Articolo Pubblicazioni

Zero Trust: vantaggi e svantaggi del modello

di · Pubblicato il 1° settembre 2019

Abstract

L’articolo presenta il modello Zero Trust, che rinuncia alla fiducia implicita nella rete interna e verifica ogni accesso in base a identità, dispositivo e contesto. Ne descrive i cinque principi, dalla verifica esplicita alla presunzione di compromissione, e le componenti dell’architettura, dall’IAM con autenticazione a più fattori alla segmentazione e alla raccolta dei log. Confronta vantaggi e svantaggi, tra cui la difficoltà di integrare i sistemi legacy, e propone un’adozione graduale a partire dalle risorse più critiche.

Il modello di sicurezza tradizionale divide il mondo in due, un interno affidabile protetto dal perimetro e un esterno da cui difendersi. Questa divisione regge sempre meno. Applicazioni in cloud, dispositivi personali, fornitori collegati da remoto e attaccanti capaci di restare a lungo nella rete dopo aver superato il primo varco rendono il perimetro poroso.
Vincenzo Calabrò | Zero Trust: vantaggi e svantaggi del modello
Lo Zero Trust parte dal presupposto opposto. Nessun utente, dispositivo o flusso di rete è affidabile per il solo fatto di trovarsi all’interno, e ogni accesso va verificato in base all’identità, allo stato del dispositivo e al contesto. Il termine è stato introdotto da John Kindervag di Forrester Research nel 2010 e ha trovato una prima applicazione su larga scala nel progetto BeyondCorp di Google, descritto a partire dal 2014.

I principi

Il modello si regge su cinque principi:
  • verifica esplicita, perché ogni richiesta di accesso viene autenticata e autorizzata in base a identità, dispositivo, posizione e sensibilità della risorsa;
  • privilegio minimo, cioè ogni utente e ogni servizio ottiene solo i permessi necessari e solo per il tempo necessario;
  • microsegmentazione, che divide la rete in zone piccole e isolate e ostacola i movimenti laterali;
  • monitoraggio continuo dei comportamenti, per riconoscere anomalie anche dopo che l’accesso è stato concesso;
  • presunzione di compromissione, cioè progettare i controlli come se l’attaccante fosse già dentro, per limitare il danno che può causare.

Le componenti dell’architettura

Lo Zero Trust è un modello e richiede più tecnologie che collaborano. Il cuore è il punto in cui si decide l’accesso, che riceve informazioni da diverse fonti e applica le politiche. In un’architettura tipica troviamo:
  • un sistema di gestione delle identità e degli accessi (IAM) con autenticazione a più fattori;
  • strumenti di gestione dei dispositivi che ne verificano lo stato, per esempio gli aggiornamenti installati e la cifratura del disco;
  • gateway e proxy che mediano l’accesso alle applicazioni web e cloud, come i secure web gateway;
  • firewall di nuova generazione e controlli di rete per la segmentazione;
  • soluzioni di Endpoint Detection and Response (EDR) e di Data Loss Prevention (DLP);
  • un sistema di raccolta e correlazione dei log, che alimenta il monitoraggio e le indagini.

I vantaggi

Il primo vantaggio è la riduzione della superficie d’attacco. Se ogni accesso è verificato e limitato, un account compromesso o un dispositivo infetto consentono all’attaccante di raggiungere poche risorse, e i suoi movimenti diventano più visibili.
Il modello si adatta bene agli ambienti distribuiti, perché tratta allo stesso modo l’utente in sede e quello in viaggio, il server nel data center e il servizio in cloud. Migliora la visibilità su chi accede a cosa, un’informazione utile anche per dimostrare la conformità al GDPR. Per gli utenti l’esperienza può persino migliorare, quando l’autenticazione unica e l’accesso diretto alle applicazioni sostituiscono VPN lente e password diverse per ogni sistema.

Gli svantaggi

Adottare lo Zero Trust richiede tempo e risorse. Le difficoltà più frequenti sono:
  • l’integrazione con sistemi legacy che non supportano l’autenticazione moderna né una segmentazione fine;
  • i costi iniziali per nuove tecnologie, consulenza e formazione;
  • la complessità delle politiche di accesso, che vanno scritte, provate e mantenute nel tempo;
  • la dipendenza dal sistema di identità e dal punto di decisione, che diventano componenti critici da proteggere e rendere ridondanti;
  • l’impatto sugli utenti, se i controlli vengono introdotti senza curarne l’usabilità.

Un esempio

Un caso in cui il modello mostra subito il suo valore è l’accesso dei fornitori. In molte aziende il tecnico esterno che cura un gestionale o un impianto riceve un account VPN che lo porta dentro la rete interna, con la possibilità di raggiungere molto più del sistema che deve mantenere. Se le sue credenziali vengono rubate, l’attaccante eredita lo stesso accesso.
In un’impostazione zero trust il fornitore accede attraverso un gateway che pubblica solo l’applicazione o il server di sua competenza. L’accesso richiede autenticazione a più fattori, è consentito negli orari concordati e viene registrato. Gli account sono nominativi, e ogni tecnico ha il proprio, così che si sappia sempre chi ha fatto che cosa. Quando il contratto termina, la revoca di un solo account chiude ogni possibilità di ingresso.
Lo stesso schema si estende poi agli amministratori interni e agli utenti in mobilità. Partire dai fornitori ha il vantaggio di affrontare un rischio concreto con un perimetro limitato, su cui misurare costi, tempi e reazioni degli utenti prima di procedere.

Come adottarlo

Lo Zero Trust si raggiunge per gradi. Conviene partire dall’inventario di utenti, dispositivi e applicazioni, individuare le risorse più critiche e proteggerle per prime con autenticazione forte e accesso limitato. Seguono la segmentazione delle reti più sensibili, la verifica dello stato dei dispositivi e l’estensione progressiva dei controlli al resto dell’infrastruttura.
Accanto alla tecnologia servono politiche chiare, formazione del personale e un responsabile che segua il programma nel tempo. Con questo impegno lo Zero Trust diventa un modo stabile di progettare la sicurezza, utile soprattutto alle organizzazioni che hanno già aperto i propri sistemi al cloud, al lavoro da remoto e ai fornitori esterni.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn