Come implementare l'accesso aziendale zero-trust

Nozioni di base per utilizzare un perimetro definito da software per proteggere le risorse nel cloud e on-premise

T I M E R I T I L A S I C U R E Z Z A M I G L I O R E

2Come implementare Zero Trust Corporate Access | www.checkpoint.com/it

Zero-trust è un termine di utilizzo sempre più comune nel settore della sicurezza. Si tratta sia di una mentalità riguardo alla sicurezza che di una soluzione ben archi- tettata che aiuta a minimizzare i rischi in un ambiente di lavoro variabile con una superficie di attacco in continua trasformazione.

Zero-trust è un approccio attivo e un modello che integra un'analisi continua e consapevole del contesto insieme alla verifica dell'affidabilità al fine di garantire che gli utenti e i dispositivi presenti su una rete non facciano nulla di dannoso.

L'idea di base dietro a zero-trust è il presupposto che tutti i dispositivi e gli utenti siano inaffidabili fino a prova contraria.

Anche quando un utente o un'entità vengono ritenuti affidabili una volta, i modelli zero trust non si fidano dello stesso utente o dispositivo la volta successiva che vengono rilevati sul sistema. La fiducia nel modello zero-trust non viene mai data per scontata, ma si basa sull'osservazione e su un'autenticazione costante per limitare i rischi.

Definizione Zero Trust

Entro il 2021, il 60% delle

imprese abbandonerà le VPN di rete.

3Come implementare Zero Trust Corporate Access | www.checkpoint.com/it

Come funziona zero-trust Nel modello SDP generale esiste un controllore che definisce le politiche secondo le quali gli agenti possono connettersi e ottenere l'accesso a diverse risorse. Il componente gateway aiuta a reindirizzare il traffico verso il data center o le risorse cloud giusti. Dispositivi e servizi fanno uso di un agente SDP che connette e richiede al controllore l'accesso alle risorse. Per convalidare il livello di sicurezza, lungo il percorso vengono effettuati controlli di integrità dei dispositivi e profilazione degli utenti, anche attraverso l'utilizzo di dati sul comportamento e meccanismi di autenticazione a più fattori.

Secondo il modello zero-trust, ad ogni passaggio della connessione di un agente o di un host deve essere presente un confine di sicurezza che convalidi l'auten- ticazione della richiesta e autorizzi a procedere. Invece che affidarsi alla fiducia implicita dopo l'inserimento del nome utente e della password o l'immissione del token di accesso, con zero-trust, per impostazione predefinita, tutto viene considerato non attendibile e deve essere verificato prima di fornire l'accesso.

Il concetto di zero-trust spesso viene associato a quello di SDP (Software-De- fined Perimeter), un'iniziativa che, in origine, è stata svilup- pata sotto gli auspici della Cloud Security Alliance (CSA).

4Come implementare Zero Trust Corporate Access | www.checkpoint.com/it

Sfide di implementazione di zero-trust

Cloud Assistenza

Dispositivi Requisiti

Fiducia

Non Solo Un Altro strumento di sicurezza

Ostacoli di implementazione

Abilitare il supporto completo ed end-to-end su più cloud pubblici e implementazioni on-premise spesso si rivela un'attività lunga e tediosa.

Una sfida fondamentale di alcune implementa- zioni zero-trust SDP è che si basano su approcci di implementazione on-premise che richiedono certificati dei dispositivi e assistenza per il proto- collo 802.1x per il Network Access Control (NAC) basato sulle porte.

Anche se può sembrare un paradosso, spesso è necessario che le organizzazioni si fidino di una soluzione zero-trust in quanto esistono requisiti di terminazione della crittografia dei dati.

In genere, un'organizzazione ha già predisposto diversi strumenti di sicurezza come VPN e firewall. Per un provider di soluzioni zero-trust, avventurarsi in un campo minato simile spesso è una sfida chiave.

L'implementazione di una soluzione zero-trust dipende spesso dalla facilità con cui viene effet- tivamente configurata.

Zero-trust è un'ottima idea per aiutare le organizzazioni a ridurre la superficie di attacco e a limitare i rischi, ma presenta diverse complessità e sfide di implementazione.

5Come implementare zero-trust | www.checkpoint.com

Considerazioni sull'implementa- zione di zero-trust I modelli zero-trust funzionano come sovrapposizioni sulla rete esistente e sulle topologie delle applicazioni. Pertanto, disporre di un piano dati agile in grado di gestire una rete distribuita è una considerazione fondamentale.

La fatica necessaria per installare i certificati e i binari dei dispositivi sul sistema di un utente finale spesso è moltiplicata da diverse sfide, fra cui la richiesta di tempo e risorse. Utilizzare una soluzione agentless è una considerazione importante, perché fa la differenza fra avere una soluzione qualunque e avere una soluzione che può essere veramente distribuita rapidamente in un ambiente di produzione.

Prendi in considerazione l'adozione di strumenti zero-trust con modello di sicurezza basato sull'host. Nel mondo di oggi, molte applicazioni vengono fornite tramite web, e un approccio basato sull'host si allinea con tale modello. In un modello basato sull'host per zero-trust, il sistema verifica che il sistema di un dato utente finale abbia le auto- rizzazioni giuste per ricevere un token di accesso per una risorsa specifica.

È importante comprendere anche come funziona la crittografia nel modello zero-trust. Un'opzione è quella di applicare la crittografia end-to-end su un'implementazione zero-trust.

6Come implementare Zero Trust Corporate Access | www.checkpoint.com/it

Il metodo SDP di base è ben definito per implementare modelli zero-trust on-pre- mise. Ma quando si parla di cloud, le cose si fanno più complesse. I vari provider di cloud hanno sistemi diversi, il che aggiunge una potenziale complessità a qualsiasi tipo di implementazione.

Ad aggravare la complessità c’è la tendenza crescente verso implementazioni multi-cloud. Quindi, oltre alle sfide dell'implementazione su un unico provider di cloud pubblico, si presenta la complessità di un modello zero-trust sia implementabile che applicabile su più provider di cloud pubblico. Uno dei modi per imple- mentare zero-trust in un'implementazione multi-cloud è sfruttare la piattaforma open-source di orchestrazione dei contenitori Kubernetes. Kubernetes è supportato su tutti i principali provider di cloud pubblico, tra cui Amazon Web Services (AWS), Microsoft Azure e Google Cloud Platform (GCP). Con Kubernetes è disponibile un piano di controllo per la gestione dei nodi distribuiti delle applicazioni eseguite in contenitori docker.

Usare un contenitore docker come metodo per creare un pacchetto e distribuire un'applicazione per abilitare lo zero-trust è un approccio che riduce ulteriormente la complessità. Invece di utilizzare diversi binari di applicazione per diversi sistemi, utilizzando un approccio nativo per il cloud con un sistema basato su Kubernetes è possibile astrarre la complessità del mondo multi-cloud. Inoltre, il cloud non è un costrutto uniforme, nel senso che tutti i provider di cloud pubblico hanno più regioni geografiche e zone del mondo. Lo scopo delle diverse implementazioni è far sì che le risorse siano disponibili il più vicino possibile all'utente finale. Quando si implementa un modello zero-trust sul cloud, è importante scegliere una soluzione con più punti di presenza in tutto il mondo, per garantire che la latenza di rete sia la minore possibile.

Come implementare zero-trust nel cloud

Zero-Trust significa una

superficie di attacco ridotta che, a sua volta, si traduce in una riduzione

dei rischi.

7Come implementare Zero Trust Corporate Access | www.checkpoint.com/it

Le risorse IT sono sempre limitate e poche organizzazioni, se non addirittura nessuna, hanno il budget necessario per fare tutto ciò che è necessario. L'aggiunta di un ulteriore livello di sicurezza con Zero-Trust a volte può essere vista come un'ulteriore comples- sità che richiede altro tempo e risorse dalle rare e preziose risorse del reparto IT. Se adeguatamente implementato, però, Zero-Trust ha il potenziale di ridurre il carico sul già oberato staff IT.

In un ambiente di rete non basato su Zero-Trust, username e password sono spesso la prima linea di difesa, insieme all'identità basata sulle directory e alla tecnologia di gestione degli accessi (come Active Directory o altri provider di identità). Per migliorare la sicurezza, solitamente vengono distribuiti anche firewall e Intrusion Detection Systems/ Intrusion Protection System (IDS/IPS).

Tuttavia, nessuno di questi sistemi convalida in modo continuo lo stato di una determinata richiesta di accesso. Quando qualcosa va storto, se le credenziali vengono perse o rubate, lo staff IT dovrà impiegare ancora più tempo e risorse per identificare la causa principale e risolvere il problema.

In un ambiente Zero-Trust correttamente configurato e distribuito, tutti gli accessi sono convalidati. Ciò significa che, invece di lasciare al personale IT il compito di capire che credenziali siano sono utilizzate in modo errato e un sistema è stato violato, la rete Zero-Trust parte sempre dal presupposto dello zero access. Solo dopo la convalida viene infatti concesso. Zero-Trust implica una riduzione della superficie di attacco, che solitamente si traduce in una riduzione del rischio.

Ciò significa anche che il reparto IT non dovrà trascorrere ore e ore a cercare di capire se un account è stato violato e a scavare nei registri per capire cos'è successo. Con Zero-Trust, l'ac- cesso non viene mai garantito a una macchina compromessa, limitando il potenziale movimento laterale di un attaccante attraverso la rete.

Perché l'implementa- zione zero-trust merita lo sforzo

8Come implementare Zero Trust Corporate Access | www.checkpoint.com/it

Zero Trust Lista di controllo per la distribuzione Quando si considera come implementare una soluzione Zero- Trust, è importante tenere a mente queste semplici domande.

Facilità di distribuzione In quanto tempo riuscirai a configurare e avviare un sistema? Il fornitore ti obbliga a cambiare l'am- biente per adattarsi alla sua soluzione (ad esempio, aprendo le porte nel firewall)?

Supporto multi-cloud La soluzione Zero-Trust consente facilmente il supporto tra più provider di cloud pubblico? È possibile proteggere in modo efficace i carichi di lavoro su più cloud?

Crittografia In che modo la soluzione Zero-Trust gestisce la crit- tografia e mantiene i dati al sicuro? Dove vengono archiviate le chiavi di crittografia? Puoi portare le tue chiavi?

Scalabilità Quanto è scalabile l'architettura Zero-Trust? Soddisfa le esigenze dei tuoi carichi di lavoro?

Evento Quali misure di sicurezza vengono applicate dal provider della soluzione? Il ciclo di sicurezza è  snello? È in grado di fornire livelli di sicurezza aggiuntivi, come la protezione DDoS a livello di  accesso all'applicazione, oppure richiede l'uso di meccanismi di terze parti?

Visibilità La soluzione è in grado di fornire un'ispezione nascosta del traffico per individuare contenuti, DLP e comportamenti malevoli/anomali?

Servizio e assistenza Il fornitore della soluzione Zero-Trust ti aiuterà a risolvere eventuali problemi?

Valore La soluzione fornisce valore aggiuntivo? Cerca di capire come e dove la soluzione Zero-Trust offre valore, funzionalità e riduzione del rischio, oltre a  ciò che i suoi strumenti di sicurezza esistenti già offrono.

9Come implementare Zero Trust Corporate Access | www.checkpoint.com/it

Scopri Harmony Connect Remote Access

Harmony Connect Remote Access impiega solo cinque minuti per implementare e proteggere l'accesso a qualsiasi applicazione aziendale interna presente in data center, IaaS, cloud pubblici o privati.

Il servizio è disponibile in due versioni:

Accesso clientless a livello di applicazione

Zero-Trust Network Access (ZTNA) ad applicazioni web, database, desktop remoti e server SSH, con controlli in-app granulari utilizzando proxy inversi (livello 7) a livello di applicazione sul cloud. Ideale per supportare BYOD, partner e appaltatori perché non è necessario alcun agente, e DevOps che hanno bisogno di ricche funzionalità di automazione native per il cloud.

Accesso a livello di rete basato su client

VPN-as-a-service che fornisce la potenza della connettività di rete di livello3, protetta dalla nostra politica di accesso Zero-Trust. Ideale per l'accesso dei dipendenti da dispositivi gestiti, offre maggiore versatilità nel supportare applicazioni e protocolli, con tecnologia cloud DLP integrata e IPS leader del settore per proteggere le tue app dalle vulnerabilità più recenti (come Log4J).

PER SAPERNE DI PIÙ: Scarica la scheda tecnica | Programma una demo personale | Avvia una prova

gratuita di 30 giorni

Harmony Connect Remote Access fa parte di Harmony Connect, che sta ridefinendo il Security Service Edge (SSE) rendendo più semplice l'accesso sicuro alle applicazioni aziendali, SaaS e internet per qualsiasi utente o filiale, da qualsiasi dispositivo, senza compromettere la sicurezza. Per saperne di più https://www.checkpoint.com/it/harmony/connect-sase/

Sede centrale mondiale 5 Shlomo Kaplan Street, Tel Aviv 6789159, Israele | Tel: 972-3-753-4599

Sede centrale degli Stati Uniti 959 Skyway Road, Suite 300, San Carlos, CA 94070 | Tel: 800-429-4391

www.checkpoint.com/it

© 2022 Check Point Software Technologies Ltd. Tutti i diritti riservati.