Come leggere un report scanner senza farsi spaventare: falsi positivi e priorità vere

Chi riceve per la prima volta il risultato di una scansione sicurezza vive due esperienze opposte: chi trova zero avvisi crede di essere al sicuro, chi ne trova novanta pensa di essere sotto assedio. Entrambe le letture sono sbagliate, per lo stesso motivo: confondono il numero di finding con il livello di rischio.

Uno scanner automatizzato è uno strumento straordinario per coprire terreno: verifica versioni, checksum, configurazioni, esposizioni in pochi minuti, dove un umano metterebbe giornate. Ma produce anche rumore, e il valore sta tutta nell'interpretazione.

Le tre domande che trasformano un finding in una decisione

Ogni voce del report va filtrata con questa sequenza, nell'ordine:

1. Il componente è realmente attivo?

Il caso classico: plugin disattivato da un anno che compare tra i finding per versione obsoleta. Un plugin disattivato resta un rischio parziale (i suoi file PHP sono spesso raggiungibili direttamente via URL, bypassando la disattivazione), ma la priorità cala drasticamente rispetto allo stesso plugin attivo su pagina pubblica. Azione giusta: disinstallarlo completamente, non solo disattivarlo, e chiudere la voce.

2. Che cosa espone davvero?

Non tutti i componenti sono uguali davanti a internet. La gerarchia dell'esposizione:

Esposizione	Esempi	Peso sul rischio
Pubblico e interattivo	Form, checkout, upload, ricerca	Massimo
Pubblico passivo	Template, widget display, SEO	Alto
Solo amministrazione	Dashboard, editor media	Medio
Non istanziato	Plugin disattivato, tema inutilizzato	Basso (ma non zero)

3. Esiste un exploit pubblico?

Questa è la variabile che comprime o dilata le tempistiche. Una vulnerabilità con CVE pubblicata e PoC disponibile viene attaccata in massa entro ore: la finestra di intervento ragionevole si misura in giorni. Una segnalazione teorica senza exploit lascia settimane. I database pubblici di vulnerabilità permettono di verificare questa dimensione in minuti.

Priorità finale = esposizione alta + gravità alta + exploit pubblico. Tutto ciò che incrocia i tre fattori si fa oggi; il resto entra in calendario con scadenze ragionevoli.

I falsi positivi più comuni (e come riconoscerli)

Gli scanner producono categorie di rumore prevedibile:

• Versione rilevata imprecisa: lo scanner legge la versione nei commenti HTML o nei readme, che a volte restano indietro rispetto al codice effettivamente aggiornato. Verifica nel pannello plugin prima di allarmarti.
• Configurazioni consigliate vs necessarie: header di sicurezza mancanti, opzioni REST aperte, directory listing. Molti sono migliorie sensate, pochi sono emergenze. Il contesto decide: l'enumerazione utenti è grave su un sito con registrazione aperta, marginale su una vetrina con tre autori fissi.
• File sospetti per pattern: un file con eval o base64 non è automaticamente malware: alcuni temi e builder li usano legittimamente. Serve lettura contestuale, non cancellazione impulsiva.
• Raccomandazioni generiche: "aggiorna PHP", "usa password forti". Vero ma poco azionabile: chiediti sempre cosa fare concretamente oggi pomeriggio.