la funzione di backup o staging del Suo CMS.
Per computer e telefoni la funzione di aggiornamento si trova nelle impostazioni del sistema operativo. Per il Suo router consulti la pagina di gestione (l'indirizzo è indicato nel manuale o sull'etichetta del router) oppure l'app del Suo fornitore.
Riepilogo
- Un aggiornamento chiude una vulnerabilità nota; dopo la sua uscita gli aggressori effettuano scansioni di internet alla ricerca di chi è rimasto indietro.
- Crei un inventario, anche di router, NAS, stampante, videocamere, sito web e plugin, con un responsabile per ogni riga.
- Aggiornamento automatico dove possibile, il riavvio fa parte del processo, dispositivi periferici per primi e rapidamente.
- Fine del supporto significa: nessun aggiornamento di sicurezza. Sostituire, oppure disconnettere e isolare.
- Aggiornamenti solo attraverso il canale ufficiale, mai tramite un pop-up o un'e-mail.
Quiz
Esercizio
Esercizio D5.1: Il Suo inventario degli aggiornamenti. Crei un elenco di tutti i Suoi dispositivi e software, incluso router, NAS, stampante, videocamere, sito web e plugin. Annoti per ogni riga la versione, se gli aggiornamenti automatici sono attivi, chi è il responsabile e se è ancora supportato. Aggiorni ciò che è rimasto indietro e risponda alle domande di riflessione.
Esercizio D5.1: Il Suo inventario degli aggiornamenti
Come procedere: (1) Crei una tabella con le colonne: dispositivo o software, tipo (computer, telefono, programma, sito web, rete, periferica, servizio cloud), versione, aggiornamenti automatici (sì/no/non possibile), responsabile (chi se ne occupa), ancora supportato (sì/no/sconosciuto), raggiungibile dall'esterno (sì/no). Un modello da scaricare (csv o foglio di calcolo) è disponibile presso l'esercizio. (2) Faccia il giro del Suo ufficio e delle postazioni di lavoro da casa. Non dimentichi: router e modem, punti wifi, NAS, stampante di rete, telecamere IP, campanello o allarme intelligente, sistema di cassa, il vecchio laptop nell'armadio, il Suo sito web con CMS, plugin e temi, la versione PHP del Suo pacchetto di hosting. (3) Per ogni dispositivo, verifichi sul sito del produttore fino a quando riceverà aggiornamenti. Per Windows 10: consulti la pagina del ciclo di vita di Microsoft per sapere cosa vale per i Suoi dispositivi. (4) Attivi gli aggiornamenti automatici dove possibile. Installi gli aggiornamenti in sospeso, prima le periferiche. Riavvii poi i dispositivi. (5) Contrassegni tutto ciò che non riceve più aggiornamenti e stabilisca per ogni riga: sostituire (con data), scollegare da internet, oppure rete separata (lezione 5.3).
Le Sue spunte e note restano solo in questo browser; non le inviamo da nessuna parte. Se ha effettuato l'accesso, conserviamo in I miei corsi solo il fatto che ha svolto l'esercizio.
Per saperne di più
I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori funziona in modo simile.
- Guida DirectAdmin 14.1: Scegliere la versione di PHP (Select PHP version)
- Guida DirectAdmin 13.6: Creare e ripristinare backup in Installatron
- ACN, le risorse sulla gestione delle patch: https://www.acn.gov.it/
- ACN, misure di base per la cybersicurezza: https://www.acn.gov.it/
- CSIRT Italia, misure di sicurezza di base per i dispositivi intelligenti: https://www.csirt.gov.it/
- Microsoft, ciclo di vita di Windows 10: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro