Il modello Zero Trust Architecture (ZTA)

Oggi il modello Zero Trust Architecture (ZTA) è il nuovo paradigma di difesa, a cui le aziende devono mirare per garantire la sicurezza delle loro infrastrutture IT. Il concetto di “perimetro da difendere” è stato superato.

Perché Zero Trust Architecture (ZTA)

L’infrastruttura IT delle aziende è diventata sempre più complessa.
Un’azienda può gestire diverse reti interne e uffici remoti con la loro infrastruttura locale, connessioni remote e/o mobili e servizi cloud.
Le tecniche di protezione tradizionali – adottate fino ad ora dalle aziende – risultano obsolete e non più efficienti nel contrastare le minacce provenienti dal web.
Esiste quindi la necessità di un cambio nell’approccio di difesa dei sistemi IT aziendali, con un radicale cambiamento di paradigma.
Ecco perché oggi si parla sempre più del modello Zero Trust Architecture (ZTA): un termine che è diventato attuale. Non è una “moda”, come qualcuno potrebbe pensare, ma una necessità.

Il “Teorema della Fortezza” non è più valido

Fino a poco tempo fa l’azienda – con i suoi sistemi IT – era percepita e rappresentata come una “fortezza” circondata da muri di protezione: i buoni erano dentro mentre i cattivi rimanevano fuori.
Ecco perché potevamo parlare di “perimetro da difendere“: i muri della fortezza erano il perimetro che rappresentava una barriera di separazione tra l’azienda e gli attaccanti. Il concetto di “sicurezza perimetrale” (la logica della fortezza) ricorda da vicino la dottrina del “fronte” della Prima Guerra Mondiale: linee continue che delimitano ciò che è dentro ed è protetto, da ciò che è fuori ed è insicuro e minaccioso.

L’epigone di questa strategia (sebbene non sia l’unico esempio) è la tristemente nota linea Maginot.
Oggi questo modello è stato superato e, anzi, si parla di “Deperimetralizzazione“.
La crescente complessità delle reti e dei sistemi aziendali ha superato i metodi tradizionali di sicurezza di rete basati sul perimetro, poiché non esiste più un unico perimetro facilmente identificabile per l’azienda. La sicurezza di rete basata sul perimetro si è anche rivelata insufficiente, poiché una volta che gli attaccanti sfondano il perimetro, il movimento laterale all’interno della rete non ha più ostacoli.

In altre parole: i sistemi di protezione perimetrale, per quanto più sofisticati ed efficienti, rimangono comunque esposti ad essere bypassati da avversari sufficientemente avanzati, finanziati e determinati.

Questo radicale cambiamento nel modello di difesa è diventato ancora più necessario data la pratica del “workplace ovunque” che ha letteralmente annullato i tradizionali perimetri di difesa, che non sono più statici e chiusi dentro i muri dell’azienda, ma possono essere ovunque.
Questo è ancora più evidente in un’era di lavoro remoto“, con i dipendenti che accedono ad applicazioni e dati aziendali utilizzando diversi dispositivi, ovunque si trovino. Possiamo aggiungere a questo anche l’uso sempre più diffuso di risorse cloud e di risorse ubicata in data center remoti.
Il perimetro che dovrebbe essere difeso – se volessimo cercare di delimitarlo – sarebbe l’intero mondo.

Meglio prevenire che curare

Questa semplice frase contiene l’essenza della Zero Trust Architecture.
C’è la necessità di passare dal modello della fortezza a quello del sistema immunitario, che utilizza gli anticorpi per contrastare l’aggressore.
La difesa dovrebbe spostarsi dal perimetro (che non esiste più!) ai dispositivi e agli utenti che si collegano al web.
La rete di origine della connessione non è importante, ma piuttosto CHI si connette e quanto affidabile è.
“Dentro” e “Fuori” non hanno più significato in termini di sicurezza.

La scelta del modello Zero Trust Architecture è importante anche perché oggi dobbiamo essere consapevoli che il pericolo può derivare anche dall’interno, dagli utenti stessi.
Ritenere tutti gli utenti interni affidabili è un errore di fatto che non possiamo più permetterci.
Gli attacchi informatici e gli incidenti possono essere causati – e molto più spesso di quanto si potrebbe pensare – da azioni intenzionali compiute da utenti malintenzionati (i cosiddetti “insider malintenzionati”), che agiscono con l’obiettivo di danneggiare l’azienda o rubare dati.
Ma potrebbero essere causati anche da semplici errori commessi dagli stessi dipendenti (quelli “ignari”), che per mancanza di attenzione o di conoscenza compiono azioni che aprono una porta per l’attaccante (ingegneria sociale, phishing, ecc.). Da quel momento in poi, quell’utente diventa una minaccia per l’azienda.

Un primo passo verso la sicurezza aziendale è addestrare i dipendenti sui pericoli connessi a Internet e adottare un sistema di intelligenza basato sul cloud come quello offerto da FlashStart, che filtra a livello DNS l’accesso a siti web malintenzionati e pericolosi ed è in grado di proteggere anche le connessioni remote dei loro dipendenti. Vedremo successivamente cosa comporta ulteriormente il modello Zero Trust Architecture a livello strutturale.

Il modello di sicurezza zero trust implica che non esiste una fiducia implicita verso le risorse o gli account utente basata esclusivamente sulla loro posizione fisica o di rete (cioè, reti locali rispetto a Internet) o sulla proprietà delle risorse (aziendali o personali). L’autenticazione e l’autorizzazione (sia del soggetto che del dispositivo) sono funzioni distinte eseguite prima che venga stabilita una sessione con un dipendente.

Zero trust è una risposta al trend di inclusione dei lavoratori remoti, l’uso di dispositivi personali (BYOD, Bring Your Own Device) e risorse basate su cloud che non si trovano all’interno di una rete aziendale.
La Zero Trust Architecture è focalizzata sulla protezione delle risorse (risorse, servizi, flussi di lavoro, account di rete, ecc.), non sui segmenti di rete, poiché la posizione della rete non è più considerata il requisito principale per la protezione delle risorse.

Per queste ragioni, nessun utente o dispositivo può avere accesso illimitato alle risorse aziendali: anche dopo la fase di autenticazione, i suoi privilegi di accesso sono forniti in modo granulare e continuamente verificati.
Quindi, un’architettura zero trust implementata correttamente sposta l’onere della protezione dei dati dall’interno dell’azienda verso ogni utente, dispositivo e applicazione che tenta di accedere alla rete aziendale.

Zero Trust Architecture: le linee guida NIST

Parlando di ZTA, non possiamo trascurare le linee guida fornite da NIST su questo argomento.
NIST (National Institute of Standards and Technology) è un’agenzia del governo degli Stati Uniti d’America che si occupa della gestione della tecnologia. Fa parte del DoC, Dipartimento del Commercio. È nata nel 1901 come “National Bureau of Standards” (NBS) ed è diventata il “National Institute of Standards and Technology” nel 1988.
Ha il compito istituzionale di sviluppare standard ed è il primo istituto al mondo per la produzione di standard nei settori della tecnologia, IT e della sicurezza informatica.
Le pubblicazioni del NIST non sono cogenti in Europa, ma data la grande autorevolezza dell’istituto, molto spesso diventano standard de-facto.

Il documento NIST che affronta la Zero Trust Architecture è la Special Publication SP 800-207 “Zero Trust Architecture”, pubblicato ad agosto 2020 e che può essere scaricato gratuitamente in inglese a questo link.

Questa pubblicazione esamina e descrive la ZTA, i suoi componenti logici, i possibili scenari di implementazione e le minacce.
Inoltre, presenta una roadmap generale per le organizzazioni che desiderano passare ad un approccio di progettazione zero trust.
Viene evidenziato che la ZTA non è una singola architettura ma un insieme di principi guida per la progettazione del sistema IT aziendale e per i progetti che possono essere implementati per migliorare il posture di sicurezza di tutti i tipi di organizzazioni.

Il passaggio alla ZTA è quindi un percorso che deve essere progettato nel suo insieme, poiché riguarda il modo in cui un’organizzazione percepisce e affronta i rischi.
Non può essere realizzato semplicemente come una mera sostituzione tecnologica, è un processo.
Ecco perché NIST suggerisce di provare ad implementare in modo incrementale i principi della ZTA, i cambiamenti nel processo e le soluzioni tecnologiche che proteggono le risorse dati nelle attività di un’azienda.

La Sezione 2 della SP 800-207 elenca i principi fondamentali della ZTA:

• L’intera rete privata aziendale non è implicitamente considerata un’area affidabile. Le risorse dovrebbero sempre comportarsi come se un aggressore fosse presente nella rete aziendale, e la comunicazione dovrebbe avvenire nel modo più sicuro possibile. Ciò implica azioni come l’autenticazione di tutte le connessioni e la crittografia di tutto il traffico.
• I dispositivi nella rete potrebbero non essere di proprietà o configurabili dall’azienda. I visitatori esterni e/o i collaboratori possono considerare risorse che non sono di proprietà dell’azienda e che avranno bisogno di accedere alla rete per svolgere il loro ruolo. Ciò include le politiche BYOD (bring-your-own-device), che consentono ai dipendenti di un’azienda di utilizzare dispositivi personali per accedere alle risorse aziendali.
• Nessuna risorsa è intrinsecamente affidabile. Tutte le risorse devono essere valutate attraverso un PEP (Policy Enforcement Point) prima che sia consentito l’accesso alle risorse aziendali. Questa valutazione dovrebbe continuare per tutta la durata della sessione. Le credenziali del soggetto stesso non sono sufficienti per autenticare il dispositivo come appartenente a un dipendente dell’azienda.
• Non tutte le risorse aziendali si trovano su infrastrutture di proprietà dell’azienda. Le risorse includono soggetti aziendali remoti nonché servizi cloud.
• I soggetti remoti e i beni aziendali non possono fidarsi completamente della loro connessione di rete locale. Le risorse dovrebbero considerare che tutto il traffico è monitorato e potenzialmente modificato. Tutte le richieste di connessione devono essere autenticate e autorizzate, e tutte le comunicazioni dovrebbero avvenire nel modo più sicuro possibile.
• Le risorse e i flussi di lavoro che si muovono dentro e fuori dall’infrastruttura aziendale dovrebbero rispettare una politica e un posture di sicurezza adeguato. Le risorse e i carichi di lavoro dovrebbero mantenere il loro posture di sicurezza quando si spostano verso o lontano dalle proprietà aziendali. Ciò include i dispositivi che si spostano da reti aziendali a reti non aziendali (ad esempio, utenti remoti) e anche i flussi di lavoro che si spostano da data center on-premise al cloud o ad altri servizi situati al di fuori dell’azienda.

L’immagine seguente, tratta dalla SP 800-207, rappresenta il modello di accesso che dovrebbe essere applicato in una ZTA.

L’accesso è consentito alla risorsa attraverso un policy decision point (PDP) e un corrispondente policy enforcement point (PEP).
Il sistema deve garantire l’autenticità del soggetto e la validità della richiesta. PDP e PEP forniscono un giudizio appropriato per consentire al soggetto l’accesso alla risorsa.
Ciò implica un concetto fondamentale: la zero trust è applicata a due aree distinte: autenticazione e autorizzazione:

• autenticazione: ciò che ti dà il diritto di accedere alle risorse aziendali;
• autorizzazione: quali risorse ti è consentito accedere.

In generale, le aziende devono sviluppare e mantenere politiche dinamiche basate sul rischio per l’accesso alle risorse e configurare un sistema per garantire che queste politiche siano applicate correttamente e coerentemente per le singole richieste di accesso alle risorse.
Ciò significa che un’azienda non dovrebbe fidarsi dell’affidabilità implicita, per cui se un soggetto soddisfa un livello di autenticazione di base (come l’accesso a una risorsa), tutte le successive richieste di risorse sono considerate ugualmente valide.

All’interno di questa architettura ZTA, un ruolo importante è giocato da quella che il NIST definisce come “policy enforcement point” (PEP), ovvero il punto di applicazione delle politiche.
Questo sistema è responsabile dell’abilitazione, del monitoraggio e, se necessario, della terminazione delle connessioni tra un soggetto e le risorse aziendali.
Il PEP comunica con il PA (Policy Administrator, che definisce le politiche di sicurezza aziendale) per inoltrare le richieste e/o ricevere gli aggiornamenti delle politiche dal PA.
Al di sopra del PEP, c’è la “trust zone”, che ospita la risorsa aziendale.
Altri fattori fondamentali contribuiscono all’applicazione dell’Architettura Zero Trust:

• Enterprise public key infrastructure (PKI): questo sistema è responsabile della generazione e della registrazione dei certificati rilasciati dall’azienda a risorse, soggetti, servizi e applicazioni. Include anche l’ecosistema globale per le autorità di certificazione, che possono essere integrate o meno con la PKI aziendale;
• Sistema di gestione dell’identità: è responsabile della creazione, della gestione e della dismissione degli account degli utenti aziendali e dei record di identità (ad esempio, un server LDAP – Light Directory Access Protocol).
  Questo sistema include le informazioni necessarie sul soggetto (ad esempio, nome, indirizzo email, certificati) e altri dettagli aziendali come il ruolo, gli attributi di accesso e le risorse assegnate. Spesso utilizza altri sistemi (come una PKI) per gli artefatti associati agli account utente e può far parte di una comunità federale più ampia e può anche includere dipendenti esterni all’azienda o connessioni con risorse esterne per scopi di collaborazione.

In conclusione, l’Architettura Zero Trust è un processo complesso che implica attività coordinate.
L’obiettivo è che le risorse aziendali non dovrebbero essere raggiungibili senza accedere a un PEP. Le risorse aziendali non possono accettare connessioni casuali provenienti da Internet. Le risorse accettano connessioni personalizzate solo dopo che un client è stato autenticato e autorizzato. Questi percorsi di comunicazione sono configurati dal PEP.

Ciò impedisce agli aggressori di identificare i loro bersagli eseguendo scansioni e/o lanciando attacchi DoS contro risorse che si trovano dietro i PEP.

L’autore

Giorgio Sbaraglia, ingegnere, è un consulente e formatore sui temi della cyber security e della privacy.
Tiene corsi di formazione su questi argomenti per numerose importanti aziende italiane, tra cui ABIFormazione e la 24Ore Business School.
È il coordinatore scientifico del Master “Cybersecurity e Data Protection” della scuola di business 24Ore.

È membro del Comitato Scientifico CLUSIT (Associazione Italiana per la Cyber Security) e Innovation Manager certificato da RINA
Ricopre posizioni di DPO (Data Protection Officer) in aziende e Associazioni Professionali.

È autore dei seguenti libri:

• “GDPR kit di sopravvivenza” – “GDPR survival kit” (Edited by goWare)
• “Cybersecurity kit di sopravvivenza. Il web è un luogo pericoloso. Dobbiamo difenderci!” – “Cybersecurity survival kit. The web is a dangerous place. We must defend ourselves!” (Edited by goWare)
• “iPhone. Come usarlo al meglio. Scopriamo insieme tutte le funzioni e le app migliori” – “iPhone. How to use it to its full potential. Let’s discover together all the functions and best apps” (Edited by goWare)

Collabora con CYBERSECURITY360 una rivista online specializzata del gruppo Digital360 che si concentra su Cybersecurity.
Scrive anche per ICT Security Magazine, per Agenda Digitale e per la rivista CLASS.

Puoi attivare la protezione FlashStart® Cloud su qualsiasi tipo di Router e Firewall per proteggere i dispositivi desktop e mobile e i dispositivi IoT sulle reti locali.