Migliori pratiche di sicurezza | Blog

Le integrazioni di Backup and Recovery dipendono dalla sicurezza delle credenziali dei carichi di lavoro. Una singola credenziale compromessa può consentire l’accesso ben oltre i confini di un singolo sistema, e gli autori delle minacce lo sanno bene.

La migliore credenziale statica è quella che non si possiede. Ove possibile, passare dall’autenticazione basata su secret a identità gestite o altri approcci “senza secret”, in modo che le credenziali vengano emesse, protette e ruotate dalla piattaforma anziché essere archiviate e gestite manualmente. Tuttavia, ci rendiamo conto che ciò non è sempre possibile per alcuni sistemi e configurazioni legacy.

La buona notizia: anche quando si utilizzano secret a lunga durata, l’adozione di buone pratiche di sicurezza può ridurre il rischio e la portata di un evento.

Questo post Delinea una routine pratica che può aiutare a garantire che la vostra azienda rimanga resiliente alle minacce informatiche: ruotate le credenziali, riducete al minimo l’ambito di applicazione e applicate l’accesso condizionale ove possibile.

Il punto di partenza: tre controlli fondamentali

Una solida gestione delle credenziali si basa su tre pilastri: rotazione, principio del privilegio minimo e accesso condizionale. Sebbene non sia sempre possibile implementarli tutti e tre per ogni tipo di credenziale, questi sono i punti di partenza giusti per qualsiasi ambiente:

Rotazione e monitoraggio: ruotate regolarmente le credenziali e controllate l’attività di autenticazione alla ricerca di anomalie.
Privilegio minimo: limitate l’ambito delle autorizzazioni in modo che le credenziali possano eseguire solo le azioni di backup/ripristino necessarie. Alcuni passaggi pratici includono:
- Separare le credenziali in base al carico di lavoro.
- Limitare le autorizzazioni al minimo necessario per insiemi di dati, siti, caselle di posta o database.
- Evitare ruoli amministrativi di ampia portata, a meno che non siano assolutamente necessari.
Accesso condizionale: Laddove supportato, impostare criteri per limitare quando e dove le credenziali possono essere utilizzate, ad esempio:
- Posizioni e intervalli IP attendibili
- Segnali di rischio
- Controlli su dispositivi e sessioni

Quando l’accesso condizionale non è fattibile, la rotazione delle credenziali funge da controllo compensativo

Non tutti i tipi di credenziali soddisfano i requisiti dell’accesso condizionale. In questi casi, la rotazione limita il periodo di utilità di una credenziale rubata, mentre il monitoraggio aiuta a individuare rapidamente eventuali abusi.

Le linee guida di Commvault sottolineano l’importanza di ruotare regolarmente password, segreti e credenziali in tutti gli ambienti. Per le registrazioni delle app Azure a tenant singolo che proteggono carichi di lavoro M365/D365/Entra ID, Commvault raccomanda cicli di rotazione di 90 giorni. Molti standard comuni di sicurezza e conformità (PCI DSS, ISO 27001, SOC 2, NIST) richiedono inoltre una gestione rigorosa delle credenziali, compresa la rotazione periodica e la revisione degli accessi.

Consultate il vostro team di sicurezza

La gestione delle credenziali è più efficace quando è coerente. Concordate con il vostro team di sicurezza:

Intervalli di rotazione (per tipo di credenziale e livello di rischio).
Progettazione delle politiche di accesso condizionato (cosa è applicabile senza compromettere l’automazione).
Regole di accesso privilegiato, requisiti di registrazione e cicli di revisione.

Guida alle risorse

Le risorse riportate di seguito offrono ulteriori approfondimenti e indicazioni specifiche per ambiente sulla protezione delle credenziali e sui controlli di accesso.