Bitdefender GravityZone Patch Management Add-On

Cosa comprende il componente aggiuntivo Bitdefender GravityZone Patch Management?

Scansione delle patch – Individua le patch mancanti del sistema operativo e delle applicazioni sugli endpoint.
Distribuzione automatica delle patch –  Installa le patch approvate durante le finestre di manutenzione programmate.
Inventario delle patch – Elenca ogni patch indicando gravità, categoria e riferimenti CVE.
Server di cache delle patch – Gli endpoint relay memorizzano le patch localmente, riducendo il traffico Internet.
Report sullo stato delle patch – Fornisce un resoconto delle patch installate, mancanti e non installate correttamente per ciascun endpoint.
Importante – Questo add-on richiede un prodotto GravityZone per la sicurezza degli endpoint già installato.

Quali sono i principali vantaggi del componente aggiuntivo Bitdefender GravityZone Patch Management?

GravityZone Patch Management è un modulo aggiuntivo opzionale che integra l’applicazione di patch per il sistema operativo e le applicazioni di terze parti in un’implementazione esistente di sicurezza degli endpoint Bitdefender GravityZone. Viene gestito centralmente dalla stessa console, dallo stesso agente e dalle stesse politiche di GravityZone degli altri moduli, sia nelle installazioni cloud che in quelle on-premise.

Un unico agente – L’applicazione delle patch utilizza lo stesso agente, la stessa console e le stesse politiche.
Distribuzione controllata – Installa le patch su un gruppo di prova prima di procedere a una distribuzione più ampia.
Pianificazioni separate – Le patch di sicurezza e quelle non di sicurezza vengono eseguite su pianificatori indipendenti.
Esclusioni delle patch – È possibile ignorare singole patch che causano malfunzionamenti nelle applicazioni critiche per l’azienda.
Minore utilizzo della larghezza di banda – Le patch memorizzate nella cache evitano che ogni endpoint debba scaricarle dai siti dei fornitori.
Controllo del riavvio – I riavvii possono essere posticipati in modo da non interrompere il lavoro degli utenti.

Per aziende di quali dimensioni è adatto l’add-on Bitdefender GravityZone Patch Management?

La questione determinante non è il numero di dipendenti, ma se GravityZone sia già in uso e se sia necessario dimostrare che l’applicazione delle patch avvenga effettivamente. Un’azienda con venti endpoint e senza personale IT dedicato trae vantaggio dall’automazione; un’azienda che deve rispondere a verifiche da parte dei clienti trae vantaggio dalla reportistica. La presenza di server complica il calcolo, poiché sono proprio i server di file, database e applicazioni quelli in cui i riavvii differiti e le patch non testate causano i danni maggiori.

Windows Server 2025 vs. 2022 vs. 2019: vale la pena effettuare l'aggiornamento?
Confronta le versioni del server e i tempi di supporto, che determinano per quanto tempo un server potrà ancora ricevere le patch distribuite da questo modulo.

Il componente aggiuntivo Bitdefender GravityZone Patch Management soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

L’obbligo di segnalazione previsto dalla revisione della Legge sulla sicurezza dell’informazione si applica ai gestori di infrastrutture critiche, non a tutte le aziende svizzere; pertanto, la maggior parte degli acquirenti di questo add-on ne è interessata indirettamente, attraverso clienti e contratti, piuttosto che direttamente. Le organizzazioni soggette a tale obbligo devono segnalare un attacco informatico all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla sua scoperta. Patch Management supporta tale obbligo in modo limitato ma concreto: il rapporto «Network Patch Status» registra quali endpoint presentavano carenze relative a quali patch con riferimento CVE e quando tali patch sono state installate; si tratta della prova datata necessaria per ricostruire come un aggressore sia riuscito a penetrare nel sistema. Ciò che non fa è rilevare l’incidente, redigere il rapporto o notificarlo al BACS, né produce telemetria di sicurezza propria; pertanto, il rilevamento richiede l’utilizzo di soluzioni EDR, XDR o di un servizio gestito in combinazione con esso. Inoltre, non interviene affatto sulla parte organizzativa dell’obbligo, come la definizione di chi decide che un evento sia segnalabile e di chi invii il rapporto entro il termine di 24 ore. Queste informazioni hanno carattere puramente orientativo e non costituiscono una consulenza legale.

L’add-on Bitdefender GravityZone Patch Management soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto rende un’organizzazione conforme alla direttiva NIS 2, poiché la direttiva riguarda tanto la responsabilità gestionale e i processi documentati quanto la tecnologia. La NIS 2 richiede misure di gestione del rischio in diverse categorie, tra cui analisi dei rischi e politiche di sicurezza, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di approvvigionamento, acquisizione, sviluppo e manutenzione sicuri (compresa la gestione delle vulnerabilità), igiene informatica, controllo degli accessi, crittografia e autenticazione a più fattori. La gestione delle patch si ricollega sostanzialmente a una di queste categorie, ovvero la gestione delle vulnerabilità e la cyberigiene di base, trasformando le versioni software notoriamente vulnerabili in un’attività di correzione programmata e documentata anziché in un’operazione manuale occasionale. Contribuisce inoltre al requisito di valutare l’efficacia delle misure, poiché la conformità delle patch è una delle poche proprietà di sicurezza che può essere riportata sotto forma di dato numerico e monitorata nel tempo. Non copre nessuna delle restanti categorie; pertanto, la gestione degli incidenti, il backup e il ripristino, la valutazione della catena di fornitura, il controllo degli accessi, la crittografia e la formazione del personale devono essere gestiti da altri moduli e da procedure scritte.

L’add-on Bitdefender GravityZone Patch Management è d’aiuto per i questionari sulla sicurezza dei grandi clienti?

Sì, per una sezione di un questionario tipico, ma non per il resto. Risponde direttamente alle domande relative alla gestione delle vulnerabilità e delle patch: se l’applicazione delle patch è gestita centralmente, con quale frequenza i sistemi vengono scansionati per individuare le patch mancanti, con quale rapidità vengono distribuite le patch di sicurezza, se le applicazioni di terze parti sono coperte insieme al sistema operativo e se lo stato delle patch può essere dimostrato per ogni singolo dispositivo. Il report “Network Patch Status” è solitamente sufficiente da allegare come prova, e l’API pubblica restituisce le patch installate e mancanti se il questionario richiede dati grezzi anziché un PDF. Non fornisce alcuna risposta in merito al rilevamento e alla risposta agli incidenti, alla conservazione dei log, al backup e al ripristino, alla crittografia dei dispositivi, al controllo degli accessi e all’autenticazione a più fattori, né alla gestione dei fornitori, poiché nessuna di queste è una funzionalità di questo modulo. Laddove sia necessario colmare tali lacune, rimanere all’interno della stessa famiglia GravityZone è di norma più economico rispetto all’aggiunta di un secondo fornitore: la crittografia completa del disco, la sicurezza mobile e le soluzioni EDR o XDR si integrano nella stessa console, il che garantisce un unico agente, un unico modello di policy e un unico set di report a disposizione del revisore.

La perdita di dati è costosa: in che modo i backup aiutano a evitare interruzioni
illustra le domande relative al backup e al ripristino che compaiono nei questionari dei clienti e alle quali la gestione delle patch non risponde.

Quali limitazioni è necessario conoscere prima dell’acquisto?

Il rollback è la limitazione con le conseguenze più concrete: GravityZone può ripristinare lo stato precedente solo sugli endpoint Windows e solo per le patch che supportano il rollback; pertanto, su macOS e Linux, nonché per le patch Windows senza supporto per il rollback, un aggiornamento non riuscito deve essere disinstallato o reinstallato manualmente. L’applicazione delle patch di terze parti è limitata ai fornitori e ai prodotti presenti nel catalogo supportato da Bitdefender, il che significa che il software interno e le applicazioni di nicchia specifiche per il settore d’attività necessitano ancora di un proprio percorso di aggiornamento. Bitdefender fornisce indicazioni su come disabilitare gli aggiornamenti automatici di Windows sugli endpoint gestiti, in modo che la tempistica delle patch sia effettivamente controllata dalle vostre finestre di manutenzione piuttosto che dalla pianificazione di Microsoft; vale la pena pianificare questa modifica di configurazione prima dell’implementazione piuttosto che dopo. Le patch classificate come approvate manualmente, come gli aggiornamenti delle funzionalità di Windows, richiedono comunque un’azione deliberata e non verranno installate in modo automatico. Il modulo applica le patch solo sul software degli endpoint gestiti, pertanto i dispositivi di rete, il firmware e i dispositivi non gestiti rimangono al di fuori del suo ambito di applicazione e dei suoi report.

Fine del supporto per Windows 10: quali sono
le opzioni disponibili illustra cosa accade quando un sistema operativo smette di ricevere le patch del fornitore, cosa che nessuno strumento di gestione delle patch può compensare.

Domande frequenti sul componente aggiuntivo Bitdefender GravityZone Patch Management

L’add-on funziona con la console GravityZone on-premise?

Sì. Il modulo viene gestito dalla stessa console GravityZone già utilizzata dai clienti, sia per l’implementazione su cloud che in locale. Viene aggiunto agli endpoint esistenti creando un pacchetto di installazione nella console, anziché distribuire un agente separato.

Come vengono distribuite le patch all’interno della rete?

Un endpoint con il ruolo di Relay può assumere anche il ruolo di Patch Caching Server, che memorizza le patch sulla rete locale e le distribuisce agli altri endpoint. Se il server di cache non è disponibile, gli endpoint ricorrono al download dai siti web dei fornitori, quindi l’applicazione delle patch continua ma utilizza una maggiore larghezza di banda Internet.

È possibile esportare i dati relativi alle patch in altri sistemi?

Sì. L’API pubblica di GravityZone restituisce le patch installate e quelle mancanti, ed è possibile creare, aggiornare e assegnare finestre di manutenzione anche tramite l’API. Questa è la procedura usuale quando lo stato delle patch deve essere integrato in un sistema di reporting o di ticketing esistente, anziché essere visualizzato nella console.

Copre anche i rischi per i quali non sono disponibili patch?

No. Questo modulo identifica e installa le patch disponibili per i sistemi operativi e le applicazioni. Le configurazioni errate, le impostazioni rischiose e i comportamenti rischiosi degli utenti sono gestiti da GravityZone Risk Management, che costituisce una parte separata della piattaforma e non è inclusa in questo componente aggiuntivo.