Sean Deuby | Tecnologo principale, Americhe

La sicurezza informatica moderna si basa su una difesa a strati. Ogni livello supporta gli altri e presenta ulteriori ostacoli agli attori delle minacce. Dalla gestione delle patch ai firewall perimetrali, ogni livello rende più difficile per gli aggressori compromettere la rete. L'autenticazione a più fattori (MFA) è uno di questi livelli. L'MFA ha diverse caratteristiche, ma tutte prevedono una combinazione di:

  • Qualcosa di cui si dispone, come uno smartphone o un gettone rigido
  • Qualcosa che si conosce, ad esempio una password
  • Qualcosa che siete, come un'impronta digitale o altri dati biometrici

Data la prevalenza di phishing, password deboli e credenziali rubate che vengono acquistate e vendute online, l'implementazione dell'MFA per Active Directory può fornire una difesa aggiuntiva contro gli attacchi.

Lettura correlata: Cos'è la sicurezza di Active Directory?

Come funziona l'MFA per Active Directory?

L'MFA eleva le protezioni contro gli attacchi basati sull'identità. Per Active Directory, che è il cuore della vostra infrastruttura di identità, l'MFA fornisce un livello di garanzia che gli utenti legittimi siano quelli che effettuano il login e accedono alle vostre risorse IT.

Proteggere l'ambiente Active Directory on premises con l'MFA è una sfida. Active Directory fornisce un supporto nativo per l'MFA solo attraverso l'autenticazione con smartcard, da non confondere con l'MFA per Active Directory Federation Services (AD FS), che fornisce un secondo fattore di autenticazione per le applicazioni integrate in AD FS.

In assenza di un supporto diretto dell'autenticazione a più fattori (MFA) per Active Directory, le organizzazioni possono integrare soluzioni MFA, come Windows Hello for Business o Cisco Duo, nei propri endpoint (PC o server amministrativi, ovvero "jump server"). Ciò consente di rafforzare la sicurezza dell'accesso a questi tipici punti di accesso di Active Directory per gli accessi interattivi o tramite RDP. Sono disponibili altri strumenti per analizzare le richieste di autenticazione di Active Directory e applicare l'autenticazione a più fattori (MFA) in base alle politiche dell'organizzazione.

Come si può implementare l'MFA per Active Directory in ambienti con identità ibride?

A causa dell'adozione del cloud, molte aziende hanno bisogno di un approccio MFA che comprenda sia l'ambiente Active Directory on-premises che i fornitori di servizi di identità cloud, come Entra ID. Per supportare questo tipo di ambiente ibrido, le organizzazioni possono utilizzare Microsoft Entra Connect (ex Azure AD Connect) per sincronizzare le identità tra Active Directory e il tenant Entra.

In Entra ID, le impostazioni di sicurezza predefinite sono disponibili per tutti gli utenti di Entra, indipendentemente dal fatto che dispongano o meno di licenze premium. Nella versione gratuita di Entra ID manca tuttavia la funzionalità "accesso condizionato", che consente di configurare regole con azioni specifiche per determinati scenari di accesso.

I criteri di accesso condizionato offrono un approccio più granulare al controllo dell'accesso in base a condizioni specificate dall'utente, come la richiesta di MFA per chiunque acceda a un servizio quando non si trova su una rete aziendale. Questa funzione è inclusa nei piani premium. Allo stesso modo, tutti i piani Microsoft 365 consentono alle organizzazioni di implementare l'MFA utilizzando le impostazioni di sicurezza predefinite. Microsoft 365 for Business e altri piani dispongono di funzionalità aggiuntive.

Sia Microsoft 365 che Office 365 supportano l'MFA attraverso i seguenti metodi:

  • Un messaggio di testo, inviato al telefono dell'utente, che richiede all'utente di inserire un codice di verifica
  • Una chiamata vocale
  • Autenticatore Microsoft

Come Microsoft 365, Entra ID supporta diverse forme di verifica:

  • Autenticatore Microsoft
  • Authenticator Lite (in Outlook)
  • Windows Hello per le aziende
  • Chiavi di sicurezza FIDO2
  • Gettoni hardware OATH
  • Gettoni del software OATH
  • SMS
  • Una chiamata vocale

Le applicazioni che si autenticano direttamente con Entra ID e che dispongono di un'autenticazione moderna, come OpenID Connect, possono utilizzare criteri di accesso condizionato. Tuttavia, le applicazioni legacy e on-premises che non si autenticano direttamente con Entra ID devono essere integrate utilizzando Entra ID Application proxy o network policy services (NPS).

Nel settembre 2022, Microsoft ha comunicato ai clienti che Azure MFA Server sarebbe stato dismesso. A partire dal 30 settembre 2024, le istanze di Azure MFA Server non gestiranno più le richieste MFA. Per evitare eventuali errori di autenticazione, le organizzazioni dovrebbero migrare i dati di autenticazione degli utenti al servizio MFA Entra ID basato su cloud utilizzando l'utilità di migrazione fornita da Microsoft.

E l'autenticazione adattiva?

Le protezioni MFA si stanno evolvendo per fornire una sicurezza più granulare e adeguata. L'autenticazione adattiva riprende l'approccio tradizionale dell'MFA e aggiunge un ulteriore livello basato sul rilevamento dei rischi.

In questo modello, l'utente è costretto a sottoporsi a un livello di autenticazione superiore in base a criteri dinamici. Ad esempio, un utente potrebbe avere caratteristiche specifiche, come un ruolo, un tipo di dispositivo o una posizione geografica. Se l'utente tenta improvvisamente di accedere da un dispositivo o da un Paese diverso, il rischio associato al tentativo può essere utilizzato per giustificare una richiesta di MFA. Al contrario, questo modello può diminuire l'attrito degli utenti, riducendo il numero di volte in cui questi devono ripetere l'autenticazione quando operano secondo il loro comportamento normale.

Entra ID Protection (ex Azure Identity Protection) è un servizio che esegue l'autenticazione adattiva in base al rischio dell'utente e dell'accesso. Se viene rilevato un rischio, le azioni di rimedio comprendono l'obbligo per gli utenti di reimpostare le password o il blocco dell'accesso fino all'intervento di un amministratore. L'autenticazione adattiva costituisce un'ulteriore barriera contro le minacce che tentano di penetrare nel vostro ambiente.

L'MFA per Active Directory è la migliore difesa?

L'implementazione dell'MFA per Active Directory può contribuire a ridurre la minaccia rappresentata dal furto di credenziali. Quando si inizia a implementare l'MFA, il punto di partenza più ovvio sono gli account con diritti di accesso privilegiati. Questi account sono i più interessanti per gli aggressori, perché possono essere utilizzati per ampliare la loro posizione e persistere nell'ambiente senza essere rilevati.

Altri account potrebbero avere valore in virtù del ruolo del dipendente nell'azienda. Ad esempio, la violazione dell'identità di un membro chiave del team di ingegneria del software o del responsabile del reparto risorse umane può offrire agli aggressori la possibilità di mettere le mani su informazioni preziose.

L'implementazione di funzionalità di sicurezza come l'MFA può aggiungere un'ulteriore barriera tra gli aggressori e il vostro ambiente. Ma da sola l'MFA non è una difesa sufficiente.

Rafforzare la sicurezza di Active Directory

Per rendere veramente sicure le identità dell'ambiente è necessario un approccio completo. Per proteggere Active Directory:

Altri strumenti, tra cui endpoint, MFA e soluzioni basate su log o eventi, possono essere valide aggiunte alla vostra strategia di rilevamento e risposta alle minacce all'identità (ITDR). Una difesa stratificata che si concentri sulla protezione di Active Directory e di altri sistemi e servizi critici è il modo migliore per rafforzare la resilienza operativa dell'organizzazione.