Convalida e monitoraggio continui

Zero Trust non termina con l'autenticazione. Le decisioni di accesso devono essere rivalutate continuamente durante le sessioni, sulla base di segnali di rischio in tempo reale. Una sessione attendibile alle 9:00 può diventare non attendibile alle 9:05 se il dispositivo è stato compromesso.

Segnali utilizzati per la verifica continua:

• Cambiamenti nello stato di conformità del dispositivo (avviso EDR, errore di aggiornamento)
• Anomalie nel comportamento dell'utente (orario di accesso o volume insoliti)
• Cambiamento di posizione (spostamento impossibile)
• Threat intelligence di rete (rilevata comunicazione C2)
• Anomalie nell'accesso alle applicazioni

L'autenticazione adattiva modifica dinamicamente i requisiti di autenticazione in base al rischio. Accesso a basso rischio (dispositivo noto, orario normale) → nessun ulteriore passaggio. Segnali di alto rischio → richiedere la riautenticazione o un'autenticazione MFA step-up. Gli IdP che tengono conto del contesto (Okta, Azure AD) implementano questo meccanismo.

Quando si attiva un segnale di rischio, le sessioni devono poter essere revocate immediatamente. Implementazione:

• Durata breve dei token (15 minuti) + refresh token
• Liste di revoca dei token
• Invalidazione della sessione SSO presso l'IdP
• Forzare la riautenticazione tramite backchannel logout OIDC

Il SIEM aggrega i log di tutte le fonti (IdP, endpoint, rete, applicazioni) e correla gli eventi per rilevare gli attacchi. Un SIEM Zero Trust monitora:

• Eventi e anomalie di autenticazione
• Escalation dei privilegi
• Accessi o esfiltrazioni di dati insoliti
• Violazioni delle policy

UEBA crea profili comportamentali di riferimento per utenti ed entità, quindi rileva le deviazioni:

• L'utente X accede sempre da NYC — generare un avviso se accede da Mosca
• Un account di servizio non effettua mai connessioni esterne — generare un avviso quando lo fa
• Anomalia nel volume dei download di dati — generare un avviso per un download 100 volte superiore al normale

Il threat hunting consiste nella ricerca proattiva di minacce che gli strumenti automatizzati non hanno rilevato. I threat hunter formulano ipotesi sulla base della threat intelligence e delle TTP di ATT&CK, quindi cercano prove nei log. Non aspettano gli avvisi: cercano attivamente gli attaccanti che si nascondono nell'ambiente.

Uno stack completo di osservabilità per il monitoraggio Zero Trust:

• Log: Elasticsearch + Kibana (ELK), Splunk
• Metriche: Prometheus + Grafana
• Tracce: Jaeger, Zipkin (tracing distribuito)
• Rete: Zeek, Suricata, VPC Flow Logs

Zero Trust si estende anche alla conformità continua:

• Gli strumenti CSPM analizzano continuamente le configurazioni cloud, non solo periodicamente
• Policy as Code (OPA/Rego) applica automaticamente la conformità
• Il rilevamento del drift genera avvisi quando le configurazioni si discostano dalla baseline

Il monitoraggio continuo alimenta la risposta automatizzata (SOAR):

• Isolare il dispositivo compromesso dall'IdP → bloccare immediatamente ogni accesso
• Bloccare contemporaneamente l'IP dannoso sul firewall e sul CDN
• Creare un ticket di incidente, avvisare il reperibile e mettere il sistema in quarantena

La velocità è importante: la risposta automatizzata opera in pochi secondi, rispetto ai minuti necessari per una risposta manuale.

Misurare i progressi verso Zero Trust:

• % di utenti con MFA resistente al phishing
• % di dispositivi registrati in MDM e conformi
• % di applicazioni accessibili tramite ZTNA rispetto alla VPN
• Tempo medio di rilevamento degli accessi anomali
• % di traffico est-ovest con TLS reciproco

Quale sistema crea profili comportamentali di riferimento per utenti ed entità, così da rilevare anomalie come spostamenti impossibili o download anomali di dati?

Zero Trust richiede una verifica continua oltre l'autenticazione iniziale. I segnali di rischio in tempo reale (stato del dispositivo, anomalie comportamentali, threat intelligence) attivano l'autenticazione adattiva o la revoca della sessione. SIEM + UEBA rilevano gli attacchi; il threat hunting individua ciò che l'automazione non rileva. SOAR automatizza la risposta in pochi secondi. Misurare la maturità Zero Trust tramite la copertura MFA, la registrazione MDM e le percentuali di traffico est-ovest con mTLS.