Accesso just-in-time e policy di accesso condizionale

Il privilegio permanente significa che un utente dispone continuamente di un accesso elevato, 24 ore su 24 e 7 giorni su 7, che ne abbia bisogno o meno. Questo è il modello tradizionale per gli account amministratore: l'amministratore può accedere ai sistemi di produzione in qualsiasi momento, anche alle 3 di notte di domenica, quando non è in corso alcuna attività legittima. Il privilegio permanente aumenta notevolmente la superficie di rischio: la compromissione delle credenziali di amministratore fornisce immediatamente agli aggressori un accesso elevato, senza che siano necessari ulteriori passaggi.

L'accesso Just-in-Time (JIT) sostituisce il privilegio permanente con un'elevazione temporanea su richiesta. Quando un amministratore necessita di un accesso privilegiato, lo richiede indicando una motivazione aziendale. La richiesta viene approvata (automaticamente o da un responsabile), il privilegio viene concesso per un intervallo di tempo definito (ad esempio, 1 ora) e poi scade automaticamente. Durante tale intervallo, tutte le attività vengono monitorate. Alla scadenza, l'amministratore non dispone più di accesso privilegiato finché non presenta una nuova richiesta.

Azure Privileged Identity Management (PIM) è l'implementazione cloud di Microsoft dell'accesso JIT. Agli utenti viene assegnata l'idoneità per i ruoli privilegiati (ad esempio, Global Administrator), ma non ricoprono continuamente il ruolo. Quando necessario, attivano il ruolo dal portale Azure, forniscono una motivazione, possono dover usare MFA e ottenere un'approvazione e ricevono il ruolo per una durata configurata (massimo 8 ore per la maggior parte dei ruoli). PIM genera log di audit per ogni attivazione ai fini della reportistica di conformità.

Conditional Access è un motore di criteri «se-allora» che valuta i segnali contestuali prima di concedere l'accesso. Invece di consentire o negare l'accesso in modo binario basandosi solo sulle credenziali, l'accesso condizionale considera: Chi sta effettuando l'accesso (identità dell'utente e appartenenza ai gruppi), Che cosa sta tentando di utilizzare (applicazione o dati), Dove si trova (indirizzo IP, posizione), Quando (ora del giorno), Come (stato di conformità del dispositivo, browser o app nativa) e il Rischio (punteggio di rischio dell'accesso fornito dal provider di identità).

I criteri di accesso condizionale valutano simultaneamente più segnali. Tra i principali figurano: Conformità del dispositivo (il dispositivo è gestito da MDM e soddisfa i requisiti di sicurezza di base?), Posizione (l'IP si trova in una posizione attendibile denominata o in un paese estero?), Rischio dell'accesso (l'intelligenza artificiale del provider di identità ha segnalato questo accesso come anomalo — posizione insolita, credenziali divulgate, viaggio impossibile?) e Rischio dell'utente (per questo account risultano indicazioni di compromissione provenienti da informazioni del dark web?).

Quando un criterio di accesso condizionale corrisponde alle condizioni, il controllo di concessione determina che cosa deve fare l'utente. Le opzioni includono: Bloccare completamente l'accesso, Richiedere MFA, Richiedere un dispositivo conforme, Richiedere un'app client approvata (sono consentite solo app gestite), Richiedere la modifica della password (se le credenziali sono a rischio) oppure combinazioni di questi controlli. I controlli di concessione consentono alle organizzazioni di aumentare i requisiti di sicurezza in base al livello di rischio dell'accesso richiesto.

Oltre ai controlli di concessione, l'accesso condizionale può applicare controlli di sessione che limitano ciò che gli utenti possono fare dopo l'autenticazione. Tra gli esempi figurano: applicare una frequenza di accesso (richiedere una nuova autenticazione ogni ora), limitare il download di file sensibili da dispositivi non gestiti, applicare i criteri di Microsoft Defender for Cloud Apps per il monitoraggio della sessione in tempo reale e limitare le operazioni di copia e incolla nelle applicazioni sensibili utilizzate da posizioni non attendibili.

Le posizioni denominate nell'accesso condizionale definiscono intervalli IP o aree geografiche attendibili. L'accesso da una posizione denominata attendibile (ad esempio, gli intervalli IP della sede aziendale) può essere concesso con minori limitazioni (senza richiedere MFA). L'accesso dall'esterno delle posizioni denominate, soprattutto da paesi ad alto rischio, attiva ulteriori requisiti di autenticazione. La combinazione delle posizioni denominate con il rilevamento dei viaggi impossibili (un utente risulta trovarsi in due località distanti nel giro di pochi minuti) blocca gli scenari di compromissione delle credenziali.

L'accesso condizionale basato sul rischio utilizza i segnali di machine learning del provider di identità per valutare il rischio dell'accesso in tempo reale. Microsoft Entra ID (in precedenza Azure AD) assegna un punteggio di rischio dell'accesso (Basso/Medio/Alto) in base a fattori come credenziali divulgate nei database del dark web, modelli di accesso anomali e indirizzi IP associati a malware. Un accesso ad alto rischio può richiedere automaticamente la reimpostazione della password oltre all'MFA, proteggendo gli account anche prima che un team IT esamini l'avviso.

I criteri di accesso condizionale e l'accesso JIT introducono un rischio: se il provider di identità stesso non è disponibile, gli amministratori potrebbero rimanere esclusi dai sistemi necessari per ripristinarlo. Gli account break glass (account di accesso di emergenza) sono account con privilegi elevati esclusi dai criteri di accesso condizionale, le cui credenziali sono conservate in una cassaforte fisica e che vengono utilizzati solo in vere emergenze. Il loro utilizzo dovrebbe generare immediatamente avvisi e una revisione post-incidente, perché qualsiasi utilizzo al di fuori di un'emergenza dichiarata è un segnale d'allarme.

L'accesso JIT e i criteri di accesso condizionale operano insieme come controlli complementari. L'accesso condizionale controlla se un utente può autenticarsi e quali controlli deve superare. L'accesso JIT controlla quale ruolo privilegiato riceve l'utente dopo l'autenticazione e per quanto tempo. Insieme, applicano il principio zero trust del non fidarsi mai, verificare sempre: ogni richiesta di accesso viene valutata nel relativo contesto, il privilegio è temporaneo e tutte le azioni vengono registrate.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha appreso che: l'accesso just-in-time sostituisce il privilegio permanente con un'elevazione temporanea su richiesta, con scadenza automatica, i criteri di accesso condizionale valutano i segnali contestuali (dispositivo, posizione, rischio) prima di concedere l'accesso e gli account break glass forniscono un accesso di emergenza escluso dai criteri normali, ma devono essere sottoposti a controlli e monitoraggio rigorosi. Nella prossima lezione esamineremo il modello di responsabilità condivisa tra IaaS, PaaS e SaaS.