Il decreto presidenziale del presidente Biden sulla sicurezza informatica è chiaro come il sole… L’architettura Zero Trust e un’infrastruttura modernizzata sono fondamentali per proteggere i dati della nazione da un panorama di minacce sempre più dilagante. Ne abbiamo constatato in prima persona gli effetti devastanti con un attacco ransomware che ha interrotto la distribuzione di benzina, causando interruzioni del servizio e un aumento dei prezzi in tutti gli Stati Uniti. Si tratta di un problema globale che, statisticamente, sta aumentando mese dopo mese rispetto allo scorso anno. https://www.blackfog.com/the-state-of-ransomware-in-2021/
In questo post del blog spiegherò perché lo Zero Trust è importante, cos’è e come rendere più solida la vostra infrastruttura adottando i principi dello Zero Trust con Commvault e Metallic.
Che cos’è lo “Zero Trust”?
Il modello Zero Trust non è una singola tecnologia o funzionalità. Il modello Zero Trust è un insieme di principi di progettazione per l’infrastruttura IT che applica un approccio basato sul principio “non fidarsi di nessuno; verificare sempre l’affidabilità” per l’accesso ai dati.
Un ottimo modo per comprendere l’architettura Zero Trust è pensare alla sicurezza domestica. Intorno al perimetro della tua casa ci sono telecamere, serrature, sensori alle finestre e una recinzione. In sostanza, tutti i tuoi beni sono al sicuro all’interno del perimetro della casa. Tuttavia, se inviti amici e conoscenti a prendere un caffè, autorizzi l’accesso alla tua abitazione: a quel punto, i tuoi effetti personali diventano accessibili e sono a rischio di furto.
L’esempio sopra riportato illustra perfettamente un approccio tradizionale alla sicurezza, in cui i firewall garantiscono la sicurezza perimetrale (tenendo fuori i malintenzionati) e le autorizzazioni degli utenti controllano l’accesso. Una volta che un malintenzionato riesce a entrare e ad accedere a credenziali privilegiate (cosa che spesso accade), spesso agisce indisturbato mentre si sposta lateralmente all’interno dell’ambiente causando danni.
Con un approccio Zero Trust, l’accesso privilegiato viene continuamente messo alla prova, limitando la capacità degli attori malintenzionati di muoversi e operare efficacemente. Tornando all’esempio della casa, anche se sono autorizzato ad accedere all’interno, le casseforti a combinazione, le serrature delle porte interne e le telecamere interne forniscono molteplici livelli di controllo e verifica. Pertanto, pur essendo autorizzato ad accedere alla casa, devo continuare a dimostrare la mia identità fornendo la combinazione della cassaforte o le chiavi delle porte delle camere da letto se volessi spostarmi all’interno dell’abitazione.
Principi fondamentali dello Zero Trust
La pubblicazione SP 800-207 del National Institute of Standards and Technology (NIST) rappresenta la guida di riferimento definitiva per l’architettura Zero Trust (ZTA). Molti dei principi delineati nella pubblicazione del NIST sono stati implementati sotto forma di Features e best practice, consentendo alla piattaforma Commvault di essere pienamente integrata in un’architettura Zero Trust. Inoltre, Metallic™ Data Management as a Service (DMaaS) è interamente progettato nel cloud, adottando fin dall’inizio i principi Zero Trust. Alcuni dei principi chiave delineati dal NIST sono l’accesso con privilegi minimi, l’autenticazione a più fattori e la microsegmentazione. Approfondiamo l’argomento.
Accesso con privilegi minimi – NIST SP 800-207, Sezione 2.1
Il concetto di accesso con privilegi minimi garantisce agli utenti e/o agli account le funzionalità strettamente necessarie per svolgere il proprio lavoro e nient’altro. Ciò riduce al minimo l’esposizione in caso di compromissione dell’account e limita le fughe di dati. Commvault è in grado di proteggere i dati di backup utilizzando controlli di accesso basati sui ruoli e speciali blocchi per la privacy dei dati. È facile limitare gli utenti a funzionalità specifiche, come il solo ripristino o la sola visualizzazione. È inoltre possibile limitare l’accesso alla navigazione e al ripristino ai soli proprietari dei dati, sostituendo esclusivamente eventuali autorizzazioni amministrative a livello globale. L’ulteriore integrazione con piattaforme di gestione degli accessi privilegiati (PAM) come CyberArk® migliora ulteriormente il livello di sicurezza attraverso la gestione degli account basata su policy, la rotazione delle credenziali e la gestione delle sessioni con privilegi.
Autenticazione a più fattori – NIST SP 800-207, sezione 2.1
L’autenticazione a più fattori (MFA) è un altro concetto fondamentale del modello Zero Trust. Poiché la fiducia deve essere continuamente convalidata, l’MFA fornisce un ulteriore livello di verifica per ogni richiesta di autenticazione, rendendo difficile per un attore malintenzionato ottenere l’accesso ai dati. Commvault e Metallic BaaS supportano implementazioni moderne dell’MFA attraverso il proprio framework di autenticazione basato su SAML. Utilizzando Azure AD, ADFS, Okta o altri IDP, Commvault consente ai clienti di implementare strumenti MFA basati su PIN e dispositivi di autenticazione hardware per controllare l’accesso ai dati nei backup.
Le implementazioni on-premises che utilizzano account AD o account locali dispongono di autenticazione a due fattori (2FA) integrata, consentendo alle organizzazioni di utilizzare qualsiasi applicazione per la generazione di PIN basata sull’algoritmo Time-based One-Time Password (TOTP) specificato nella RFC 6238, come Google Authenticator, Microsoft Authentication e molte altre.
Secondo le linee guida del NIST sull’identità digitale (NIST 800-63), a cui si fa riferimento nella pubblicazione ZTA, le tecnologie di autenticazione hardware offrono uno degli standard più elevati per l’autenticazione a più fattori (MFA), garantendo il livello 3 di sicurezza dell’autenticatore (Authenticator Assurance Level 3). Ciò include le tecnologie MFA che utilizzano specifiche moderne come FIDO/FIDO2. Commvault è completamente integrato con i dispositivi MFA FIDO/FIDO2, come quelli offerti tramite YubiKey di Yubico e le Common Access Card basate su PKI. Ciò massimizza completamente il livello di protezione dai tentativi di autenticazione illegittimi e garantisce la compatibilità futura del vostro ambiente di protezione dei dati.
Una volta effettuato l’accesso all’interfaccia di gestione, il sistema di autorizzazione dei comandi verifica la validità delle azioni eseguite all’interno dell’interfaccia stessa. Indipendentemente dal ruolo dell’utente, qualsiasi richiesta di cancellazione, ripristino o configurazione richiede l’autorizzazione da parte di un responsabile dell’approvazione. Ciò garantisce protezione dalle minacce interne, sia dolose che accidentali, e tutela i dati da azioni distruttive.
Microsegmentazione – NIST SP 800-207, sezione 3.1.2
La microsegmentazione è un altro principio fondamentale dello Zero Trust. La microsegmentazione è la tecnica che consiste nel separare le risorse sia a livello logico che fisico, al fine di rendere l’accesso estremamente restrittivo e controllato.
Le configurazioni on-premises possono utilizzare tecniche di segmentazione della rete per isolare e separare fisicamente (air gap) le destinazioni di archiviazione all’interno della rete. Una volta segmentata l’architettura di rete, applicare le topologie di rete Commvault per bloccare le connessioni in entrata verso la destinazione di archiviazione e automatizzare le politiche di accesso basate su whitelist, consentendo solo connessioni autenticate in uscita per trasferire i dati nel data vault sicuro. Molti dei nostri clienti scelgono inoltre di segmentare i dati nel cloud, sfruttando i controlli di archiviazione WORM offerti dal fornitore di servizi cloud.
Il servizio Metallic Cloud Storage Service (MCSS) offre un approccio “air gap” ancora più semplice, che non richiede alcuna modifica all’infrastruttura. MCSS è una destinazione di archiviazione cloud gestita da Metallic, che offre funzionalità di protezione dei dati offsite e sicure con “air gap” per la piattaforma Commvault. I dati protetti in MCSS sono immutabili e non possono essere consultati né esposti sull’account cloud di backend. I dati sono protetti nell’ambiente di Metallic, progettato secondo l’architettura zero-trust. Ciò fornisce un metodo semplice per segmentare e separare i dati da un ambiente on-premise.
Oltre alla segmentazione fisica, la gestione dei dati può avvenire anche a livello logico. Grazie ai controlli di multi-tenancy, l’accesso ai dati viene segmentato e compartimentato, riducendo il rischio di esposizione dei dati.
La gestione delle chiavi di crittografia può inoltre essere suddivisa tra diversi sistemi KMS, quali AWS Key Management Service, Azure KeyVault e uno dei numerosi fornitori certificati KMIP, garantendo così livelli più elevati di protezione contro l’accesso ai dati.
Architettura DMaaS Metallic
Per una piattaforma gestita interamente basata sul modello Zero Trust, Metallic è la scelta ideale. Metallic è una piattaforma SaaS multi-tenant con segregazione integrata tra i tenant. I dati dei clienti sono completamente isolati e archiviati in sedi separate, creando un “air-gap” virtuale tra gli ambienti di origine e le copie di backup dei dati. La sicurezza rafforzata e i controlli di accesso Zero Trust, tra cui l’autenticazione a più fattori, l’accesso basato sui ruoli, la crittografia avanzata dei dati e i blocchi di privacy, impediscono l’accesso non autorizzato ai dati e la loro diffusione laterale. Metallic soddisfa inoltre i più rigorosi standard di sicurezza del settore e garantisce la conformità alle normative HIPAA, ISO 27001, GDPR e SOC 2, oltre ad essere l’unica soluzione SaaS per la protezione dei dati ad aver ottenuto la certificazione FedRAMP High In Process – In PMO Review.
Conclusione
Come potete vedere, sia che si tratti di una soluzione Commvault on-premise, dell’utilizzo di Metallic DMaaS o di qualsiasi combinazione delle opzioni sopra citate, la piattaforma Commvault è protetta secondo i principi dell’architettura Zero Trust.
Per saperne di più, partecipate al prossimo webinar di Commvault “Going Beyond Trust”, in programma il 23 marzo.
