Cos'è la zero-trust?
La zero-trust è un modello di sicurezza “che presuppone la violazione”. È stata creata per chi si occupa di architettura delle soluzioni di sicurezza informatica, per i system integrator e per i team di DevOps con lo scopo di integrare funzionalità di sicurezza informatica essenziali in un ambiente IT pervasivo che rafforzi la pianificazione e i processi decisionali legati alla sicurezza informatica.
Prima: fidarsi di chiunque fosse all'interno del perimetro di rete
Se guardiamo alla storia, gran parte delle organizzazioni usavano il modello "castello con fossato" per garantire la sicurezza della rete. Tutti gli utenti e i dispositivi situati all'interno del perimetro della rete erano affidabili in modo predefinito, ovvero non era necessario che si autenticassero prima di accedere alle risorse dell'organizzazione. Solo gli utenti e i dispositivi che erano al di fuori della rete dovevano autenticarsi. Questo modello aveva senso quando gran parte, se non tutte le attrezzature e tutti i dipendenti si trovavano all'interno dei confini dell'edificio adibito a ufficio e il perimetro della rete era ben definito.
Anche prima della pandemia da COVID-19, il cloud computing e la mobilità stavano a poco a poco scalfendo il concetto di "perimetro della rete". E le conseguenze delle disposizioni di lockdown per la pandemia lo hanno distrutto completamente. Per abilitare i dipendenti, diventati in poco tempo dei lavoratori in remoto, le organizzazioni sono state costrette ad accelerare di mesi o di anni i loro piani di transizione digitale. Le aziende hanno messo in atto una rapida migrazione verso gli ambienti basati su cloud (la maggior parte multi-cloud o ibridi) in modo tale che i propri dipendenti potessero accedere alle risorse aziendali ovunque si trovassero. In questo modo il numero di endpoint, siti web, sistemi, database e applicazioni che richiedevano l'autenticazione e la crittografia end-to-end si è moltiplicato in modo esponenziale.
Gli amministratori IT tentarono di applicare le soluzioni progettate per infrastrutture omogenee locali ad ambienti eterogenei basati su cloud, ma capirono che era impossibile raggiungere un livello di visibilità, sicurezza e controllo totale delle reti e degli endpoint. Il modello "castello con fossato" crollò e gli attacchi informatici aumentarono a mano a mano che i malintenzionati sfruttavano le difese insufficienti delle organizzazioni.
Oggi: non fidarsi di nessuno
Contrariamente al modello "castello con fossato", la zero-trust non si fida di alcun utente umano o dispositivo, a prescindere dalla sua posizione. In un ambiente zero-trust, tutti gli utenti e i dispositivi devono autenticarsi prima di poter accedere alle risorse organizzative. Invece di fidarsi del luogo in cui si trovano gli utenti, la zero-trust li costringe a dichiarare la propria identità.
Se implementato correttamente, l'accesso alla rete zero-trust offre agli amministratori IT piena visibilità su tutti gli utenti, i sistemi e i dispositivi. Le persone, le app e i servizi possono comunicare in tutta sicurezza, anche tra ambienti di rete diversi. Non importa se gli utenti si connettono da casa propria, da un hotel, dal bar o dall'aeroporto oppure se stanno usando il dispositivo personale. Gli amministratori possono vedere con precisione chi è connesso alla rete, la sua posizione e le risorse a cui attinge... e gli utenti non possono assolutamente entrare se non dichiarano esplicitamente la propria identità.
Tre principi guida sono alla base della sicurezza zero-trust:
Presumere una violazione.
Qualsiasi utente umano o dispositivo potrebbe essere potenzialmente compromesso, anche se si connette dall'interno dell'ufficio, ecco perché il secondo principio guida afferma che bisogna…
Verificare in modo esplicito.
Tutti gli utenti umani e le macchine devono dichiarare la propria identità prima di poter accedere alle risorse della rete. Ma non è tutto…
Garantire un accesso con privilegi minimi.
Anche quando un utente è stato verificato in modo esplicito, deve ricevere solo una quantità minima di accesso alla rete, quella necessaria per svolgere la propria mansione e niente di più.
I 6 pilastri della sicurezza zero-trust
Microsoft consiglia di pianificare l'implementazione della zero-trust fondandola sui seguenti sei pilastri, tutti da verificare, poi aggiornare o sostituire di conseguenza.3
Identità
Nel modello zero-trust, ogni utente, sia esso umano o macchina, deve avere un'identità digitale univoca. Ogni volta che questa identità richiede l'accesso a una risorsa, il sistema deve verificarla con un'autenticazione complessa, sostenuta da analisi comportamentale affinché la richiesta di accesso non sia anomala per quell'utente. Una volta autenticata l'identità, il relativo accesso di rete deve seguire i principi dei privilegi minimi.
A tale scopo, fate in modo che tutti i vostri utenti utilizzino password complesse e univoche per ogni account e abilitino l'autenticazione multifattoriale (AMF) ogniqualvolta sia supportata. Inoltre, distribuite il rilevamento in tempo reale, la risoluzione automatizzata e le soluzioni di intelligenza connessa per monitorare l'account in caso di compromissione e rispondere a eventuali problemi.
Endpoint
Solo le app e i dispositivi conformi e affidabili dovrebbero essere autorizzati ad accedere ai dati. Prima di consentire ai dipendenti di accedere alle app aziendali sui dispositivi mobili, richiedete loro di registrare i propri dispositivi nella gestione dei dispositivi mobili (MDM) e di farli convalidare per integrità e conformità generale alle regole di sicurezza dell'azienda. Le soluzioni MDM danno inoltre agli amministratori visibilità sull'integrità e sulla conformità dei dispositivi nonché la possibilità di imporre regole e controlli di sicurezza, bloccando ad esempio azioni quali il copia/incolla o il download/trasferimento.
Negli odierni ambienti basati su cloud, i dati si trovano ovunque e devono essere regolamentati ovunque si trovino. Ciò implica la necessità di applicare controlli severi e limitazioni all'accesso dei dati secondo i principi dei privilegi minimi e la garanzia che i dati siano crittografati sia quando sono a riposo che quando sono in transito.
Dati
Negli odierni ambienti basati su cloud, i dati si trovano ovunque e devono essere regolamentati ovunque si trovino. Ciò implica la necessità di applicare controlli severi e limitazioni all'accesso dei dati secondo i principi dei privilegi minimi e la garanzia che i dati siano crittografati sia quando sono a riposo che quando sono in transito.
Applicazioni
L'accesso e i privilegi delle applicazioni devono essere controllati e limitati con lo stesso rigore applicato ai dati. Controllate l'accesso alle app, monitorate l'utilizzo delle app per rilevare comportamenti anomali e utilizzate il controllo degli accessi in base al ruolo (RBAC) per fare in modo che le autorizzazioni in-app degli utenti siano adeguate e seguano i principi dei privilegi minimi.
Infrastruttura
La gestione delle autorizzazioni sia per l'infrastruttura locale sia per le VM, i container e i microservizi basati su cloud può rappresentare una sfida. Automatizzate più processi possibili. Utilizzate l'accesso just-in-time (JIT) per rinforzare le difese, distribuite le analisi della sicurezza per rilevare anomalie e attacchi, bloccare in automatico e segnalare comportamenti rischiosi per ulteriori indagini e risoluzioni.
Rete
Segmentate le reti per impedire che i malintenzionati si spostino lateralmente e accedano a risorse riservate. Utilizzate controlli di sicurezza della rete selettivi per potenziare la visibilità, inclusi strumenti per la protezione dalle minacce in tempo reale, la crittografia end-to-end, il monitoraggio e l'analisi.
Le migliori strategie per lo sviluppo di un'architettura zero-trust
Una delle sfide maggiori dell'implementazione della zero-trust è sapere da dove cominciare. La zero-trust ha tanti "elementi mobili" e non esistono regole standard universali per la sua implementazione. Ecco alcune delle migliori strategie per stilare una "mappa di viaggio zero-trust" per la vostra organizzazione.
Ricordatevi che la zero-trust è un impegno a lungo termine, non un rimedio una-tantum.
Come la tecnologia, i workflow e l'ambiente delle minacce cambiano e mutano, così succede anche all'architettura zero-trust.
Assicuratevi di avere l'approvazione della dirigenza aziendale.
Per la zero-trust serve una forma mentis "o tutto o niente" nonché serio impegno da parte di tutti i livelli manageriali e dei vari team. Il supporto della dirigenza aziendale era una caratteristica che accomunava i "campioni" dello studio di CRA, mentre la sua mancanza rappresentava l'ostacolo principale citato dalle organizzazioni che continuavano a lottare per l'adozione della zero-trust.4
Partire in piccolo.
Per evitare interruzioni all'attività aziendale, il NIST consiglia di iniziare la distribuzione della zero-trust con una prima migrazione delle risorse aziendali a basso rischio, per proseguire con quelle essenziali dopo che il vostro team abbia preso dimestichezza con la zero-trust.5
In caso di dubbi, concentrarsi prima e innanzitutto sulla IAM.
Tra i "campioni" della zero-trust secondo lo studio di CRA, la gestione delle identità e degli accessi (IAM) era la componente della zero-trust implementata con maggiore frequenza, con un 86% dei partecipanti che dichiarava di aver applicato strategie di zero-trust ai propri processi e controlli IAM.6
Migliori strategie per scegliere le soluzioni zero-trust
Alcuni considerano la zero-trust un modello, mentre altri la considerano una filosofia, una framework o anche un movimento. Qualunque sia il modo in cui la considerate, il succo è che l'obiettivo finale della zero-trust non è la distribuzione di prodotti specifici, ma il raggiungimento dei risultati desiderati. A tal proposito la zero-trust sta alla sicurezza digitale come le DevOps stanno allo sviluppo software: un cambio fondamentale nell'approccio alla sicurezza da parte delle organizzazioni.
Esistono tante soluzioni compatibili con la zero-trust sul mercato, ma non tutte sono idonee al vostro specifico ambiente di dati e alle vostre esigenze aziendali. Il NIST7 consiglia di prendere in considerazione quanto segue quando si devono scegliere gli strumenti della zero-trust:
La soluzione richiede che i componenti vengano installati sulla risorsa del client?
Le soluzioni lato client potrebbero limitare i processi aziendali e ostacolare la produttività. Creano inoltre delle spese generali di amministrazione aggiuntive per il vostro team IT.
La soluzione funziona nei casi in cui le risorse per la procedura aziendale siano presenti in sede?
Alcune soluzioni presumono che le risorse richieste risiedano nel cloud (il cosiddetto "traffico nord-sud") e non all'interno del perimetro aziendale (traffico est-ovest). In tal modo si crea un problema negli ambienti cloud ibridi, dove le applicazioni line-of-business (LOB) obsolete, che però svolgono funzioni essenziali, potrebbero essere eseguite in sede perché per loro la migrazione al cloud non è fattibile.
La soluzione fornisce un mezzo per registrare le interazioni per l'analisi?
Le decisioni sull'accesso della zero-trust dipendono fortemente dalla raccolta e dall'utilizzo dei dati legati al flusso dei processi, soprattutto per gli account con accesso con privilegi.
La soluzione fornisce ampio supporto per varie applicazioni, servizi e protocolli?
Alcune soluzioni potrebbero non supportare un'ampia gamma di protocolli (SSH, web, ecc.) e di trasporti (IPv4 e IPv6), ma altri potrebbero funzionare soltanto con il web o l'e-mail.
La soluzione richiede modifiche al comportamento dell'individuo?
Alcune soluzioni potrebbero richiedere ulteriori fasi per l'esecuzione di un certo workflow, che potrebbe richiedere alla vostra organizzazione di apportare modifiche ai workflow esistenti.
Come può Keeper aiutare la vostra organizzazione ad adottare la zero-trust
La suite di sicurezza informatica zero-trust e zero-knowledge di Keeper consente alle organizzazioni di adottare l'accesso remoto della zero-trust per la loro forza lavoro distribuita, con autenticazione complessa e visibilità e controllo granulari. Riunendo l'Enterprise Password Management (EPM), la Secrets Management (SM) e la Privileged Connection Management (PCM), Keeper offre agli amministratori IT e ai team di sicurezza un'unica finestra di interfaccia pervasiva per tracciare, registrare, monitorare e proteggere ogni singolo utente su ogni dispositivo da ogni posizione, mentre interagisce con tutti i siti, i sistemi e le applicazioni consentiti.
- La piattaforma di Enterprise Password Management di Keeper offre alle organizzazioni visibilità e controllo completi sulle pratiche di utilizzo delle password da parte dei dipendenti necessarie per implementare con successo il modello di sicurezza zero-trust. Gli amministratori IT possono monitorare e controllare l'utilizzo delle password all'interno dell'intera organizzazione e imporre regole e controlli di sicurezza, quali AMF, RBAC e accesso con privilegi minimi.
- Keeper Secrets Manager offre ai team DevOps, di sicurezza IT e di sviluppo software una piattaforma basata su cloud per la gestione di tutte le vostre chiavi segrete dell'infrastruttura, dalle chiavi SSH e API alle password per database e alle credenziali RDP. Tutti i server, le pipeline di integrazione e distribuzione continua (CI/CD), gli ambienti di sviluppo e il codice sorgente prendono le chiavi segrete da un endpoint API sicuro. Ogni chiave segreta è crittografata con una chiave AES 256-bit e poi crittografata di nuovo da una chiave di applicazione AES-256. Il dispositivo client recupera il testo cifrato crittografato dal cloud di Keeper e le chiavi segrete vengono decrittografate a livello locale sul dispositivo, non sul server.
- Keeper Connection Manager è un gateway per desktop remoto senza agente che offre ai team DevOps e IT accesso di rete zero-trust (ZTNA) senza problemi a RDP, SSH, database ed endpoint di Kubernetes attraverso il browser web. Tutti gli utenti e i dispositivi devono sottoporsi a una complessa procedura di autenticazione prima di poter accedere alle risorse dell'organizzazione.
