Articolo di Mickey Bresman, Co-founder di Semperis, guida la visione strategica complessiva e l’implementazione dell’azienda.
Sono sempre più attuali e numerosi gli ambienti informatici che risultano maggiormente distribuiti e cloud-based e, per questo motivo, i cyber attaccanti mirano prevalentemente a carpire le identità con cui accedere alle risorse organizzative. I sistemi di identità Active Directory (AD) ed Entra ID (prima conosciuto come Azure AD) sono impiegati dal oltre il 90% delle aziende a livello globale e attualmente rappresentano uno dei principali target di malintenzionati e cybercriminali.
Come servizio di directory destinato a utenti e risorse di rete, AD è integrato nella maggior parte delle aziende, in quanto tool essenziale per poter effettuare operazioni. Dal sondaggio condotto da Semperis, è emerso che il 77% dei leader aziendali, inclusi i team operativi IT e di sicurezza, subirebbe un grave o catastrofico impatto sulle proprie attività nel caso di un blocco dell’AD. Nella maggior parte delle organizzazioni l’architettura AD originale non è stata predisposta per essere in grado di gestire il cloud e/o le infrastrutture moderne, proprio in virtù del fatto che è uno strumento datato.
A questo proposito vorremmo condividere il motivo per il quale nelle aziende odierne modernizzare l’AD è un requisito prioritario per garantirne la sicurezza.
Un AD complesso può aumentare la superficie di attacco
Con la diffusione dei sistemi cloud, il concetto tipico di “perimetro di rete” è di fatto sparito. Va anche considerato che il maggior numero di strategie di attacco si focalizza sulla compromissione delle identità attraverso la tecnica del phishing come anche altri sistemi. Parallelamente, le strategie di sicurezza si stanno concentrando in misura crescente sulla corretta gestione e sul controllo delle identità.
Nonostante ciò, molte delle iniziali raccomandazioni su come impostare sicurezza e architettura dell’AD risultano inefficaci e non sono in grado di soddisfare i requisiti che le imprese moderne chiedono. Verso la fine dello scorso millennio, quando l’AD fece la sua comparsa assieme a Windows Server 2000, lo scenario che riguardava le reti era diverso. Proprio per questo motivo, la progettazione dei domini AD ha subìto una forte influenza in base alla larghezza di banda limitata e dalle problematiche di replica NT.
I vincoli appena citati in combinazione con i limiti tecnologici dei dispositivi, nonché le sfide poste dalla migrazione (domini legacy di Windows NT 4), hanno spinto all’adozione di un numero maggiore di domini AD all’interno della struttura della foresta. Questi progetti sono senza dubbio complicati e se sommati a decenni di deviazioni della configurazione, hanno generato ulteriori complessità oltre che configurazioni errate, con il risultato di aver aumentano in modo significativo la superficie di attacco dell’AD.
L’ammodernamento
La modernizzazione e l’aggiornamento di AD offre alle organizzazioni la possibilità di recuperare decenni di gap tecnico dovuti ad ambienti multi-foresta e ad anni e anni di impostazioni di sicurezza obsolete e inefficaci. Questo permette ai team l’implementazione di controlli di autorizzazione efficaci con cui gestire le identità e di rendere il controllo delle reti centralizzato, consentendo di ridurre i costi totali di gestione e di semplificare l’ambiente con lo scopo di soddisfare i requisiti normativi.
La complessità di migrazione dell’AD
Nonostante i molteplici vantaggi che l’ammodernamento può generare, al momento della modifica dell’AD è necessario che le aziende pianifichino attentamente ogni passaggio. Il percorso di modifica può rappresentare uno sforzo notevole non privo di sfide, in quanto è richiesta la migrazione di utenti, gruppi, applicazioni e computer verso un nuovo dominio o foresta. In questa fase ogni vulnerabilità esistente nel vecchio ambiente e che non viene rilevata può essere replicata. Il processo di migrazione può anche generare vulnerabilità nuove che potrebbero sfuggire al rilevamento, a meno che durante questo processo si stia effettuando un monitoraggio e valutazione in tempo reale.
È tipicamente improbabile che tutto l’AD venga migrato in un’unica soluzione poiché lo spostamento di risorse come applicazioni, file server e database risulta più complessa rispetto alla migrazione degli utenti e dei gruppi. Questo aspetto è da considerare perché applicazioni, file server e database, potrebbero restare nel vecchio ambiente in modo temporaneo creando così una situazione di instabilità. Ed è proprio dagli ambienti instabili che i malintenzionati amano trarre vantaggio, pertanto è di fondamentale importanza garantire il massimo livello di sicurezza durante il periodo di migrazione.
Le fasi per migrare con successo e in modo sicuro
Per gestire la migrazione dell’AD in modo che le interruzioni siano ridotte al minimo occorre adottare un approccio che si focalizzi sulla sicurezza. Per questo motivo si parte con la stesura di un dettagliato piano di migrazione che assicuri che il dominio di destinazione sia stato progettato in base alle best practice di sicurezza.
Le best practice comprendono la valutazione dell’ambiente precedente alla migrazione, il cui scopo è quello di individuare lacune come ad esempio account compromessi, configurazioni errate (e vulnerabili) del sistema, ecc., nonché la creazione di un ambiente di test che replichi l’AD onde poter verificare l’iter di migrazione. È inoltre necessario verificare che le autorizzazioni utente e i diritti di accesso vengano migrati in conformità con la policy generale, che vengano sincronizzate le password e che account, protocolli di autenticazione e algoritmi di crittografia risultino perfettamente compatibili con il nuovo ambiente.
In modo parallelo, occorre applicare le medesime precauzioni alle attività di migrazione più complesse che riguardano applicazioni, risorse e architetture multilivello, le quali spesso richiedono configurazioni particolari. È altrettanto necessario verificare che vengano aggiornati gli username hardcoded, i nomi distinti e i nomi server. Nel caso in cui l’ambiente di destinazione utilizzi username o server differenti, gli user potrebbero non essere autenticati o le risorse risultare inaccessibili.
Prima dell’attivazione dell’ambiente di destinazione, sono fondamentali test e convalida in modo da garantire il corretto funzionamento dell’ambiente. Anche il monitoraggio continuo è un aspetto fondamentale che deve essere portato avanti poiché consente il rilevamento di accessi non autorizzati, modifiche delle autorizzazioni e comportamenti anomali una volta che la migrazione è stata completata. Allo stesso modo anche i controlli di sicurezza dovranno essere effettuati in modo regolare così come i penetration test.
Infine, ma non meno importante, occorre prevedere la formazione dedicata agli utenti finali, al personale IT e al management. È necessario documentare in modo accurato la nuova struttura del dominio, prevedere la stesura di procedure per gli utenti e gruppi integrandole con tutte le policy di sicurezza.
È arrivato il momento
Di fronte alla complessità della modernizzazione di AD alcune aziende potrebbero essere riluttanti scegliendo invece di fare affidamento sulle misure di sicurezza e sulle funzionalità di sicurezza di AD esistenti, ma questo è un grave errore. Questo approccio non garantisce una protezione sufficiente contro le minacce odierne, poiché esse si focalizzano sulla compromissione dell‘identità anche approfittando delle varie tipologie di vulnerabilità che vengono a generarsi nel tempo all’interno dell’AD. Proteggere l’AD tramite l’accurata pianificazione di aggiornamento consente una corretta esecuzione e risulta fondamentale per garantire sicurezza a sistemi critici come anche ai relativi utenti.
In particolare, in Italia si ha la percezione di dare poca attenzione alla cybersicurezza in generale, infatti le aziende sono riluttanti a investire in questo campo, sottovalutando la situazione e non comprendendo appieno che la sicurezza informatica deve essere considerato un asset aziendale.
