Metodi sicuri per l'accesso remoto

L'accesso remoto consente ad amministratori e utenti di connettersi ai sistemi e gestirli a distanza. È essenziale per il lavoro IT e per il lavoro da remoto, ma rappresenta anche un obiettivo privilegiato, perché ogni punto di accesso alla rete può essere attaccato.

L'obiettivo è consentire di lavorare comodamente da remoto mantenendo al contempo questi metodi di accesso protetti dagli intrusi.

SSH (Secure Shell) è lo standard per gestire in modo sicuro server e dispositivi di rete da remoto tramite un canale crittografato, usando la porta TCP 22. Ha sostituito il vecchio e pericoloso Telnet.

SSH crittografa tutto, incluso l'accesso, quindi le credenziali e i comandi non possono essere intercettati. Può anche utilizzare l'autenticazione basata su chiavi, più sicura e comoda delle password.

Telnet (porta 23) offre l'accesso remoto alla riga di comando, ma invia tutto, comprese le password, in testo in chiaro. Chiunque intercetti il traffico può leggerlo interamente.

Telnet non dovrebbe mai essere utilizzato su reti non attendibili. Riconoscere gli strumenti legacy non sicuri e sostituirli con equivalenti crittografati come SSH è una responsabilità fondamentale per la sicurezza di qualsiasi tecnico.

Per l'accesso grafico, RDP (Remote Desktop Protocol, porta 3389) fornisce da remoto un desktop completo di una macchina Windows. VNC (Virtual Network Computing) è un'alternativa multipiattaforma.

Sono strumenti potenti, ma fortemente presi di mira. Esporre direttamente RDP su Internet è rischioso: dovrebbe trovarsi dietro una VPN o un gateway, con autenticazione forte e blocco degli account per contrastare gli attacchi brute-force.

La gestione out-of-band fornisce un percorso separato per gestire i dispositivi anche quando la rete principale è inattiva, spesso tramite una porta console dedicata, un'interfaccia di gestione o un modem cellulare.

È fondamentale per ripristinare un sito remoto dopo un'interruzione: se la rete di produzione si guasta, il canale out-of-band consente comunque all'amministratore di raggiungere i dispositivi per diagnosticarli e ripararli.

Una jump box (o bastion host) è un server gateway protetto e monitorato a cui gli amministratori si connettono per primo, per poi passare da lì ai sistemi interni.

Convogliando tutta l'amministrazione remota attraverso un unico punto di passaggio controllato e sottoposto a logging, si riduce il numero di porte d'ingresso, si semplifica il monitoraggio e si impedisce che i dispositivi interni siano esposti direttamente alle connessioni remote.

Ogni metodo di accesso remoto dovrebbe richiedere l'MFA (Multi-Factor Authentication). L'accesso remoto è spesso preso di mira tramite password rubate o indovinate, quindi un secondo fattore è fondamentale.

Con l'MFA, anche una password divulgata non consente l'accesso, perché all'attaccante manca comunque la seconda prova. Per l'accesso remoto esposto su Internet, l'MFA è ormai considerato essenziale, non facoltativo.

Una soluzione efficace consiste nel richiedere prima una VPN e consentire poi la gestione remota solo dall'interno di quel tunnel. In questo modo, strumenti come RDP e SSH non vengono mai esposti direttamente su Internet.

Posizionare i metodi di accesso remoto dietro una VPN offre una difesa in profondità: un attaccante deve prima compromettere la VPN, prima ancora di poter tentare di raggiungere i servizi di gestione.

Le misure pratiche di hardening includono: cambiare con cautela le porte predefinite, disabilitare i servizi inutilizzati, applicare il principio del privilegio minimo, abilitare il blocco degli account, mantenere il software aggiornato, limitare gli IP di origine autorizzati a connettersi e registrare tutti gli accessi.

Ogni misura riduce la superficie di attacco. Insieme, trasformano l'accesso remoto da una responsabilità in una funzionalità controllata e monitorata, difficile da sfruttare per gli attaccanti.

È sempre necessario registrare e monitorare l'attività di accesso remoto. Prestate attenzione agli accessi effettuati in orari insoliti, da località inusuali o ai ripetuti tentativi falliti, che possono indicare tentativi brute-force.

Generare avvisi per questi schemi consente di rilevare tempestivamente una compromissione. Poiché l'accesso remoto è uno dei principali vettori di attacco, sapere chi si connette e in che modo è una delle difese più preziose a disposizione.

L'accesso remoto sicuro utilizza SSH (non Telnet) per la gestione dalla riga di comando e RDP/VNC per l'accesso grafico, idealmente dietro una VPN e una jump box. La gestione out-of-band garantisce l'accesso durante le interruzioni. Proteggete tutto con MFA, privilegio minimo, restrizioni sugli IP di origine, hardening e logging completo.

Verificate le vostre conoscenze sull'accesso remoto.

L'accesso remoto sicuro si basa su SSH (che sostituisce il Telnet in testo in chiaro) e su RDP/VNC per le sessioni grafiche, idealmente dietro una VPN e una jump box. La gestione out-of-band funziona durante le interruzioni. Proteggete tutti gli accessi con MFA, privilegio minimo, restrizioni sugli IP di origine, hardening e logging.