Principi Zero Trust: mai fidarsi, verificare sempre

Zero Trust è un modello di sicurezza basato sul principio che nessun utente, dispositivo o rete debba essere considerato attendibile per impostazione predefinita, anche se si trova all'interno del perimetro aziendale. La sicurezza tradizionale presumeva che tutto ciò che si trovava dietro il firewall fosse sicuro, ma gli attacchi moderni dimostrano regolarmente che questa supposizione è errata. Zero Trust sostituisce la fiducia implicita con una verifica esplicita e continua per ogni richiesta di accesso.

Zero Trust si basa su tre principi fondamentali. Verificare esplicitamente significa autenticare e autorizzare ogni richiesta utilizzando tutti i segnali disponibili. Utilizzare il privilegio minimo limita l'accesso esclusivamente a ciò che è necessario per l'attività da svolgere. Presumere una violazione significa progettare i sistemi come se gli aggressori fossero già presenti al loro interno, concentrando le difese sulla limitazione dei danni e sul rilevamento rapido dei movimenti laterali.

Il modello tradizionale del castello con fossato proteggeva il confine della rete con firewall e VPN, ma concedeva un'ampia fiducia una volta entrati. Le minacce moderne, come i carichi di lavoro cloud, i lavoratori da remoto, le app SaaS e le minacce interne, rendono sempre meno significativo il concetto di «interno al perimetro». Una singola credenziale sottratta tramite phishing può garantire agli aggressori l'accesso completo alla rete interna. Zero Trust elimina la supposizione che ciò che è interno sia attendibile.

In Zero Trust, l'identità diventa il piano di controllo principale. Invece di considerare attendibile una posizione di rete (indirizzo IP, VLAN), ogni richiesta deve presentare un'identità verificata: utente, dispositivo, carico di lavoro o servizio. I provider di identità (IdP), come Azure AD o Okta, valutano continuamente i segnali: chi effettua la richiesta, da quale dispositivo, da quale posizione e con quale livello di rischio.

Zero Trust richiede che, oltre agli utenti, vengano verificati anche i dispositivi. Un dispositivo conforme deve soddisfare determinati requisiti di sicurezza: patch aggiornate, crittografia del disco abilitata, agente EDR in esecuzione e assenza di jailbreak o rooting. Le piattaforme di Mobile Device Management (MDM) e di Endpoint Detection and Response (EDR) forniscono questi dati sullo stato al motore dei criteri al momento dell'accesso.

Le VPN tradizionali concedono un accesso a livello di rete: una volta connessi, gli utenti possono raggiungere numerose risorse. Zero Trust lo sostituisce con un accesso a livello di risorsa: ogni applicazione o servizio concede l'accesso individualmente in base all'identità, allo stato del dispositivo e al contesto. Questo risultato si ottiene tramite Software-Defined Perimeters (SDP) e prodotti Zero Trust Network Access (ZTNA), che rendono invisibili le risorse finché l'accesso non viene concesso esplicitamente.

Presumere una violazione significa progettare e gestire i sistemi come se gli aggressori avessero già penetrato l'ambiente. Questa postura promuove pratiche fondamentali: crittografare tutto il traffico interno per impedire di osservare i movimenti laterali, registrare ogni attività per le analisi a posteriori, implementare la micro-segmentazione per limitare il raggio d'impatto e svolgere un monitoraggio continuo invece di audit eseguiti solo in determinati momenti.

In Zero Trust, il privilegio minimo va oltre RBAC. L'accesso just-in-time (JIT) concede autorizzazioni elevate solo quando sono necessarie e le revoca automaticamente dopo un limite di tempo. Il modello just-enough-access (JEA) limita le azioni amministrative a comandi specifici. Questi approcci riducono drasticamente la finestra di esposizione in caso di compromissione di un account privilegiato, poiché le credenziali scadono rapidamente e l'ambito è ristretto.

Zero Trust sostituisce il modello autenticazione una volta, fiducia per sempre con la verifica continua. Dopo l'autenticazione iniziale, il motore dei criteri monitora i segnali per tutta la durata della sessione: download insoliti di dati, accesso da una nuova posizione geografica, attività fuori dall'orario lavorativo o variazioni dello stato del dispositivo. Se il rischio aumenta durante la sessione, il sistema può aumentare il livello di autenticazione (richiedendo nuovamente l'MFA) oppure terminare completamente la sessione.

Il motore dei criteri Zero Trust è il punto decisionale che valuta le richieste di accesso. Riceve segnali dai provider di identità, dai sistemi di gestione dei dispositivi, dalle fonti di intelligence sulle minacce e dagli strumenti di analisi comportamentale, quindi applica i criteri per consentire, negare o sottoporre a verifica ogni richiesta. Le moderne piattaforme cloud implementano questa funzione tramite Conditional Access (Azure AD), Access Context Manager (Google BeyondCorp) e gateway ZTNA.

Gli ambienti cloud sono il contesto naturale per Zero Trust, perché non esiste un perimetro fisico da difendere. Ogni chiamata API, comunicazione tra servizi e richiesta di accesso da parte di un utente può essere regolata tramite criteri IAM cloud, service mesh (come Istio con TLS reciproco) e soluzioni ZTNA cloud-native. Il modello di responsabilità condivisa presuppone già che non si possa considerare attendibile l'infrastruttura sottostante: Zero Trust estende questo principio agli utenti e ai carichi di lavoro.

Verificate la vostra comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione avete imparato che: Zero Trust sostituisce la fiducia perimetrale implicita con una verifica esplicita continua; i tre pilastri sono verificare esplicitamente, utilizzare il privilegio minimo e presumere una violazione; e l'identità diventa il piano di controllo principale, sostituendo la posizione di rete come confine della fiducia. Ora esploreremo la micro-segmentazione e i perimetri definiti dal software, che applicano Zero Trust a livello di rete.