WHITE PAPER
La demistificazione di Zero Trust
L’era della rete aziendale e del perimetro di rete unico sta per finire. Sono sempre più numerosi gli utenti che si avvalgono del telelavoro e che svolgono le proprie mansioni lavorative sull’Internet pubblico. La crescente diffusione di app Software-as-a-Service (SaaS), piattaforme cloud e altri servizi basati sul cloud hanno eroso l’efficacia della rete quale elemento primario per la protezione delle risorse. Non possiamo più contare su un’unica rete aziendale completamente isolata e non possiamo permetterci di fidarci di tutti i sistemi situati all’interno del suo perimetro.
Ma ecco zero trust: una filosofia di cybersecurity incentrata su come concepire e applicare la sicurezza. Zero trust si basa sul principio “Mai fidarsi di niente, meglio controllare tutto”, che indica come proteggere le risorse, indipendentemente da dove siano situate fisicamente o digitalmente, consigliando di non ritenere nessun elemento come affidabile per impostazione predefinita.
Nessun singolo vendor, prodotto o tecnologia può garantire “zero trust”. Occorrono piuttosto un completo cambiamento di mentalità e l’utilizzo di varie soluzioni diverse per modificare i paradigmi su cui basiamo la protezione delle nostre risorse. Questo documento analizza il concetto di “zero trust”, valutando i vantaggi derivati dall’implementazione di un modello zero trust e offrendo consigli pratici sulle misure che le organizzazioni devono adottare per effettuare la transizione verso questo sistema.
Che cos’è zero trust?
Zero trust è un modello e una filosofia che indica come concepire e come implementare la sicurezza.
Niente e nessuno dovrebbe meritare automaticamente la nostra fiducia, sia che si trovi all’interno o all’esterno della rete aziendale, inclusa persino la rete stessa. Occorre mettere un limite alla fiducia implicita, basata sui percorsi di rete e su metodi di difesa statici quali i firewall tradizionali.
Ovviamente alla fine qualche elemento deve essere ritenuto attendibile, ma con l’approccio zero trust questa fiducia viene concessa solo temporaneamente e viene determinata e rivalutata costantemente in maniera dinamica per mezzo di varie fonti di dati (molte di più di quante ne venissero utilizzate in passato).
Navigando tutti i giorni su Internet, sappiamo bene cosa significhi avere a che fare con reti non attendibili. I computer che si interfacciano con l’Internet pubblico vengono protetti in maniera ben diversa rispetto a quelli che si trovano all’interno del perimetro di rete tradizionale, in quanto richiedono maggiori accertamenti e più livelli di difesa per poter essere protetti dalle minacce esterne.
Il modello zero trust suggerisce di trattare tutti i dispositivi come se si interfacciassero direttamente con Internet e di creare microperimetri, piuttosto di un unico perimetro di rete, applicando verifiche e controlli su tutto e intorno a tutto.
I principali vantaggi di un approccio zero trust
Adottare un modello zero trust implica diversi vantaggi, per cui, per semplificarvi la vita, abbiamo selezionato alcuni di quelli principali.
-
Controllo dell’intero ambiente informatico
A partire dalle quattro mura dell’ufficio, fino alle piattaforme cloud utilizzate. La mancanza di controllo all’esterno del perimetro aziendale e le difficoltà presentate dagli utenti remoti appartengono ormai al passato. -
Modalità di gestione e protezione identiche per tutti gli utenti
Evitando di suddividere gli elementi tra interni o esterni rispetto al perimetro aziendale, è possibile utilizzare lo stesso approccio per tutti gli utenti. Questo semplifica la sicurezza informatica, garantendo allo stesso tempo un trattamento identico per tutti i dispositivi e gli utenti. -
Garanzia di sicurezza anche in mancanza di piena proprietà o pieno controllo sull’infrastruttura utilizzata
Utilizzando identità, posizione, stato di integrità dei dispositivi, autenticazione a fattori multipli e tecniche di overlay per il monitoraggio e l’analisi, è ancora possibile mantenere una sicurezza efficace su qualsiasi tipo di ambiente, piattaforma o servizio. -
Riduzione drastica dei movimenti del malware e degli hacker
Invece di essere liberi di girare una volta infiltratisi nella rete, gli autori degli attacchi hanno a disposizione solamente una frazione minima dei sistemi a cui può accedere l’utente compromesso. Continuando a ritenere non più attendibile l’utente autenticato, è possibile implementare verifiche tra i vari sistemi, limitando ulteriormente la libertà di diffusione del malware.
Un riepilogo del modello zero trust
Zero trust è un concetto molto esteso, se ne parla molto e la discussione è in costante evoluzione. Sostanzialmente i concetti principali di zero trust si possono riassumere in pochi ma chiari concetti di base, che è bene tenere presente durante il passaggio a questo modello.
Non esiste una parte “interna” della rete
Si immagini di gestire il proprio business da una posizione non attendibile, come ad esempio il Wi-Fi pubblico di un bar, e di aver connesso direttamente i dispositivi alla rete più pericolosa in assoluto: l’Internet pubblico. Se questa fosse la situazione reale, si sarebbe costretti ad applicare la sicurezza in modo tale da non dipendere solamente dalla protezione del tradizionale perimetro di rete aziendale.
Mai fidarsi di niente, meglio controllare tutto
Occorre presumere che, in ogni momento, ci siano hacker in agguato sia all’interno che all’esterno della rete, sempre pronti a sferrare attacchi. Nessun utente o dispositivo va ritenuto automaticamente attendibile ed è necessario richiederne sempre l’autenticazione, prima ancora di valutarne l’idoneità a connettersi alla rete.
La sicurezza deve adattarsi in tempo reale
Le policy di sicurezza applicate per raggiungere gli obiettivi del modello zero trust devono essere dinamiche e devono modificarsi automaticamente in base all’analisi di quante più fonti di dati possibile, provenienti da un vasto numero di tecnologie diverse. Una policy statica non fornisce una protezione adeguata, se il dispositivo in questione viene compromesso mentre l’utente risulta attivo su di esso. Se tuttavia viene tenuto in considerazione anche lo stato di integrità del dispositivo (in base, ad esempio, all’identificazione di comportamenti malevoli), la policy può utilizzarlo per adattarsi dinamicamente alla situazione.
I principi dell’approccio zero trust
Mai fidarsi di niente. Mai e poi mai. Perché quando non ci si fida di niente, si è costretti a ricorrere a opportune misure di sicurezza ogniqualvolta vi sia un rischio.
Verificare tutto. Non bisogna presumere che a un elemento basti superare un controllo per essere degno di fiducia. Le credenziali di accesso non rendono un utente attendibile. Significano solamente che quell’utente ha delle credenziali. E le credenziali possono finire nelle mani sbagliate.
Tutto questo può essere riassunto in quattro semplici principi che è bene tenere in considerazione.
Verificare sempre l’identità
Occorre un’unica fonte autorevole per la verifica dell’identità. Tale fonte deve essere utilizzata per ogni Single Sign-On (SSO). Tutti gli ambiti del sistema devono essere accessibili solo tramite autenticazione a due fattori (Multi-Factor Authentication, MFA). Indipendentemente da dove si trovi l’utente e dalla risorsa a cui desidera accedere, occorre convalidarne le credenziali, verificarne il secondo (o terzo) fattore di autenticazione e richiederne spesso la riautenticazione.
Applicare sempre controlli
Applicare controlli e verifiche ovunque necessario, adottando e implementando il principio dell’assegnazione di meno privilegi possibile: gli utenti devono avere accesso solamente al minimo indispensabile per svolgere il proprio lavoro. Se un sistema di risorse umane viene utilizzato solamente da dipendenti situati in Germania, allora l’accesso deve essere concesso solamente a quei dipendenti. Nessun altro deve potervi accedere, anche se si ritiene che il rischio sia minimo.
Svolgere sempre analisi
Solo perché un utente o dispositivo si è autenticato correttamente o ha ottenuto l’accesso, non significa che debba essere ritenuto attendibile. Anche le minacce interne e i malintenzionati possono disporre di credenziali valide. È indispensabile tenere traccia di tutte le attività di rete e del sistema, analizzandole e ispezionandole regolarmente per verificare cosa avviene dopo l’autenticazione. Per svolgere questi tipi di operazione, sono emersi appositi sistemi di SIEM (security information and event management - gestione delle informazioni e degli eventi di sicurezza), EDR (endpoint detection and response - rilevamento e risposta alle minacce per endpoint) e MDR (managed detection and response - rilevamento e risposta gestiti).
Implementare sempre la protezione
Utilizzare un approccio alla cybersecurity “inside out”, ovvero che parta dall’interno ma sia proiettato verso l’esterno dei sistemi. Bisogna cominciare con i dati più importanti, per poi muoversi verso l’esterno, identificando i punti vulnerabili della rete in cui i dati possono imbattersi durante la loro esistenza, dal momento della creazione fino alla loro eliminazione permanente.
Una volta compresi i principi dell’approccio zero trust, si può cominciare a pianificare una transizione verso questo modello. Per ulteriori informazioni, consultare la versione estesa in formato PDF di questo articolo.
Lo stack di tecnologie zero trust
Per proteggere tute le risorse e gli asset di una rete, occorrono varie tecnologie. Non esiste un unico vendor, prodotto o sistema tecnologico in grado di risolvere tutti i problemi.
Uno stack di tecnologie zero trust deve occuparsi di due aspetti principali: la gestione dell’approccio zero trust e la sicurezza e il controllo delle varie risorse e asset.
La gestione è a sua volta suddivisa in tre ambiti secondari:
-
Automazione e orchestrazione, per la definizione di policy dinamiche, la coordinazione di tutte le varie tecnologie, e l’implementazione dell’intero sistema
-
Visibilità e analisi, per supervisionare la rete e garantire il corretto funzionamento di tutti gli elementi, nonché per identificare le minacce e i casi di violazione se e quando si dovessero verificare
-
API, per la mutua integrazione di tecnologie diverse, nonché per lo scambio reciproco di dati tra i vari sistemi
Le risorse e gli asset sono a loro volta suddivisi in cinque ambiti secondari:
-
Persone: utenti, amministratori e altri, che lavorano per o con l’azienda
-
Dati: la linfa vitale di qualsiasi organizzazione, e forse anche l’asset più importante da proteggere
-
Dispositivi: server, laptop, virtual machine, ecc. che vengono utilizzati per svolgere le attività aziendali
-
Workload: servizi e app utilizzati per elaborare dati, eseguire calcoli, generare report, ecc.
-
Reti: canali di comunicazione utilizzati per flussi di dati, web, e-mail, Wi-Fi, Internet e così via
Sophos vi può aiutare, ecco come
Sebbene non sia possibile affidarsi a un solo vendor per migrare un’organizzazione verso un modello zero trust, Sophos offre una vasta gamma di tecnologie che possono aiutarvi a raggiungere questo obiettivo.
La gestione nel modello zero trust
Sophos Central, la nostra piattaforma di cybersecurity nativa del cloud, aiuta a gestire un ambiente zero trust. Agisce orchestrando tutte le nostre tecnologie da un’unica console, e permette di supervisionare tutti i sistemi da un unico punto centrale, con la disponibilità di API in grado di connettere anche tecnologie di terze parti.
È anche possibile utilizzare un SIEM per aggregare i log dei prodotti Sophos e di terzi, semplificando così la supervisione completa di tutti gli eventi. Le nostre API aiutano a estrarre le informazioni necessarie dalla nostra piattaforma Sophos Central, per integrarle nel proprio sistema SIEM.
Controllata da Sophos Central, Sophos Synchronized Security è un’altra tecnologia che svolge un ruolo essenziale. Quando è abilitata Synchronized Security, le soluzioni Sophos condividono reciprocamente le informazioni in loro possesso, per attivare una risposta automatica agli incidenti. Nel contesto di zero trust, le soluzioni sono in grado di adattarsi a qualsiasi scenario, grazie alla presenza di policy dinamiche e all’automazione di operazioni complesse quali l’isolamento dei computer e altro ancora.
Sicurezza e controllo su risorse e asset
Molti dei nostri prodotti aiutano a proteggere contemporaneamente varie risorse e asset, ma questo non significa che sia sufficiente applicare solamente una tecnologia. Ad esempio, per proteggere le persone occorre un elevato numero di tecnologie diverse, utilizzate nell’ambito di una rete strutturata secondo il concetto zero trust.
Cloud Optix
Aiuta a proteggere dati, dispositivi, workload e reti nel contesto del cloud pubblico.
Phish Threat
Aiuta a proteggere i dipendenti.
SafeGuard
Aiuta a proteggere i dati.
Sophos Wireless
Aiuta a proteggere le reti.
Intercept X
Aiuta a proteggere tutte le risorse e gli asset.
Managed Threat Response (MTR)
Aiuta a proteggere tutte le risorse e gli asset.
XG Firewall
Aiuta a proteggere tutte le risorse e gli asset.
Sophos Mobile
Aiuta a proteggere dispositivi, dati e persone.
Intercept X for Server
Aiuta a proteggere i dispositivi e i workload.
Secure Web Gateway
Aiuta a proteggere le reti e i workload.
Sophos Email
Aiuta a proteggere le reti e i workload.
Sophos Home
Aiuta a proteggere le persone.
Implementare queste tecnologie può rivelarsi molto utile durante il passaggio verso un modello zero trust. Tuttavia, per permettere agli utenti di adoperare i servizi cloud ovunque si trovino, occorre anche una valida soluzione IAM con Single-Sign On, per applicare un’unica fonte autorevole per la verifica dell’identità su tutti i sistemi e i servizi. Questo è uno degli aspetti fondamentali del modello zero trust.
Conclusione
Al momento, zero trust non è altro se non una filosofia orientata sulla cybersecurity, che solo pochi sono pronti ad adottare. Tuttavia, con la costante erosione dei perimetri di rete, l’esigenza di implementare questo approccio diventerà sempre più diffusa. I cybercriminali adottano misure sempre più innovative e i sistemi di difesa fanno fatica a tenere il passo con queste evoluzioni. Il modello zero trust rappresenta un ottimo modo per minimizzare effettivamente le minacce, impostando nuovi standard per i protocolli di cybersecurity.
È ora di pensare in maniera alternativa. È giunto il momento di evolversi.
Sophos Central per la gestione del vostro ambiente zero trust
Avviate una prova gratuita di 30 giorni, per scoprire come Sophos Central può aiutarvi a realizzare i vostri progetti zero trust.
Può anche svolgere la funzione di gateway per tutti i nostri prodotti.
-
Console unificata: gestione di tutti i prodotti Sophos da un’unica interfaccia basata sul web.
-
Tutti i prodotti: provate la nostra suite completa di soluzioni di protezione endpoint, firewall, e-mail, mobile e server. Potete liberamente provarne quante ne volete per 30 giorni. Non occorre fornire dati di carta di credito. Nessun rinnovo automatico.
-
Accesso immediato: sono pronte per l’uso nel giro di pochi minuti. I prodotti Sophos si eseguono parallelamente a quelli di altri vendor presenti nei sistemi.