I migliori strumenti di gestione delle vulnerabilità

Abbiamo confrontato quattro strumenti leader nella gestione delle vulnerabilità su 11 dimensioni. I risultati rivelano un mercato in cui "gestione delle vulnerabilità" significa quattro cose diverse per quattro fornitori. Alcuni costruiscono pipeline di rilevamento incentrate sulle CVE; altri monitorano la disponibilità di patch come proxy del rischio; uno delega esplicitamente la scansione a strumenti di terze parti.

Risultati del benchmark sulla gestione delle vulnerabilità

Risultati principali

• Automox e NinjaOne segnalano le vulnerabilità in base alla disponibilità nel catalogo patch, non al confronto delle versioni CVE-NVD. Se non esiste un aggiornamento nel loro catalogo per una versione software, lo strumento segnala "Nessuna CVE nota" indipendentemente dal numero effettivo di CVE. LibreOffice 7.1.8.1 (oltre 100 CVE documentate) e Firefox ESR 115.12.0 hanno entrambi restituito "Nessuna CVE nota" in Automox per questo motivo. ManageEngine e Action1 utilizzano feed CVE indipendenti e segnalano le vulnerabilità indipendentemente dalla disponibilità di una patch.
• Nessuno strumento rileva il software installato al di fuori del gestore di pacchetti. I file binari estratti in /opt/, compilati da sorgente o distribuiti dai fornitori al di fuori dei repository ufficiali sono invisibili a tutti e quattro gli strumenti. ManageEngine e NinjaOne abbinano le CVE per i pacchetti elencati in dpkg. Action1 inventaria i pacchetti dpkg ma non restituisce dati CVE per essi su Linux. Automox non ha alcun rilevamento CVE indipendente.
• Il modulo VM di NinjaOne non genera avvisi e non ha modelli di report. Il framework degli avvisi elenca 13 categorie tra cui Windows Patch Management, Bitdefender e CrowdStrike. Vulnerabilità e CVE non sono tra queste. Il catalogo dei report include un modello di Conformità Patch in 10 sezioni, ma nessun equivalente per la gestione delle vulnerabilità.
• Automox richiede uno scanner esterno per rilevare le CVE. La pagina Remediations importa esportazioni CSV da Qualys, Tenable, Rapid7 o CrowdStrike, quindi abbina quelle CVE al suo catalogo patch. Non esegue alcun rilevamento indipendente.
• ManageEngine e Automox non hanno un canale di avviso in uscita. ManageEngine non ha configurazione SMTP a nessun livello: impostazioni globali, preferenze utente o consegna per report. La documentazione web di Automox elenca il supporto per Slack, Teams e webhook, ma questo non è stato verificato nella console durante il test.
• NinjaOne ha disinstallato Automox due minuti dopo l'installazione sulla stessa VM Windows. Il registro Attività ha registrato: "Software disinstallato: 'Automox Agent', Utente: System." La disinstallazione è stata incompleta: la registrazione del servizio e i file di programma sono rimasti. Su Linux, ManageEngine, Action1 e NinjaOne hanno funzionato fianco a fianco senza che nessun agente ne rimuovesse un altro.

Metriche misurate

Latenza di rilevamento: Un binario notoriamente vulnerabile è stato installato su un endpoint pulito con il timestamp di completamento dell'installazione registrato al secondo. Il cronometro si è fermato quando la CVE è apparsa nel pannello delle vulnerabilità del prodotto.

Accuratezza del rilevamento: Software con storie CVE ben documentate è stato installato su Windows e Linux attraverso tre percorsi: MSI/EXE (tracciato dal registro), dpkg (gestore di pacchetti) e archivio tar del fornitore estratto in /opt/ (al di fuori del gestore di pacchetti).

Impronta endpoint: Tutte le misurazioni hanno utilizzato pidstat a livello di processo per catturare RSS (resident set size) per processo, escludendo la cache di pagina a livello di cgroup. Le misurazioni su Windows hanno utilizzato Get-Counter (\Process(*)\Working Set - Private) campionato ogni 5 secondi su una finestra di 10 minuti. Il motore di scansione su richiesta di ManageEngine è stato misurato separatamente in stato inattivo e durante una scansione attiva. Tutti e quattro gli agenti Linux hanno funzionato contemporaneamente sullo stesso host Ubuntu 24.04; le misurazioni su Windows sono state effettuate su una VM Windows Server 2022 separata.

Distribuzione patch: Il tempo di distribuzione è stato misurato dalla conferma nell'interfaccia utente al completamento segnalato dal prodotto. Lo stato post-distribuzione è stato verificato direttamente sull'endpoint tramite la cronologia di Windows Update per distinguere "binario scritto su disco" da "patch impegnata e attiva", una distinzione importante quando è richiesto un riavvio per completare l'installazione.

Accesso alla prova: Ogni prova è stata tentata prima con un indirizzo Gmail, poi con un indirizzo istituzionale laddove Gmail veniva rifiutato. Sono stati contati i passaggi dalla landing page a una dashboard utilizzabile con i programmi di installazione degli agenti visibili. È stato registrato il tempo dall'invio del modulo al primo agente connesso.

Consegna degli avvisi: Una regola di avviso personalizzata è stata creata in ciascun prodotto e attivata da un evento di installazione software. Sono stati registrati il tempo di consegna e la struttura del contenuto dell'email. Quando gli avvisi smettevano di essere inviati, i log lato agente venivano ispezionati per identificarne la causa.

I migliori strumenti di gestione delle vulnerabilità

1. NinjaOne Vulnerability Management

NinjaOne è una piattaforma UEM/RMM che ha aggiunto un modulo VM a marzo 2026. La sua gestione delle patch è matura; il livello di rilevamento delle vulnerabilità non lo è.

Accesso alla prova: NinjaOne è tramite vendita. Dopo aver inviato il modulo di prova, la risposta è stata "Ti contatteremo a breve". L'accesso è arrivato come Tecnico aggiunto a un tenant esistente condiviso anziché un ambiente isolato nuovo.

La schermata di onboarding ha immediatamente mostrato: "Non disponi delle autorizzazioni per gestire i Dispositivi. Contatta l'Amministratore di Sistema per ricevere assistenza." La distribuzione dei dispositivi non era disponibile con il ruolo di Tecnico.

Copertura dispositivi: Il menu Aggiungi dispositivo copre più di qualsiasi altro strumento testato: computer (Windows, Linux, Mac), dispositivi mobili (Apple, Android), infrastruttura virtuale (Hyper-V, VMware), monitoraggio cloud (ping, scansione porte, DNS, HTTP/HTTPS) e rilevamento di rete. Nessun altro strumento in questo confronto si avvicina.

Dettaglio dispositivo: Ogni dispositivo dispone di grafici orari in tempo reale per CPU, memoria, disco e rete insieme a un inventario hardware completo.

La sezione Dettagli enumera le porte aperte in linea: RDP su 3389, SMB su 445 e altre 10 erano visibili senza eseguire una scansione separata.

Il menu Strumenti fornisce Registro Remoto, Task Manager, Browser File e Service Manager accessibili dal browser, tutti in tempo reale. Il desktop remoto completo richiede un download separato del client nativo.

Rilevamento CVE: L'inventario software ha rilevato Firefox entro 35 secondi. La scheda Vulnerabilità mostrava 0 risultati al minuto 5, al minuto 30 e al minuto 3 ore, sia su dispositivi Windows che Linux e con tutti i filtri cancellati. Il file dell'elenco CVE lato agente è rimasto di 44 byte dal momento dell'installazione per oltre 5 ore, invariato.

La correlazione CVE lato server non è mai stata attivata durante la prova. Non è stato possibile determinare se questo rifletta una restrizione del piano di prova o un requisito di configurazione non soddisfatto. La scheda Vulnerabilità si è popolata con 85 CVE circa 24 ore dopo l'installazione dell'agente, con la colonna Origini che mostra "NinjaOne Patching", il catalogo patch dello strumento stesso, non l'NVD.

Integrazione avvisi: La sezione Attività dei criteri elenca 13 categorie di avvisi: Bitdefender, CrowdStrike, SentinelOne, Webroot, ImageManager, Backup, ShadowProtect, Software, Sistema, Utente, Windows, Windows Patch Management e Raid. Non esiste una categoria Vulnerabilità o CVE. Il modulo VM non produce avvisi.

Reporting: Il catalogo dei modelli di report include un modello di Conformità Patch con 10 sezioni che coprono patch non riuscite, patch in sospeso, percentuali di patch installate e abilitazione delle patch del sistema operativo. Non esiste un modello di Gestione delle Vulnerabilità.

Comportamento dell'agente verso altri strumenti: NinjaOne si è registrato sulla VM Windows di test. Alle 11:31, il registro Attività ha registrato: "Software disinstallato: 'Automox Agent', Versione: '2.5.70', Utente: '<System>'" due minuti dopo la registrazione, tramite un'azione di sistema automatica. La rimozione è stata incompleta; vedere Risultati principali per i dettagli.

Impronta endpoint: Picco di memoria agente Linux: 116 MB. Windows: quattro processi per un totale di circa 127 MB di working set, 92 secondi di CPU in tre ore.

NinjaOne è una piattaforma UEM/RMM che ha aggiunto un modulo VM. Il livello di inventario software dell'agente funziona bene; il livello di correlazione CVE dipende dall'elaborazione lato server che era inattiva durante il periodo di prova.

Differenze chiave:

• L'inventario software è accurato e veloce: Firefox 115.12.0 è apparso nella dashboard entro 35 secondi dall'installazione
• La correlazione CVE è rimasta inattiva durante tutto il test. Il file NinjaWPM-cve-patch-list.json è rimasto di 44 byte per oltre 5 ore; la scheda Vulnerabilità si è popolata con 85 CVE circa 24 ore dopo l'installazione dell'agente, in contrasto con il posizionamento "in tempo reale basato sull'IA"
• Il più ampio supporto per tipo di dispositivo: Windows, Linux, macOS, iOS, Android, Hyper-V, VMware, monitoraggio ping cloud e rilevamento di rete
• Il modulo VM non genera avvisi (nessuna categoria "Vulnerabilità" nel framework di avvisi delle Attività) e non ha un modello di reporting dedicato
• Su Windows, l'agente ha rimosso Automox 2 minuti dopo l'installazione tramite una regola di Windows Server Policy, lasciando file orfani; nessun comportamento equivalente su Linux

2. ManageEngine Vulnerability Manager Plus

ManageEngine VMP è l'unico scanner di vulnerabilità nativo in questo confronto. Il rilevamento funziona indipendentemente dalla disponibilità delle patch; le vulnerabilità vengono segnalate anche quando non esiste una patch.

Accesso alla prova. Self-service, nessun contatto commerciale richiesto. Il modulo di registrazione accetta Gmail. Dopo l'invio, la dashboard si carica immediatamente con un contatore di 30 giorni. Appare un modale di richiesta demo ma ha un pulsante Salta visibile; non è un blocco. L'interfaccia si carica in turco in base all'indirizzo IP, l'unico strumento in questo confronto con localizzazione non inglese. L'istanza nella regione UE viene assegnata automaticamente.

Onboarding: La schermata Per Iniziare mostra quattro fasi del flusso di lavoro: Prerequisiti, Impostazioni Patch, Distribuzione e Flusso di Lavoro Gestione Patch. Tre delle quattro sono incentrate sulle patch. L'impostazione è rileva-poi-applica-patch, non rilevamento in tempo reale.

Dashboard: Si apre su una scheda Vulnerabilità con una Matrice di Età delle Vulnerabilità (gravità × fasce di età) che mostra da quanto tempo i risultati sono aperti. Un feed Ultime Notizie di Sicurezza inserisce avvisi di sicurezza dei fornitori in tempo reale nel pannello di destra.

Il pannello sinistro della vista Sistemi segmenta i dispositivi per stato operativo: Altamente Vulnerabile, Vulnerabile, Sano, Riavvio in Sospeso, Distribuzione Patch Non Riuscita, Sistemi senza Contatto Agente, Sistemi EOL e Zero-day trovato. Il dispositivo è apparso nell'elenco entro pochi secondi dall'installazione dell'agente.

La scansione iniziale viene eseguita in due passaggi. Un banner conferma che i risultati limitati vengono mostrati per primi; la scansione completa viene completata in pochi minuti. Le patch mancanti sono salite da 0 a 8 tra i due passaggi.

Dettaglio dispositivo: La vista del dettaglio dispositivo copre più ambiti di qualsiasi altro strumento testato.

La scheda Riepilogo mostra quattro grafici a ciambella di Gravità della Minaccia affiancati: Patch, Vulnerabilità Software, Configurazioni Errate di Sistema e Configurazioni Errate del Server Web. L'endpoint di test vanilla Windows Server 2022 ha mostrato 7 patch mancanti, 28 vulnerabilità software e 54 configurazioni errate.

La scheda Software e Componenti elenca ogni componente installato con i conteggi di Patch Mancanti, Patch Installate e Vulnerabilità per riga. Windows Server 2022 stesso aveva 16 vulnerabilità; Curl per Windows, fornito con l'immagine del sistema operativo, non installato dall'utente, ne aveva 10.

La scheda Vulnerabilità è un elenco a livello di CVE con Stato Exploit, Disponibilità Patch, Punteggio CVSS 3.0, Versione Rilevata, Data di Pubblicazione e Data di Supporto per riga. I punteggi CVSS variavano da 4,3 a 9,9 sull'endpoint vanilla.

La scheda Patch classifica le patch mancanti in Aggiornamenti di Sicurezza, Opzionali, Terze Parti, Driver, Service Pack e BIOS, con azioni Installa/Pubblica Patch e Rifiuta Patch in linea.

La scheda Configurazione di Sicurezza è una checklist di hardening in stile CIS/STIG. Ogni riga risolvibile ha un link "Distribuisci Configurazione Sicura": i risultati si collegano direttamente alla remediation con un clic. L'endpoint di test aveva 30 elementi, tra cui TLSv1.1 abilitato, BitLocker disabilitato, Windows Firewall non rilevato, soglie di blocco account non configurate e livello di autenticazione LAN Manager configurato erroneamente.

La scheda Verifica Porte mappa ogni porta aperta al binario responsabile con il percorso completo dell'eseguibile. La porta 3389 è mappata a svchost.exe, la porta 445 a ntoskrnl.exe. Chrome ed Edge sono elencati separatamente sulla 5353.

Vista Minacce a livello di flotta: La navigazione Minacce copre otto sotto-sezioni sull'intera flotta.

Le viste Vulnerabilità e CVE Rilevate mostrano i punteggi CVSS 3.0 e CVSS 2.0 in colonne parallele. Il prodotto conserva il CVSS 2.0 legacy per le organizzazioni che ancora vi fanno riferimento.

Configurazioni Errate di Sistema aggrega le lacune di hardening a livello di flotta con un'azione "Distribuisci Configurazione Sicura" per riga.

Software ad Alto Rischio monitora le date di Fine Vita. Windows Server 2022 è apparso con la sua data EOL del 14 ottobre 2031 e un contatore di 1.990 giorni rimanenti.

Gestisci Eccezioni consente di accettare minacce specifiche per gruppo di dispositivi. Nessuna eccezione è stata definita durante il test; l'infrastruttura è presente.

Sezione Patch: La barra laterale sinistra mostra conteggi in tempo reale: Mancanti 9, Installate 3, Applicabili 12, Supportate 106.973, Più Recenti 2.195. Ogni pagina di patch ha Link Rapidi in linea con documentazione How To, Knowledge Base e FAQ integrate nel flusso di lavoro anziché accessibili separatamente.

Il catalogo Patch Supportate copre 106.973 voci da Adobe, Microsoft, Mozilla, Splunk, Oracle e altri. La vista Patch Più Recenti mostra 2.195 voci aggiunte di recente ordinate per data di rilascio. Rifiuta Patch blocca patch specifiche per gruppo di dispositivi. Carica in Sospeso accetta patch personalizzate per software al di fuori del catalogo.

Distribuzione patch: La procedura guidata di distribuzione copre: operazione Installa vs Disinstalla (rollback integrato), Distribuisci direttamente vs Pubblica sul Portale Self Service, selettore dei criteri di distribuzione, data "Forza distribuzione dopo" per l'applicazione degli SLA e targeting per ambito per Ufficio Remoto e singolo computer.

Un aggiornamento delle definizioni di Defender è stato distribuito nel test, completato con Stato: Riuscito e Note: "Questa versione esiste già". Il prodotto ha rilevato che la patch era già stata applicata e non l'ha reinstallata. Il nuovo tentativo automatico in caso di errore prevede 2 tentativi.

Gestione flotta agenti. La sezione Agente mostra lo stato di salute della flotta di agenti, inclusa la versione aggiornata, l'ora dell'ultimo contatto, lo stato di sincronizzazione AD, la gestione degli uffici remoti e i criteri per i computer inattivi.

Impronta endpoint: Cinque processi in stato inattivo, RAM inattiva combinata circa 83 MB. Il motore di scansione dcpatchscan si avvia solo durante le scansioni, non visibile in stato inattivo. Durante una scansione, ha consumato circa 160 MB di RAM e il 100% di un core CPU su Windows, rispetto a circa 144 MB e il 16% di un core su Linux. Il design ad avvio su richiesta significa che l'impronta inattiva rimane ben al di sotto dei valori di base continui di NinjaOne (116–127 MB) e Action1 (51 MB).

Latenza di rilevamento: Scansione Manuale Ora: da 5 a 6 minuti. Ciclo automatico: fissato a 90 minuti, non configurabile dall'utente. Le nuove voci del feed CVE si propagano in un massimo di 25 ore (sincronizzazione DB giornaliera più un ciclo di aggiornamento di 90 minuti). La pagina Admin > Impostazioni Agente non ha un campo per l'intervallo di aggiornamento; le richieste per aggiungerlo sono aperte sul forum ufficiale senza risoluzione.

Avvisi e notifiche: Non esiste alcun canale di avviso in uscita a nessun livello: nessun SMTP nelle Impostazioni Globali, nessuna preferenza di notifica per utente, nessuna pianificazione dei report o consegna via email. La pagina Audit > Avvisi registra eventi interni (perdita di contatto dell'agente, patch non riuscite, nuovi endpoint) ma non può instradarli esternamente.

Reporting: Oltre 16 report predefiniti in sei categorie (Patch, Sistema, APD, Configurazione, SSP, Minaccia). Nessun generatore di report personalizzato. Selettore di colonne e filtri disponibili all'interno dei report predefiniti. Nessun preset per intervalli di date. Esportazione: PDF, CSV, XLSX. Un modale di disclaimer GDPR richiede conferma prima di ogni esportazione. Nessuna consegna pianificata o via email.

Differenze chiave:

• 11 moduli in un unico prodotto: Valutazione delle Vulnerabilità, Conformità, Gestione Patch, Scansione Dispositivi di Rete, Gestione della Configurazione di Sicurezza, Mitigazione Zero-Day, Hardening Server Web, Verifica Software ad Alto Rischio, Verifica Antivirus, Verifica Porte e Reporting
• Catalogo di 106.973 patch; opzioni di distribuzione cloud e on-premises; istanza SaaS nella regione UE
• Il ciclo di scansione automatica è fissato a 90 minuti e non è configurabile dall'utente (richieste di funzionalità sul forum non risolte); il nuovo feed CVE impiega fino a 25 ore per propagarsi (sincronizzazione DB + un ciclo di aggiornamento)
• Nessun canale di avviso in uscita: SMTP è assente a ogni livello di configurazione

3. Automox

Automox è una piattaforma di automazione delle patch, non uno scanner di vulnerabilità. La sua capacità di gestione delle vulnerabilità è costruita attorno all'importazione dell'output di scanner da Qualys, Tenable, Rapid7 o CrowdStrike piuttosto che eseguire un rilevamento CVE indipendente.

Accesso alla prova: Prova di 15 giorni, nessuna carta di credito richiesta. Gmail viene rifiutato, un'email aziendale è obbligatoria. Dopo l'invio, il flusso aggiunge due passaggi extra prima della dashboard: una schermata di login separata e 2FA obbligatorio via email. La password minima è di 12 caratteri, la più restrittiva dei quattro strumenti. Singola istanza globale su console.automox.com, nessuna opzione regionale.

Installazione agente: Il modale Aggiungi Dispositivi mostra l'UUID della chiave di accesso, un menu a discesa del sistema operativo, un pulsante Scarica Programma di Installazione e la riga di comando equivalente per l'installazione silenziosa: Automox_Installer-2.5.70.msi ACCESSKEY=<uuid>. Un binario, una chiave, il flusso di installazione più semplice dei quattro strumenti testati.

Il programma di installazione esegue un controllo di integrità post-installazione in linea prima di chiudersi: avvio del servizio, test del demone, report IRS (Installation Result Service). Non si chiude finché non conferma "Configurazione riuscita!", eliminando l'ambiguità sul fatto che l'agente si sia effettivamente connesso.

Il dispositivo è apparso nell'elenco Dispositivi entro 1 o 2 minuti con un tag "Aggiunto di Recente".

Dettaglio dispositivo: Il dettaglio dispositivo ha quattro schede: Riepilogo, Integrità, Rete e Sistema. Nessun criterio è stato assegnato all'installazione; l'agente è stato registrato nel gruppo Predefinito senza alcuna pianificazione di patch allegata. ManageEngine applica automaticamente un ambito di scansione predefinito; Automox richiede l'assegnazione esplicita di un criterio prima che qualsiasi cosa venga eseguita.

Inventario software e linguaggio di gravità: L'elenco Software a livello di dispositivo utilizza valori di Gravità presi in prestito dal catalogo di Microsoft Update: Critico, Sconosciuto o "Nessuna CVE Nota". Non esiste un punteggio CVSS NVD. La colonna Ultima Versione è vuota per tutte le righe; Automox traccia se esiste un aggiornamento, non la versione upstream. Giorni di Esposizione misura da quanto tempo una patch è in sospeso, non da quanto tempo è stata pubblicata una CVE.

Dashboard: Il KPI principale è la matrice Conteggio Patch in Sospeso: righe di gravità (Critico / Alto / Medio / Basso / Sconosciuto) × colonne di età (90+ giorni, 61-89, 31-60, 16-30, ≤15 giorni). Segnalazioni Risoluzione Problemi Dispositivo: Richiede riavvio, Tentativi di aggiornamento non riusciti, Disconnesso da 30+ giorni, Non compatibile. Nessun conteggio CVE, nessun punteggio di gravità delle vulnerabilità in alcun punto della dashboard.

Architettura dei criteri: Tre tipi di criteri: Criterio Patch (con sotto-tipi Avanzato, Applica Tutte le Patch, Applica Tutte Tranne, Applica Solo, Approvazioni Manuali, Gravità), Criterio Software Richiesto e Worklet. Non esiste un Criterio di Scansione Vulnerabilità o un tipo di criterio basato su CVE. La sezione Pianificazione offre un pulsante di opzione Patch Tuesday che si allinea automaticamente al ciclo di rilascio del secondo martedì di Microsoft.

Catalogo Worklet: I Worklet sono modelli di script shell per attività di configurazione. Le categorie sono Preferenze di Sistema, Sicurezza e Ciclo di Vita del Software. Non esiste una categoria Vulnerabilità.

Pagina Remediations: il segnale architetturale centrale. La pagina Remediations sotto Automate ha un'unica azione: Importa. Il filtro Fornitore CSV elenca Generic Report, CrowdStrike, Qualys, Rapid7 e Tenable Vulnerability Management. Le colonne della tabella sono Vulnerabilità Patchabili, Vulnerabilità Non Abbinate e Dispositivi Sconosciuti. Automox mappa l'output di uno scanner di terze parti rispetto al proprio catalogo patch e mostra quali CVE può remediare. Non esegue un proprio rilevamento CVE.

Gestisci > Software: inventario globale della flotta. La vista Software a livello di flotta aggiunge un filtro "Vulnerabilità o ID-CVE", confermando che i dati CVE esistono nel sistema a qualche livello. Tuttavia, la colonna Gravità mostra ancora categorie di metadati KB, non punteggi CVSS. Le colonne Giorni di Esposizione, Ignorato e Impattato sono disponibili per il triage a livello di flotta.

Agente Linux: L'agente Linux ha inventariato 746 pacchetti. L'elenco Software mostra le colonne Versione Installata, Versione Disponibile, Giorni di Esposizione, Gravità, Elenco KEV ed EPSS. Le colonne KEV ed EPSS sono vuote per tutte le voci; le colonne esistono nello schema ma non sono popolate. La Gravità riflette il segnale del catalogo patch, non NVD.

Punti ciechi del catalogo patch: Firefox ESR 115.12.0 su Windows ha mostrato Installata 115.12.0, Disponibile 140.10.2, Giorni di Esposizione 9, Gravità "Nessuna CVE Nota" — circa 25 versioni di rilascio e migliaia di CVE separano le due, ma il catalogo non porta alcun segnale CVE per quel divario di versione. LibreOffice 7.1.8.1 su Linux (14 pacchetti installati, oltre 100 CVE NVD documentate) ha mostrato tutti i pacchetti come "Installati" con Versione Disponibile vuota e Gravità vuota. Il fornitore è saltato dal ramo 7.1 alla serie 24.x, quindi non esiste alcuna voce di aggiornamento nel catalogo e lo strumento non restituisce alcun segnale di vulnerabilità.

Impronta endpoint: Picco agente Linux: 8,8 MB, il più leggero dei quattro strumenti testati, nonostante nessuna dichiarazione di marketing sull'impronta. L'impronta Windows non è stata misurata: il criterio di NinjaOne ha rimosso l'agente Automox 2 minuti dopo la registrazione di NinjaOne sulla stessa VM, quindi non è stata catturata alcuna baseline Windows.

Differenze chiave:

• Automate → Remediations: accetta esportazioni CSV da Qualys, Tenable, Rapid7, CrowdStrike o un formato generico; mappa le CVE agli elementi patchabili e mostra i conteggi Patchabili vs. Non Abbinati
• Le etichette di gravità sono prese in prestito dalle classificazioni del catalogo Microsoft Update (Critico / Sconosciuto / Nessuna CVE Nota), non dai punteggi CVSS NVD
• Il rilevamento tramite catalogo patch produce punti ciechi sistematici: LibreOffice 7.1.8.1 e Firefox ESR 115.12.0 hanno entrambi restituito "Nessuna CVE Nota" nonostante abbiano centinaia di CVE documentate, perché non esiste alcun aggiornamento nel catalogo per quei rami di versione
• Agente più leggero del gruppo con picco di 8,8 MB su Linux — nonostante nessuna dichiarazione di marketing sull'impronta
• Tre tipi di criteri: Criterio Patch (con pianificazione consapevole del Patch Tuesday), Criterio Software Richiesto e Worklet (modelli di script shell/PowerShell)
• La prova richiede un indirizzo email aziendale; Gmail rifiutato

4. Action1

Action1 è un RMM cloud-native con una pipeline di vulnerabilità Windows capace. Su Linux, inventaria i pacchetti e traccia i delta di versione ma non produce output CVE. I due comportamenti sui sistemi operativi sono architetturalmente diversi e devono essere valutati separatamente.

Accesso alla prova: Self-service, Gmail accettato, nessun contatto commerciale. Dopo l'invio del modulo, un codice di conferma arriva via email; inserendolo si accede direttamente alla dashboard con i programmi di installazione degli agenti pronti. Nessuna procedura guidata di onboarding, nessun modulo di richiesta di prova, nessun periodo di attesa.

Installazione agente Windows: Il programma di installazione è di 6,9 MB e si completa in 67 secondi. Un'email di conferma arriva immediatamente dopo e il pannello mostra: "L'agente è stato installato correttamente. Il tuo endpoint è ora connesso al cloud Action1."

Installazione agente Linux: L'agente Linux è di 2,3 MB (.deb) e si installa in 5-6 secondi tramite un singolo comando curl + apt. L'ID organizzazione è incorporato nel pacchetto; non è necessaria alcuna configurazione post-installazione. Sono offerti tre percorsi di distribuzione: Interattivo (per utenti alle prime armi), Non Presidiato e Diretto. RPM è disponibile anche per sistemi Red Hat. Dopo l'installazione, l'agente ha rilevato un aggiornamento del kernel in sospeso e ha correttamente contrassegnato l'endpoint Linux come 'Riavvio Richiesto', leggendo lo stato del sistema operativo specifico della distribuzione anziché applicare la logica Windows a Linux.

Dashboard: Senza alcun trigger di scansione manuale, 114 vulnerabilità e 3 aggiornamenti mancanti sono apparsi entro pochi minuti dall'entrata in linea dell'agente Windows. La dashboard è incentrata su due widget di triage: un indicatore di Conformità della Remediation delle Vulnerabilità con fasce SLA (Critico: 1-7 giorni, Alto: 8-30 giorni, Medio: 31-90 giorni, Basso: 90+ giorni) e una matrice di Scadenza per la Remediation delle Vulnerabilità che mostra gravità × stato di superamento SLA. Lo stesso layout è ripetuto per gli aggiornamenti. Un banner di marketing del piano gratuito e pulsanti di condivisione social appaiono anch'essi sulla dashboard.

Elenco vulnerabilità e prioritizzazione CVE: La pagina Vulnerabilità mostra ID CVE, Punteggio CVSS, flag CISA KEV, Data di Pubblicazione, Stato Remediation, Software Vulnerabile (con percorso completo della versione) e conteggio degli endpoint interessati. CISA KEV è una colonna di primo livello che evidenzia le CVE attivamente sfruttate in ambienti reali, un segnale di triage più forte del solo CVSS. EPSS è assente.

Pannello dettaglio CVE: Ogni CVE apre un pannello laterale con tre schede: Endpoint (macchine interessate con un pulsante Avvia Remediation), Software Vulnerabile (software interessato per piattaforma) e Dettagli. La scheda Dettagli include punteggio base CVSS, Punteggio di Impatto, Punteggio di Sfruttabilità, scomposizione dei sotto-vettori CVSS in formato leggibile, flag di Associazione Ransomware, link multi-fonte (NVD, NVD++ via VulnCheck, avviso del fornitore) e una scadenza di remediation automaticamente calcolata in base alla gravità. Le CVE critiche ricevono uno SLA di 7 giorni; Medio-Alto ricevono 30 giorni, calcolati retroattivamente dalla data di pubblicazione della CVE.

Latenza di rilevamento: Firefox ESR 115.0esr è stato installato con flag silenzioso e il timestamp di completamento dell'installazione è stato registrato al secondo. L'agente ha caricato l'inventario software sul cloud a T+4 minuti 33 secondi; il cloud ha confermato 1 secondo dopo; l'elenco Vulnerabilità è stato popolato con le CVE di Firefox entro 11 minuti dall'installazione. L'agente utilizza un intervallo di polling di 5 minuti. L'etichetta di marketing "in tempo reale" è imprecisa; "quasi in tempo reale / polling a 5 minuti" è la descrizione corretta. Non è richiesto alcun trigger di scansione manuale, il che lo differenzia dagli strumenti con scansione pianificata.

Rilevamento CVE Linux (assente): Un pacchetto Firefox ESR 102.15.1 deliberatamente vulnerabile (EOL da settembre 2023, oltre 50 CVE non patchate) è stato installato tramite dpkg. L'agente ha rilevato l'installazione entro 66 secondi e ha inviato la versione corretta al cloud. Il payload cloud ha mostrato: "CVE": "", "Security Severity": "Unspecified". La pagina Vulnerabilità ha mostrato "Nessun software vulnerabile". La stessa versione di Firefox su Windows ha prodotto oltre 11 CVE con punteggi CVSS da 9,8 a 10. L'agente Linux di Action1 è un tracciatore di delta di versione: registra la versione installata, l'ultima versione e la disponibilità di aggiornamenti, ma non esegue alcuna ricerca nel database CVE per i pacchetti Linux.

Distribuzione patch: Esistono due flussi paralleli. Il flusso guidato dalle vulnerabilità segue: dettaglio CVE > Avvia Remediation > wizard in 3 passaggi. Sono disponibili tre strategie: Distribuisci Aggiornamenti, Disinstalla Software e Documenta Controlli Compensativi. La terza è notevole; consente di documentare l'accettazione del rischio per il software che non può essere patchato. Il flusso guidato dagli aggiornamenti tramite Approvazione Aggiornamenti aggiunge la condivisione di file P2P su LAN per le filiali, l'orchestrazione dei riavvii (riavvio automatico con popup configurabile rivolto all'utente e timeout) e l'opzione di disabilitare completamente gli aggiornamenti nativi di Windows in modo che solo le patch approvate da Action1 vengano distribuite. Queste capacità esistono solo nel flusso guidato dagli aggiornamenti; il wizard guidato dalle vulnerabilità non le offre.

Tempo di distribuzione della patch per KB5082142: 1 minuto da Esegui Ora allo stato Riuscito. Tuttavia, "Riuscito" nel motore di automazione significa che il binario è stato scritto su disco, non che la patch sia attiva. Senza un riavvio, la pagina Vulnerabilità ha continuato a mostrare la CVE patchata come Scaduta perché il sistema operativo non aveva ancora impegnato la modifica. Il motore di automazione ha etichettato l'operazione come riuscita; lo scanner di vulnerabilità ha continuato a mostrare la CVE come Scaduta — il comportamento corretto, poiché la patch richiede un riavvio per avere effetto. Dopo il riavvio, la CVE è stata rimossa dall'elenco.

Avvisi e notifiche: Gli avvisi sono costruiti sopra i report: un utente si abbona alle modifiche (Creato / Eliminato / Modificato) nei dati di un report nominato. Le email di avviso arrivano rapidamente e includono campi strutturati: Fornitore, Versione, Tipo di Installazione e Installato Per. Il campo del destinatario accetta un solo indirizzo email; non esiste un canale Slack, Teams o webhook. Esiste un meccanismo di soppressione silenziosa: dopo l'N-esimo trigger della stessa regola entro una finestra temporale, la regola smette di attivarsi senza alcuna indicazione nell'interfaccia utente. Lo stato di soppressione è visibile solo nel log locale dell'agente. Gli utenti in attesa di avvisi dopo che la soglia di soppressione è stata superata non hanno modo di scoprire la causa dall'interfaccia.

Impronta endpoint: Misurata per 10 minuti durante un'installazione di Firefox, scansione e ciclo di valutazione degli avvisi: CPU medio 0,013%, picco CPU 1,56% al momento dell'attivazione del ciclo di polling, RAM stabile a 51,7 MB con una banda di 0,14 MB sull'intera finestra, I/O disco quasi zero tranne che per brevi scritture nella cache di scansione. L'affermazione di "zero impatto sull'endpoint" è supportata dalla misurazione. Non sono stati eseguiti test di carico sintetico pesante.

Reporting: Il generatore di report offre due tipi (Riepilogo con raggruppamento, Semplice per tabelle piatte), un selettore di colonne, passaggio di filtro, consegna pianificata, Sottoscrivi, esportazione CSV ed esportazione PDF. Cinque categorie di report integrate includono Gestione delle Vulnerabilità con cinque sotto-report: Seleziona Vulnerabilità, Tutte le Vulnerabilità Critiche, Controlli Compensativi Documentati, Vulnerabilità Sfruttate Note e Riepilogo Vulnerabilità. Tutti sono viste dello stato corrente. Non esiste un report integrato "CVE Risolte nel Tempo" o "Cronologia Patch per CVE". Una CVE patchata viene rimossa dall'elenco; non passa a uno stato risolto. Ricostruire quale CVE è stata chiusa in quale data richiede il riferimento incrociato manuale della Cronologia di Automazione, che a sua volta ha un problema di inquinamento della cronologia dovuto a voci duplicate di Esegui Ora.

Differenze chiave:

• Rilevamento Windows in ≤11 minuti dall'installazione dell'agente (polling a 5 minuti); caricamento installazione-cloud misurato a 4 minuti 33 secondi
• Pannello dettaglio CVE: CVSS + flag CISA KEV + Associazione Ransomware + SLA basato sulla gravità (Critico 7 giorni, Medio/Alto 30 giorni, automaticamente calcolato dalla data di pubblicazione) + link multi-fonte (NVD, NVD++, avviso del fornitore)
• Agente Linux: 2,3 MB .deb, si installa in 5-6 secondi, systemd auto-abilitato; disponibile anche RPM. Inventaria i pacchetti dpkg in ~66 secondi ma non produce output CVE — il payload dell'agente restituisce "CVE": "", "Security Severity": "Unspecified". L'installazione di Firefox 102 EOL su Linux ha lasciato vuoto l'elenco Vulnerabilità.
• Impronta agente verificata da pidstat: 51,7 MB stabile, 0,013% CPU medio, picco 1,56% durante la scansione
• Notifiche di avviso limitate a un singolo indirizzo email; nessun Slack, Teams o webhook; le regole di avviso smettono silenziosamente di attivarsi dopo N trigger senza alcuna indicazione nell'interfaccia utente
• Reporting: Generatore Personalizzato + 5 categorie di sotto-report VM (Seleziona / Critiche / Compensative / KEV / Riepilogo) + Pianificazione + Sottoscrivi; nessun report integrato "CVE Risolte nel Tempo"

Metodologia

Endpoint: Windows Server 2022 Standard 21H2 (Build 20348.3207) e Ubuntu 24.04.4 LTS (kernel 6.8.0-111). Tutti e quattro gli agenti hanno funzionato contemporaneamente sull'host Linux. Su Windows, NinjaOne e Automox sono stati installati in sequenza sulla stessa VM.

Software vulnerabile: Firefox ESR 115.12.0, 7-Zip 19.00, Edge 148 (Windows); Node.js 18.19.1, vsftpd 3.0.5, Apache 2.4.58, LibreOffice 7.1.8.1, archivio tar del fornitore /opt/firefox-115.0esr/ (Linux).

Misurazione: pidstat (RSS a livello di processo e CPU), Get-Counter (contatori delle prestazioni di Windows), pywinrm e paramiko (esecuzione di comandi remoti). Metriche a livello di cgroup escluse per evitare l'inflazione della cache di pagina.

Scopri altri nostri benchmark e approfondimenti basati sui dati nella Ricerca Google.

Aggiungi come fonte preferita

FAQ

Cita questa ricerca

Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.

@misc{dogan2026,
  author = {Dogan, Sedat and Sezer, Sena},
  title  = {{I migliori strumenti di gestione delle vulnerabilità}},
  year   = {2026},
  month  = jul,
  howpublished    = {\url{https://aimultiple.com/vulnerability-management-tools}},
  note   = {AIMultiple. Consultato il 24 Luglio 2026}
}

Sedat Dogan

CTO

Segui

Sedat è un leader nel settore della tecnologia e della sicurezza informatica, con esperienza nello sviluppo software, nella raccolta di dati web e nella sicurezza informatica. Sedat: - Ha 20 anni di esperienza come hacker etico e guru dello sviluppo, con una vasta competenza nei linguaggi di programmazione e nelle architetture server. - È consulente di dirigenti di alto livello e membri del consiglio di amministrazione di aziende con operazioni tecnologiche ad alto traffico e di importanza critica, come le infrastrutture di pagamento. - Possiede una solida competenza commerciale oltre alla sua competenza tecnica.

Visualizza il profilo completo

Ricercato da

Sena Sezer

Analista di settore

Segui

Sena è un'analista di settore presso AIMultiple. Ha conseguito la laurea triennale presso l'Università di Bogazici.

Visualizza il profilo completo

Sii il primo a commentare

Il tuo indirizzo email non verrà pubblicato. Tutti i campi sono obbligatori. I commenti vengono lasciati nella loro lingua originale.

Nome

Indirizzo e-mail

Commento

0/450

Pubblica un commento