Le integrazioni di Backup and Recovery dipendono dalla sicurezza delle credenziali dei carichi di lavoro. Una singola credenziale compromessa può consentire l’accesso ben oltre i confini di un singolo sistema, e gli autori delle minacce lo sanno bene.
La migliore credenziale statica è quella che non si possiede. Ove possibile, passare dall’autenticazione basata su secret a identità gestite o altri approcci “senza secret”, in modo che le credenziali vengano emesse, protette e ruotate dalla piattaforma anziché essere archiviate e gestite manualmente. Tuttavia, ci rendiamo conto che ciò non è sempre possibile per alcuni sistemi e configurazioni legacy.
La buona notizia: anche quando si utilizzano secret a lunga durata, l’adozione di buone pratiche di sicurezza può ridurre il rischio e la portata di un evento.
Questo post Delinea una routine pratica che può aiutare a garantire che la vostra azienda rimanga resiliente alle minacce informatiche: ruotate le credenziali, riducete al minimo l’ambito di applicazione e applicate l’accesso condizionale ove possibile.
Il punto di partenza: tre controlli fondamentali
Una solida gestione delle credenziali si basa su tre pilastri: rotazione, principio del privilegio minimo e accesso condizionale. Sebbene non sia sempre possibile implementarli tutti e tre per ogni tipo di credenziale, questi sono i punti di partenza giusti per qualsiasi ambiente:
- Rotazione e monitoraggio: ruotate regolarmente le credenziali e monitorate l’attività di autenticazione alla ricerca di anomalie.
- Privilegio minimo: limitate l’ambito delle autorizzazioni in modo che le credenziali possano eseguire solo le azioni di backup/ripristino necessarie. Alcuni passaggi pratici includono:
- Separare le credenziali in base al carico di lavoro.
- Limitare le autorizzazioni al minimo necessario per insiemi di dati, siti, caselle di posta o database.
- Evitare ruoli amministrativi di ampia portata, a meno che non siano assolutamente necessari.
- Accesso condizionale: Laddove supportato, impostare criteri per limitare quando e dove le credenziali possono essere utilizzate, ad esempio:
- Posizioni e intervalli IP attendibili
- Segnali di rischio
- Controlli su dispositivi e sessioni
Quando l’accesso condizionale non è fattibile, la rotazione delle credenziali funge da controllo compensativo
Non tutti i tipi di credenziali soddisfano i requisiti dell’accesso condizionale. In questi casi, la rotazione limita il periodo di utilità di una credenziale rubata, mentre il monitoraggio aiuta a individuare rapidamente eventuali abusi.
Le linee guida di Commvault sottolineano l’importanza di ruotare regolarmente password, segreti e credenziali in tutti gli ambienti. Per le registrazioni delle app Azure a tenant singolo che proteggono i carichi di lavoro M365/D365/Entra ID, Commvault raccomanda cicli di rotazione di 90 giorni. Molti standard comuni di sicurezza e conformità (PCI DSS, ISO 27001, SOC 2, NIST) richiedono inoltre una gestione rigorosa delle credenziali, compresa la rotazione periodica e la revisione degli accessi.
Consultate il vostro team di sicurezza
La gestione delle credenziali è più efficace quando è coerente. Concordate con il vostro team di sicurezza:
- Intervalli di rotazione (per tipo di credenziale e livello di rischio).
- Progettazione delle politiche di accesso condizionato (cosa è applicabile senza compromettere l’automazione).
- Regole di accesso privilegiato, requisiti di registrazione e cicli di revisione.
Guida alle risorse
Le risorse riportate di seguito offrono ulteriori approfondimenti e indicazioni specifiche per ambiente sulla protezione delle credenziali e sui controlli di accesso.
Commvault
- Rotazione delle password
- Procedura per la rotazione delle password in base al tipo di account
- Guida alle migliori pratiche: Miglioramento della sicurezza con l’accesso condizionale e il monitoraggio degli accessi
- Creazione di un segreto client per l'app di Azure per Exchange Online
Microsoft
- Che cos’è l’accesso condizionale?
- Accesso condizionale per le identità dei carichi di lavoro
- Autenticazione senza secret per le risorse di Azure
AWS
Cloud Google (GCP)
Will Galway è vice responsabile della sicurezza presso Commvault.
