Riuscire a entrare in possesso delle credenziali di utenti autorizzati ad accedere a dati e funzioni di sistema sensibili è il sogno di tutti gli hacker. Come impostare una gestione sicura di account spesso attribuiti a persone esterne all’organizzazione?
“Superuser”, un termine molto temuto dai responsabili della sicurezza: chi accede a un sistema informatico aziendale come utente privilegiato ha in mano la chiave a informazioni e funzionalità che i criminali informatici possono sfruttare a loro vantaggio. La compromissione di un account privilegiato è un’eventualità da contrastare in tutti i modi, e una conoscenza più approfondita e aggiornata del fenomeno può tradursi in barriere più efficaci.
Spesso si tende a considerare questo tipo di minaccia come una semplice questione interna, l’occasione che trasforma in ladro un membro non autorizzato della propria organizzazione. Nell’era del cloud computing i pericoli possono venire anche dall’esterno, da una terza parte. Un partner, un fornitore di servizi, l’amministratore di sistema di un operatore di cloud pubblico, i contatti sui social network… Queste sono le nuove fonti di compromissioni da cui tutelarsi. Non è neanche detto che il superuser sia di natura umana: in una architettura cloud anche un semplice script automatico dispone di credenziali d’accesso che possono far gola ai malintenzionati.
Tecniche di attacco
L’obiettivo, per questi ultimi, è sempre lo stesso: violare la barriera delle password e degli altri sistemi di autenticazione ed entrare in possesso di credenziali privilegiate per farne cattivo uso. Il primo passo in genere è quello dell’identificazione dell’account giusto, ma per quello oggi basta un social network professionale come LinkedIn, dove funzioni e mansioni aziendali sono in bella mostra. Una seconda manovra consiste nel nascondere le proprie tracce dopo la compromissione, disabilitando i login o installando opportuni malware. Arrivati a questo punto, i falsi utenti privilegiati sono più liberi di agire per raggiungere i propri obiettivi, che spesso comportano ulteriori livelli di violazione di altre reti e sistemi.
Privilegi gestiti
Dall’interno dell’organizzazione si possono individuare tre fondamentali passi di una strategia efficace di gestione delle utenze privilegiate. Il primo consiste nell’uso di procedure e sistemi di autenticazione capaci di filtrare e impedire all’origine gli accessi non autorizzati. È consigliabile forzare il passaggio attraverso un gateway virtuale su cui sia stato implementato un sistema di autenticazione forte, integrato con l’infrastruttura già adibita alla gestione delle identità. Il sistema deve supportare repository di identità più consolidati, come Active Directory, le directory Ldap o, in ambienti sensibili, Radius o Tacacs+. Tutti questi sistemi sono in grado di definire l’identità degli utenti privilegiata associandola direttamente ai rispettivi ruoli e autorizzazioni, dati che possono servire per gestire correttamente gli accessi. Critica è l’adozione di sistemi di autenticazione multi-fattore (Mfa) per rendere ancora più difficili le violazioni. Ulteriori contromisure si basano per esempio sull’analisi degli indirizzi IP da cui originano le richieste di accesso, imponendo per esempio delle specifiche fasce orarie fuori dalle quali disabilitare il login. Un altro aspetto importante riguarda la salvaguardia delle credenziali stesse, attraverso sistemi di gestione e protezione delle password.
Fiducia zero, ma tanti log
Purtroppo, molte reti aziendali sono strutturate in modo da far coincidere l’autenticazione con questa prima fase di controllo degli accessi. L’hacker che riesce a superare questa prima barriera è abbastanza libero di muoversi, attaccando altri sistemi. Una politica efficace contro questo rischio è una procedura di single sign-on “zero trust” in cui autenticazione e accesso sono separati, lasciando che anche un utente privilegiato abbia visibilità e possa accedere solo ed esclusivamente alle risorse per cui sono state rilasciate le necessarie credenziali.
Infine, il terzo ingrediente della ricetta anti-violazione è fatto di monitoraggio, registrazione delle attività e tanta analisi. Dallo studio dei comportamenti potenzialmente sospetti si possono correggere gli errori e chiudere le falle, ma non solo: la consapevolezza di essere monitorati in ogni loro gesto induce i superuser a comportamenti più prudenti e meno vulnerabili.
Antonio Rizzi, Sr Director, CA Services Security EMEA, CA Technologies
