Le CVE dei Suoi asset, con i loro fornitori e quelle sfruttate per prime.
Incrocia le CVE (vulnerabilità pubblicate) critiche e alte dei Suoi asset con i fornitori che le possiedono e mette prima quelle sfruttate attivamente (KEV, il catalogo della CISA). Si sincronizza ogni giorno con NVD, KEV ed EPSS (probabilità di sfruttamento).
Per: CISO e responsabili dei fornitori che devono sapere quali vulnerabilità note toccano il loro inventario e a quale terzo chiedere per primo.
- Sincronizzazione giornaliera con NVD, CISA KEV ed EPSS
- Tecniche ATT&CK® dalle Sue CVE aperte, non rilevamento
La mia esposizioneEnte A
Dati di esempioCVE-2099-0101
pasarela-vpn 4.2Fornitore A e Fornitore C
Critica 9,8In KEVSì
CVE-2099-0102
portal-erp 11.0Fornitore B
Alta 8,1In KEVNo
CVE-2099-0103
cliente-sftp 3.1Fornitore A
Alta 7,5In KEVNo
Tecniche MITRE ATT&CK® delle Sue CVE
- T1195 Catena di fornitura
- T1190 Applicazione esposta
- T1199 Relazione di fiducia
Il CTID associa tecniche alle CVE del catalogo KEV della CISA. Un’associazione non significa che Lei abbia subito un attacco.
Dalla CVE pubblicata al Suo elenco di esposizione
Il percorso di una vulnerabilità fino al fornitore a cui chiedere, e ciò che ciascun passo non copre.
Si sincronizza ogni giorno
Un processo giornaliero acquisisce le CVE da NVD (tramite il CPE dei Suoi asset), contrassegna quelle presenti nel catalogo CISA KEV e aggiunge il punteggio EPSS.
Ambito. È una sincronizzazione giornaliera, non un flusso continuo.
Viene incrociata con il Suo inventario
«La mia esposizione» mostra le CVE critiche e alte aperte dei Suoi asset, raggruppate con i fornitori coinvolti. Compaiono solo quelle collegate a un fornitore attivo.
Ambito. Ciò che non è nel Suo inventario non compare.
Quelle sfruttate vanno per prime
L’ordinamento mette davanti le CVE del catalogo KEV della CISA, cioè quelle già sfruttate, e poi le altre.
Ambito. È un ordine di lettura per decidere a chi chiedere, non una previsione.
Vede ciò che sale questa settimana
Le CVE in tendenza negli ultimi sette giorni sul Suo inventario, con il loro CVSS e il link a NVD.
Ambito. È a massimo sforzo: se la query fallisce, il pannello lo dice invece di mostrare uno zero.
MITRE ATT&CK®, a partire dalle Sue CVE
La scheda ATT&CK del radar mostra le tecniche che il Center for Threat-Informed Defense (CTID) associa alle CVE aperte dei Suoi asset. Dà contesto per stabilire le priorità; non è un rilevatore.
- Cosa mostra
- Le tecniche ATT&CK raggiunte dalle CVE aperte dei Suoi asset, raggruppate per tattica, con il tipo di associazione (tecnica di sfruttamento, impatto primario o impatto secondario) e le CVE dietro ogni tecnica.
- Da dove proviene
- ATT&CK 16.1 (Enterprise) e l’insieme di associazioni del CTID per il catalogo Known Exploited Vulnerabilities della CISA, versione del 28 luglio 2025. Una CVE fuori da questo insieme non ha alcuna tecnica: non se ne presuppone nessuna e viene elencata come non associata.
- Cosa non è
- Un’associazione indica come viene sfruttata una vulnerabilità o a cosa può portare, non che Lei abbia subito un attacco. Non rileva tecniche nei Suoi sistemi né associa i Suoi incidenti ad ATT&CK.
- Disponibilità
- È una funzione aggiuntiva: senza attivarla, il pannello resta vuoto.
- Attribuzione
- Contenuti di MITRE ATT&CK®: © 2026 The MITRE Corporation. Quest’opera è riprodotta e distribuita con il permesso di The MITRE Corporation. CTID Mappings Explorer: © 2024 MITRE. Approvato per la pubblicazione. Numero di documento CT0104. Concesso in licenza con la Apache License, Version 2.0.
Che cos’è il radar e che cosa non è
Perché sappia con quali dati lavora e dove finisce.
Ciò che fa
- Incrocia le CVE critiche e alte dei Suoi asset con i Suoi fornitori.
- Mette per prime le CVE sfruttate attivamente (KEV).
- Si sincronizza ogni giorno con NVD, CISA KEV ed EPSS.
- Mostra le CVE in tendenza del Suo inventario.
Ciò che non è
- Non è una fonte di threat intelligence di settore: parte dai Suoi asset.
- Non rileva tecniche ATT&CK nei Suoi sistemi né vi associa i Suoi incidenti.
- Non genera avvisi propri: è una vista per dare priorità.
- Non scopre la Sua superficie: lavora sull’inventario che ha caricato.
Come si collega alle altre soluzioni
Il radar alimenta il punteggio del fornitore e dà ordine al confronto con lui.
Radar di esposizione: domande dirette
Quelle che si pone chi vuole sapere che cosa copre e che cosa no.
È threat intelligence del mio settore?
No. Il radar parte dai Suoi asset e dai Suoi fornitori: Le dice quali CVE note riguardano Lei, non che cosa accade nel Suo settore.
Ogni quanto si aggiorna?
La sincronizzazione delle CVE è giornaliera, con NVD, il catalogo CISA KEV e il punteggio EPSS. Non è un flusso continuo.
Che cosa significa KEV?
È il catalogo della CISA delle vulnerabilità sfruttate attivamente. Il radar mette per prime quelle CVE ed esse pesano di più nel punteggio del fornitore.
Individua attacchi o i miei incidenti in ATT&CK?
No. La scheda MITRE ATT&CK® mostra le tecniche che il CTID associa alle CVE aperte dei Suoi asset (ATT&CK 16.1 Enterprise, catalogo KEV della CISA al 28 luglio 2025); una CVE fuori da questo insieme appare senza associazione. È contesto, non rilevamento: non individua attacchi né associa i Suoi incidenti a tecniche.
Che cosa serve perché funzioni?
Gli asset del Suo inventario, con i loro fornitori. Ciò che non è nell’inventario non compare in «La mia esposizione».
Mi avvisa quando esce una nuova CVE?
Il radar non genera avvisi propri: è una vista per stabilire a chi chiedere per primo.
Veda quali CVE toccano il Suo inventario
Richieda una demo e incrociamo, con dati di esempio, le CVE di un asset con i fornitori che lo possiedono.
Sincronizzazione giornaliera; nessuna fonte di threat intelligence di settore.