ipfacile è un servizio informativo di FENIVA S.R.L., società di Torino fondata nel 2004 e Impresa Laureata I3P del Politecnico di Torino, che progetta impianti di videosorveglianza, reti e sistemi di sicurezza con un DPO certificato interno (auditor ISDP©10003 e valutatore privacy UNI CEI EN 17740, certificazioni AICQ SICEV n. 0047 e n. 0053V).
Il dominio ipfacile.it ha ospitato fino al 2021 un servizio di monitoraggio di reti e apparati. Oggi pubblica avvisi tecnici su reti e dispositivi connessi: telecamere, registratori, switch, router, access point, ponti radio, NAS, controllo accessi e i loro firmware, oltre ai programmi di accesso remoto con cui si entra negli impianti. Li spiega a chi gli impianti e le reti li installa, li gestisce o ne risponde, e rimanda a FENIVA per tutto ciò che richiede un intervento.
Come lavoriamo
Le fonti
- EUVD, il database europeo delle vulnerabilità gestito da ENISA.
- NVD, il National Vulnerability Database del NIST.
- CISA KEV, il catalogo delle vulnerabilità sfruttate attivamente.
- ACN e CSIRT Italia, per i bollettini in italiano.
- Gli advisory dei produttori, quando sono consultabili.
Ogni voce del bollettino riporta l'identificativo ufficiale (CVE o EUVD) e il link alla fonte. Se una voce non è verificabile su una fonte ufficiale, non viene pubblicata.
Gli aggiornamenti
Le fonti vengono lette in automatico due volte al giorno, alle 08:00 e alle 18:00. Ogni lettura produce un'edizione del bollettino con le voci uscite dalla precedente. Se non c'è nulla di nuovo sui marchi monitorati, non pubblichiamo un articolo vuoto: aggiorniamo soltanto l'orario in testata. «Fonti lette in automatico» indica questo controllo automatico, non una verifica editoriale.
Gravità e priorità operativa
La gravità è il punteggio CVSS assegnato dalla fonte. La priorità operativa è un'indicazione separata, calcolata in automatico con tre segnali dichiarati:
- la presenza nel catalogo CISA KEV, cioè prove di sfruttamento reale;
- la probabilità di sfruttamento EPSS a 30 giorni, pubblicata da FIRST;
- il vettore di attacco CVSS: se il dispositivo è raggiungibile dalla rete, se servono credenziali, se serve un'azione dell'utente.
È alta se la vulnerabilità è sfruttata attivamente, se l'EPSS supera il 10% o se è critica o alta e raggiungibile dalla rete senza credenziali. È media se è raggiungibile dalla rete con qualche condizione, bassa negli altri casi. Non conosce il tuo impianto: va pesata sul ruolo dell'apparato, su come è esposto e sulle protezioni che ha intorno.
Quando una voce ha una scheda
Una vulnerabilità ottiene una scheda in italiano quando è sfruttata attivamente, quando è critica (CVSS 9 o superiore), oppure quando è alta su telecamere, registratori, sistemi di accesso o marchi distribuiti da FENIVA. Le altre restano nell'elenco del bollettino e nella pagina del marchio, con il link alla fonte ufficiale.
Automazione dichiarata
Raccolta, classificazione e prima stesura delle schede sono automatiche: un sistema legge le fonti, applica le regole qui descritte e scrive il testo seguendo una specifica redazionale fissa. Le schede automatiche lo dichiarano in fondo alla pagina e non portano la firma di una persona. Le guide sono scritte e riviste dalla redazione.
Cosa scriviamo e cosa no
Spieghiamo che cosa significa una vulnerabilità per l'impianto e per la rete e quali criteri usare per capire se si è esposti. Non pubblichiamo istruzioni per sfruttarla, né procedure operative complete: per intervenire su un impianto serve chi lo conosce. Una vulnerabilità pubblicata indica un rischio da verificare, mai la prova di un'intrusione avvenuta.
Gli avvisi possono servire come ingresso per l'inventario degli apparati, la valutazione delle vulnerabilità e le decisioni di aggiornamento, anche dove si applica la NIS2. Una raccolta di avvisi però non dimostra la conformità di nessuno: per quella servono un inventario, una valutazione e interventi documentati.
Conflitti di interesse
FENIVA distribuisce alcuni dei marchi monitorati (tra cui Ajax, Dahua, Uniview, Ruijie/Reyee, Safire e Western Digital) e li vende sullo shop FENIVA. Questi marchi sono trattati con le stesse regole e lo stesso tono degli altri: le loro vulnerabilità compaiono nel bollettino come quelle di tutti.
Correzioni
Se trovi un errore in una scheda o in una guida, scrivi a info@feniva.eu indicando la pagina. Le correzioni vengono applicate alla pagina con la data della modifica.
Segnalare un problema di sicurezza
Se trovi una vulnerabilità in ipfacile.it, scrivi a info@feniva.eu con oggetto «Sicurezza ipfacile», indicando come riprodurla. Ti rispondiamo e ti teniamo aggiornato sulla correzione. Non eseguire prove che rallentino il servizio o che accedano a dati di altre persone. Gli stessi contatti sono pubblicati in security.txt, secondo lo standard RFC 9116.
Contatti
Per parlare con un tecnico FENIVA: FENIVA S.R.L., Corso Regio Parco 20 bis, 10153 Torino. P.IVA IT08965050019. Telefono 011 852559, email info@feniva.eu, WhatsApp. Sito istituzionale: feniva.it.