Abbiamo dedicato anni a concentrarci sulla sicurezza delle identità nel contesto delle persone: chi ha accesso, cosa può fare e come controllarlo. Quel modello aveva senso quando la maggior parte delle attività nell’ambiente era svolta da utenti umani. Ma ormai non è più così.
Le identità delle macchine – applicazioni, servizi, API e carichi di lavoro automatizzati – svolgono ormai un ruolo centrale nel funzionamento dei sistemi moderni. Si autenticano, comunicano ed eseguono attività, spesso senza una supervisione diretta. E in molti ambienti, superano già di gran lunga il numero delle identità umane.
In questa puntata di STRIVE, mi siedo a tavolino con Dan Conrad, Principal Technologist e collega Field CTO presso Commvault. Esaminiamo più da vicino cosa comporti questo cambiamento – non solo dal punto di vista della sicurezza, ma anche dal punto di vista della governance. E analizziamo perché così tante organizzazioni continuano a considerarlo una questione secondaria. Guarda l’episodio completo.
Punti chiave: Dove si sta spostando il rischio
- Le identità delle macchine stanno aumentando più rapidamente di quelle umane, spesso di ordini di grandezza superiori.
- I modelli di governance non hanno tenuto il passo, creando punti ciechi in termini di accesso e controllo.
- La visibilità rappresenta la sfida principale. Molti team non comprendono appieno come si comportano le identità delle macchine.
- La proliferazione dei privilegi va oltre gli utenti, poiché spesso sono le identità delle macchine a disporre di un accesso permanente.
- La resilienza dipende dalla comprensione e dalla gestione dell’ambito di competenza di queste identità delle macchine prima che diventino un problema.
Il modello di identità è cambiato
Per molto tempo, la gestione delle identità è stata relativamente semplice. Era possibile associare gli utenti ai ruoli, definire le politiche di accesso e implementare controlli basati su comportamenti prevedibili. Nonostante la complessità, il modello era comunque ancorato all’attività umana. Le identità delle macchine hanno stravolto quel modello. Vengono create dinamicamente, spesso nell’ambito dei processi di sviluppo o di implementazione. Interagiscono tra i sistemi in modi che non sono sempre visibili, ben documentati o sottoposti a revisione. E, a differenza degli utenti umani, non seguono un ciclo di vita ben definito: non vengono inserite né rimosse con lo stesso approccio strutturato.
Ciò crea un tipo diverso di sfida. Non si tratta più solo di controllare l’accesso. Si tratta di comprendere come tale accesso viene utilizzato, come si evolve e come si collega all’interno dell’ambiente.
Anteprima: non è possibile sferrare un attacco di phishing contro un’identità non umana
In questo estratto della discussione STRIVE, Dan spiega come gli aggressori non prendano di mira direttamente le identità non umane tramite il phishing: si tratta infatti di malintenzionati che utilizzano account umani compromessi tramite tecniche di ingegneria sociale come trampolino di lancio per elevare i privilegi e impersonare identità di macchina con ampi poteri. Una volta entrati nel sistema, tecniche come il “pass-the-hash” e gli account di servizio con privilegi eccessivi consentono agli aggressori di muoversi lateralmente e verticalmente, anche dopo la reimpostazione delle password.
Il divario di governance
Il vero problema non è l’esistenza delle identità delle macchine, ma il modo in cui vengono gestite. Nella maggior parte delle organizzazioni esiste una procedura ben definita per la gestione degli accessi del personale:
- Le richieste vengono approvate.
- Le autorizzazioni vengono verificate.
- Le modifiche vengono tracciate.
C’è un livello di disciplina che deriva da anni di attenzione all’identità degli utenti. Tuttavia, le identità delle macchine spesso non rientrano in questa struttura. Vengono create rapidamente per supportare applicazioni o processi di automazione. Vengono concesse le autorizzazioni necessarie per il loro funzionamento, a volte anche più del necessario. E con il passare del tempo, tali autorizzazioni permangono. Questi accessi sovradimensionati vengono raramente sottoposti a audit, rivisti e, cosa ancora più importante, raramente ridotti.
È qui che si crea il divario. Diventa difficile rispondere a domande fondamentali sull’accessibilità. Non perché le informazioni non esistano, ma perché non sono state organizzate o gestite in modo da renderle fruibili.
Visibilità prima del controllo
Quando le organizzazioni iniziano ad affrontare questo problema, la reazione istintiva è spesso quella di inasprire i controlli.
- Limitare le autorizzazioni
- Limitare l’accesso
- Applicare le nuove politiche
Ma il controllo senza visibilità non serve a granché. Se non si comprende come vengono utilizzate le identità, il contesto aziendale in cui si inseriscono — ovvero dove si collegano, con cosa interagiscono e come si spostano tra i sistemi —, allora qualsiasi tentativo di limitarle diventa reattivo e potrebbe comportare un rallentamento delle operazioni aziendali. Ecco perché la visibilità deve avere la priorità.
Una volta che si riesce a osservare il comportamento delle identità delle macchine, iniziano ad emergere degli schemi. Si può iniziare a capire dove l’accesso è eccessivo, dove esistono dipendenze e dove si concentra il Risk. Da lì, la governance può diventare più precisa ed efficace.
Un problema di privilegi di altro tipo
La proliferazione dei privilegi non è una novità. La maggior parte delle organizzazioni ha dedicato anni a cercare di gestire gli accessi eccessivi da parte degli utenti umani.
Le identità delle macchine introducono un problema simile, ma con una dinamica diversa. Il loro accesso è spesso integrato nei sistemi. È persistente, automatizzato e, una volta attivato, viene raramente messo in discussione. Ciò lo rende più difficile da individuare e più facile da trascurare. E quando qualcosa va storto, tali identità possono diventare un punto di accesso che gli autori degli attacchi possono sfruttare
Da dove cominciare
Per la maggior parte delle organizzazioni, la sfida non è la consapevolezza, ma capire da dove cominciare. Il primo passo non è una trasformazione radicale. È fare chiarezza. Capire quante identità delle macchine esistono. Dove vengono create. Quali autorizzazioni hanno. Come vengono utilizzate. E, cosa più importante, confermare che a un utente umano sia associata una serie di identità non umane ai fini della verificabilità e della responsabilità.
Queste domande sembrano semplici, ma spesso è difficile rispondere. Ed è proprio per questo che sono importanti. Perché una volta che si riesce a rispondere, non si opera più alla cieca.
Guarda l’episodio completo
In questa puntata di STRIVE approfondiamo il modo in cui le identità delle macchine stanno cambiando il modo in cui le organizzazioni dovrebbero concepire l’accesso, la governance e la resilienza. Si tratta di una discussione concreta su ciò che sta accadendo oggi e su ciò che dovrà cambiare in futuro. Guardalo subito.
Risorse
Se vuoi saperne di più su questo argomento, dai un’occhiata a questo e-book sulle identità non umane.
Domande frequenti
D: Che cos’è un’identità macchina?
R: Un’identità macchina è un’identità non umana utilizzata da applicazioni, servizi o sistemi per autenticarsi e interagire con altre risorse.
D: Perché le identità delle macchine stanno diventando un rischio sempre maggiore?
R: Perché il loro numero è in aumento, spesso dispongono di un accesso permanente e non sono sempre soggette a regole altrettanto rigide rispetto agli utenti umani.
D: In che modo si differenziano dalle identità degli utenti?
R: Funzionano in modo continuo, sono integrate in flussi di lavoro automatizzati e spesso non dispongono di una gestione strutturata del ciclo di vita.
D: Qual è la sfida più grande che le organizzazioni devono affrontare nella gestione delle identità non umane?
R: La visibilità. Molti team non hanno un quadro chiaro del numero di identità delle macchine che vengono create, utilizzate o interconnesse.
D: Che impatto ha tutto ciò sulla resilienza?
A: Se compromesse, le identità delle macchine possono consentire a un attore malintenzionato di spostarsi rapidamente da un sistema all’altro, rendendo più difficile contenere gli incidenti e ripristinare la situazione.
D: Da dove dovrebbero iniziare le organizzazioni?
A: Identificando le identità delle macchine, comprendendone le autorizzazioni e definendo pratiche di governance adeguate alla loro portata e complessità. E, cosa più importante, verificando che a un utente umano sia associata una serie di identità non umane ai fini della verificabilità e della responsabilità.
Vidya Shankaran è Field CTO presso Commvault.
