Darren Mar-Elia | Responsabile delle strategie di sicurezza

Cosa significa in realtà "resilienza identitaria "?

Il nostro settore va matto per le parole alla moda. Dopo oltre quarant’anni in questo campo, posso dirlo con una certa dose di eufemismo. L’ultima parola alla moda è «resilienza». La vedo ovunque, applicata a qualsiasi cosa. Ormai la sento persino citare in relazione alle prestazioni sportive!

Ma quando si tratta di un argomento che mi sta particolarmente a cuore – l’identità – il concetto di resilienza identitaria assume effettivamente un senso. Un sistema identitario resiliente è quello che riesce a «resistere ai colpi e andare avanti» (per riprendere uno slogan del passato).

La resilienza significa che il vostro sistema di identità, una volta compromesso o addirittura potenzialmente cancellato, non solo può essere ripristinato, ma può essere ripristinato in modo affidabile.


La resilienza identitaria richiede un tipo di recupero particolare

È importante comprendere la natura specifica del recupero delle identità perché, come ormai tutti sappiamo, per la maggior parte delle organizzazioni i sistemi di gestione delle identità sono una questione di vita o di morte.

Quando il sistema di gestione delle identità è fuori uso, l'intera organizzazione ne risente: punto e basta. Pertanto, la tua capacità di ripristinare quel sistema il più rapidamente possibile, fino a un livello tale da garantire il funzionamento delle funzionalità fondamentali dell'azienda, è uno dei compiti più importanti che ti verranno affidati. Si tratta di una questione che può determinare il successo (o il fallimento) della tua carriera, e ho visto entrambe le cose verificarsi più e più volte.

Quando si parla di Active Directory (AD), il sistema di gestione delle identità di riferimento per gran parte del mondo, il concetto di resilienza delle identità assume una dimensione e una forma ben precise. Negli oltre otto anni in cui ho discusso di questo argomento con i clienti, il punto che sottolineo è facilmente comprensibile da chiunque si sia avventurato nel labirinto dell’effettivo ripristino completo di una foresta AD:

Il ripristino di un dominio Active Directory non è come il ripristino di un file server, di un server di database, di un server applicativo o… avete capito il concetto.

AD è un database complesso, multi-master e replicato. È necessario ripristinarlo in modo molto accurato, seguendo una serie di passaggi ben precisi, nell'ordine corretto… altrimenti si dovrà ricominciare da capo.

Inoltre, se la vostra organizzazione è di dimensioni piuttosto grandi, con numerose sedi geografiche, più domini e molte dipendenze da sistemi esterni, il problema diventa ancora più complesso.


Scegliere una soluzione per la resilienza delle identità: qual è l'aspetto più importante?

Ho avuto il privilegio di far parte di Semperis sin dagli esordi, mentre stavamo sviluppando quella che sarebbe diventata la prima soluzione di ripristino delle foreste AD con funzionalità di sicurezza informatica.

Tale soluzione ha comportato un ripensamento sia del backup che del ripristino di AD: come erano stati gestiti fino a quel momento per circa 16 anni e perché quel processo consolidato non era più sufficiente a far fronte alle crescenti minacce rappresentate dagli attacchi basati su AD.

Quello che ho imparato è che non si può considerare il ripristino di emergenza di Active Directory come «un semplice problema di backup» da risolvere affidandosi a «un semplice fornitore di servizi di backup».

La competenza è fondamentale. Non vorresti certo che fosse il tuo medico di base a operarti al cervello. Allo stesso modo, devi assicurarti che la tua soluzione di disaster recovery per l'AD garantisca una vera resilienza dell'identità, non solo un semplice backup.


Lista di controllo per la scelta della soluzione di resilienza dell'identità

Tenendo presente questo, ho stilato un elenco di requisiti che dovrebbero essere imprescindibili per te nel tuo lavoro volto a garantire la resilienza dei sistemi di identità critici come Active Directory.


1. Partiamo da questo presupposto: il recupero dell’identità non è una semplice voce da spuntare.

Dire «Ok, ho eseguito il backup di AD, sono a posto» è come «sperare»: non è una strategia.


2. La cosa più importante da dimostrare è il ripristino, non il backup.

Questo è un corollario al punto 1. Chiunque può eseguire il backup di AD utilizzando una serie di script e gli strumenti preconfigurati. Non tutti, però, sono in grado di ripristinare AD in modo tale da soddisfare le esigenze di un'organizzazione complessa nel recuperare l'infrastruttura delle identità a seguito di un attacco informatico (ne parleremo più approfonditamente al punto 4).


3. Quando scegliete una soluzione per la resilienza delle identità, non limitatevi a fidarvi ciecamente delle parole del fornitore.

Se la tua organizzazione dipenderà interamente da ciò che ti stanno proponendo, esigi che te lo dimostrino. Esegui un proof of concept (PoC, ovvero una dimostrazione di valore) con una rappresentazione realistica del tuo Active Directory di produzione. Assicurati che la soluzione sia in grado di ripristinare l'Active Directory entro il Recovery Time Objective (RTO) da te specificato.


4. Definisci il tuo RTO effettivo.

Come corollario al punto 3, il vostro RTO dovrebbe includere una capacità di AD sufficiente a garantire il funzionamento delle applicazioni aziendali più critiche, ovvero quelle che definiamo "Minimum Viable Company" (MVC). Se l'RTO del vostro fornitore prevede il ripristino di un solo controller di dominio... quello non è il vostro RTO .

Se il ripristino iniziale del dominio non include quelle funzionalità aziendali fondamentali e si devono impiegare altri uno o due giorni per garantire la capacità necessaria a ripristinare le funzioni aziendali, allora QUELLO è l'RTO della soluzione.


5. Imparare a riconoscere un AD compromesso.

Assicurati inoltre che la soluzione che hai scelto sia in grado di gestire le conseguenze di un AD compromesso.

L'AD può essere compromesso in almeno due modi. Gli aggressori possono compromettere il sistema operativo su cui gira l'AD oppure l'AD stesso, creando meccanismi di persistenza e backdoor all'interno del database dell'AD.

Una soluzione che si definisce «cyber-first» dovrebbe essere in grado di aiutarti ad affrontare entrambe le questioni.

NOTA: Ti preghiamo di non affidarti alla scansione antivirus per gestire un attacco informatico. Se avessi un dollaro per ogni volta che un antivirus non è riuscito a rilevare un nuovo malware…

E sì, la soluzione dovrebbe anche essere in grado di aiutarvi a individuare quegli elementi persistenti una volta ripristinato Active Directory; ma, in realtà, è proprio qui che conta l’esperienza. Assicuratevi di collaborare con qualcuno che capisca davvero come Active Directory possa essere oggetto di attacchi. Se il vostro fornitore ha scoperto Active Directory solo ieri perché il ripristino informatico di Active Directory è l’ultima novità da proporre, allora avrete il “privilegio” di sperimentare quella mancanza di esperienza proprio quando conta di più — e non in senso positivo.


6. Infine – e questo è importante: proprio come la resilienza identitaria è importante, altrettanto lo è la resilienza della soluzione che la garantisce.

Quando sei nei guai (e chi lavora nell'IT sa bene di cosa si tratta) , tutto ciò che può andare storto andrà storto.

Con l'intero team dirigenziale che ti sta col fiato sul collo, l'ultima cosa che vorresti dirgli è: «Mi dispiace, c'è stato un errore durante il ripristino, quindi dobbiamo ricominciare da capo».

La vostra soluzione di ripristino deve essere in grado di far fronte alle imprevedibilità dei disastri. Questa capacità deriva dall'esperienza: da un fornitore che comprende cosa può andare storto durante un ripristino ed è pienamente in grado di aiutarvi a superare gli ostacoli imprevisti. Ribadisco, non si tratta di eventi prevedibili; tuttavia, è possibile simulare quel tipo di caos e mettere alla prova la soluzione.

Se il tuo fornitore non è in grado di gestire il ripristino durante una prova di concetto, pensi davvero che ci riuscirà quando si verificherà una vera e propria crisi informatica?


Dimostra di essere pronto quando conta davvero

Spero davvero che non ti capiti mai di dover ripristinare il tuo AD durante una crisi.

Ma se avete scelto una soluzione per la resilienza delle identità che soddisfi questi requisiti, dovreste essere in grado di ripristinare i sistemi in tutta sicurezza, ridurre l'impatto sulla vostra attività e persino sfruttare l'esperienza acquisita per rafforzare la vostra strategia di sicurezza delle identità in vista della prossima minaccia.

Questa è vera resilienza.


Ulteriori letture