Zero Trust, un modello che rivoluziona l'approccio alla sicurezza

Fino al passato più recente si riteneva che per proteggere i dati dell’impresa e dei suoi clienti fosse sufficiente mettere in sicurezza il perimetro di rete. Le reti oggi possono essere locali, nel cloud oppure combinare risorse disponibili all’interno della sede aziendale con quelle disponibili a distanza. Per non parlare del lavoro ibrido in forte crescita con i dipendenti e i collaboratori che possono lavorare da qualunque luogo. Una rete non ha più un confine predefinito e il suo perimetro è ormai sempre più sfumato.

Il modello di sicurezza Zero Trust (Zero Trust security model) è un approccio alla sicurezza informatica che implica l’eliminazione dell’idea di “fiducia implicita” nelle reti aziendali e porta all’adozione di una serie di misure di sicurezza più rigorose.
L’implementazione di un modello Zero Trust richiede un approccio sistemico e una pianificazione accurata per garantire una protezione adeguata.

Tutti gli utenti, all’interno o all’esterno della rete dell’azienda, devono essere autenticati, autorizzati e convalidati continuamente perché possano ottenere o mantenere l’accesso ad applicazioni e dati.

Perché Zero Trust

Il concetto Zero Trust scaturisce dal principio “non fidarsi mai, verificare sempre“: l’azienda non dovrebbe mai fidarsi di alcuna entità interna o esterna, indipendentemente dall’origine del traffico o della richiesta.
Un approccio che, come abbiamo evidenziato in apertura, supera il tradizionale concetto di perimetro di rete ben definito.

L’espressione Zero Trust è stata utilizzata dalla società Forrester nel 2010 quando appunto si sostenne che il modello di sicurezza perimetrale non poteva più essere efficiente e avrebbe dovuto evolvere per via delle tecnologie emergenti e delle minacce all’orizzonte. In realtà, però, il primo a usare il termine Zero Trust fu Stephen Paul Marsh nella sua tesi di dottorato sulla sicurezza computazionale presso l’Università di Stirling (Scozia): era il 1994.

Lo storico modello che prevede di fissare il perimetro di un’azienda e servirsi di firewall per verificare il traffico (origine e destinazione dei dati), classificare e separare le reti attendibili e non attendibili è problematico: quando il perimetro di rete viene in qualche modo violato, un aggressore ha spesso un ampio margine di manovra all’interno dell’infrastruttura IT. E se questo modus operandi già scricchiolava quando dipendenti e collaboratori hanno iniziato a portare i loro dispositivi in azienda (BYOD, Bring your own device), figuriamoci quanto può essere anacronistico oggi che il cloud e lo smart working sono sempre più protagonisti.

Uno standard per l’applicazione del modello Zero Trust

Sebbene molti fornitori di soluzioni per la sicurezza informatica abbiano provato a creare le proprie definizioni di Zero Trust, esistono riconosciuti che possono essere applicati da ogni singola impresa.

Il NIST 800–207 è uno standard completo e indipendente dal fornitore che tiene in massima considerazione il concetto di cloud-first. Ecco quindi che l’approccio Zero Trust deve tenere conto di alcuni principi fondamentali:

• Tutte le fonti di dati e i servizi informatici sono considerati risorse.
• Tutte le comunicazioni sono sicure indipendentemente dalla posizione della rete; la posizione di rete non implica fiducia.
• L’accesso alle singole risorse aziendali viene concesso in base alla connessione; la fiducia richiesta viene valutata di volta in volta prima che venga concesso l’accesso.
• L’accesso alle risorse è determinato dalle policy, incluso lo stato osservabile dell’identità dell’utente e il sistema richiedente, e può includere altri attributi comportamentali.
• Attraverso le sue soluzioni di sicurezza, l’azienda si assicura che tutti i sistemi di sua proprietà e i dispositivi associati si trovino nello stato più sicuro possibile e monitora i sistemi per garantire che rimangano protetti.
• L’autenticazione dell’utente è dinamica e applicata rigorosamente prima che sia consentito l’accesso. L’operazione viene svolta nell’ambito di un ciclo costante di accesso, scansione e valutazione delle minacce, adattamento e autenticazione continua.

Zero Trust non è un prodotto di sicurezza quanto piuttosto una piattaforma alla quale è possibile fare riferimento per creare un’architettura adeguata a proteggere i dati e il business dell’impresa.

Come implementare il modello Zero Trust

L’implementazione di una piattaforma basata sul concetto di Zero Trust deve correttamente abbinare tecnologie per la protezione e la verifica dell’identità, la sicurezza degli endpoint, l’autenticazione a più fattori (MFA). Durante il processo di verifica il modello Zero Trust deve necessariamente tenere conto dei seguenti aspetti:

• Identità utente e tipo di credenziale utilizzata (accesso “umano” o programmatico/automatizzato)
• Privilegi dell’account utilizzato su ciascun dispositivo
• Hardware dell’endpoint, versioni firmware, versione sistema operativo e livelli di patch
• Posizione geografica
• Protocollo di autenticazione utilizzato ed eventuali rischi intrinseci
• Applicazioni installate sull’endpoint
• Utilizzo di segnali e modelli di riferimento; dati sui precedenti rilevamenti di minacce/incidenti; riconoscimento di attività sospette e attacchi

Non esiste un approccio o una tecnologia unici per implementare il modello Zero Trust: si può raggiungere l’obiettivo combinando Next-Generation Firewall (NGFW) ovvero soluzioni che uniscono il firewalling tradizionale con funzioni di filtraggio dei dispositivi di rete (controllo delle applicazioni, sistema integrato di prevenzione delle intrusioni (IPS), funzionalità di prevenzione delle minacce e protezione antivirus) con autenticazione multifattore, principi di microsegmentazione della rete e assegnazione dei privilegi minimi.

Zero Trust Roadmap è una sorta di checklist che guida decisori aziendali e amministratori IT nell’adozione del modello.
Realizzata da Cloudflare, la roadmap si snoda lungo 7 aspetti ritenuti essenziali per la sicurezza dell’azienda e dei dati che gestisce: utenti, endpoint, traffico Internet, rete, applicazioni, prevenzione delle perdite di dati e logging, steady state.

Con il termine steady state ci si riferisce alla situazione in cui tutti gli utenti e i dispositivi all’interno dell’organizzazione sono in uno stato noto e sicuro (ne abbiamo parlato anche in precedenza). Ciò significa che l’impresa è riuscita a stabilire un’identità digitale per ogni utente e dispositivo, ha implementato misure di sicurezza per proteggere le risorse critiche, ha applicato politiche di accesso basate sulle autorizzazioni e ha implementato un processo di monitoraggio continuo per rilevare eventuali attività sospette.

In ogni sezione sono riportati alcuni esempi di prodotti software che sono utilizzabili lungo il viaggio per la corretta implementazione del modello Zero Trust. L’elenco è comunque da considerarsi parziale: è infatti possibile abbinare soluzioni di produttori differenti.

Di seguito una lista di prodotti e servizi che possono essere utilizzati per l’implementazione dello Zero Trust model:

– Soluzioni di gestione delle identità e degli accessi (IAM): per la gestione delle identità degli utenti e delle autorizzazioni per l’accesso alle risorse.

– Soluzioni di sicurezza degli endpoint: le soluzioni di sicurezza degli endpoint consentono di proteggere i dispositivi degli utenti da minacce come malware, ransomware e attacchi zero-day.

– Firewall: per proteggere la rete aziendale da accessi non autorizzati, riconoscere e bloccare traffico potenzialmente dannoso.

– Soluzioni di sicurezza delle applicazioni: consentono di proteggere la rete aziendale e i dati conservati sui sistemi da attacchi che fanno leva su vulnerabilità presenti nelle varie applicazioni. Questo livello di protezione non deve limitarsi alle sole vulnerabilità perché, come abbiamo visto anche di recente nel caso degli attacchi Kerberoasting, configurazioni non sicure e implementazioni superficiali possono esporre a gravi rischi di attacco. Dove non ci sono vulnerabilità irrisolte, è comunque essenziale controllare la configurazione software e l’utilizzo di policy adeguate.

– Analisi comportamentale: per monitorare il comportamento degli utenti e delle applicazioni rilevando eventuali anomalie o vere e proprie situazioni di pericolo.

– Analisi dei dati e dei log: l’analisi dei dati e dei log consente di monitorare l’utilizzo delle risorse e rilevare eventuali attività sospette.

– Virtual Private Network (VPN): le VPN consentono agli utenti di accedere alle risorse dell’organizzazione in modo sicuro e privato. Nell’ottica del modello Zero Trust, tuttavia, neppure i dispositivi collegati via VPN possono essere ritenuti intrinsecamente sicuri. Anzi, sarebbe un grave errore il contrario perché eventuali minacce presenti sul dispositivo remoto, connesso via VPN, potrebbero facilmente diffondersi nella rete aziendale.

Rilevando come la sicurezza informatica sia sempre più legata al concetto di Zero Trust, Cisco ha registrato una crescente sensibilità su questo tema, anche nel nostro Paese.