Kriss Stephen | Principale architetto di soluzioni

Nella nostra serie di articoli sul blog dedicata alla strategia della “Minimum Viable Company” (MVC), abbiamo seguito Megakorp, azienda specializzata nello sviluppo e nella produzione di componenti per l’automazione industriale di livello enterprise, scelta da produttori di tutto il mondo, mentre affrontava le sfide della moderna resilienza informatica.

Nella prima parte della nostra serie (Perché la vera resilienza informatica inizia dall’identità), l’azienda ha riconosciuto che l’identità non era semplicemente un’altra dipendenza IT, ma il fondamento operativo dell’azienda stessa. Active Directory ed Entra ID sono diventati elementi centrali della strategia “Minimum Viable Company” di Megakorp. Queste piattaforme di identità hanno fornito l’autenticazione, il controllo amministrativo e i servizi operativi necessari per ripristinare le funzioni aziendali critiche durante un grave incidente informatico.

La seconda fase di quel percorso (Lezioni di resilienza informatica al di là della violazione) è andata oltre il semplice ripristino, approfondendo come la resilienza informatica richiedesse un coordinamento tra identità nel cloud, ripristino operativo, comunicazioni e processi decisionali a livello dirigenziale in situazioni di pressione.

Tuttavia, mentre i vertici di Megakorp riflettevano sulla strategia di resilienza dell’organizzazione, è emersa una domanda difficile: perché aspettare che si verifichi una crisi per pensare alla resilienza?


Rafforzare il nucleo dell'MVC: principi per il controllo dello stato di sicurezza

L'azienda aveva investito ingenti risorse nella pianificazione del ripristino e nelle funzionalità MVC, ma permaneva ancora un margine di incertezza riguardo alle sue piattaforme di gestione delle identità. I team di sicurezza faticavano a comprendere appieno i rischi derivanti da configurazioni errate, privilegi eccessivi e relazioni di identità a rischio che interessavano sia Active Directory che Entra ID.

Allo stesso tempo, gli amministratori apportavano ogni giorno modifiche all’infrastruttura critica di gestione delle identità, spesso senza avere una visione d’insieme centralizzata di ciò che era stato modificato, di chi avesse apportato le modifiche o del rischio operativo che tali modifiche comportavano.

Megakorp si è resa conto che la resilienza non può iniziare solo con la ripresa.

Si doveva iniziare molto prima, attraverso una maggiore visibilità, un controllo più rigoroso e la resilienza operativa necessaria per correggere rapidamente i problemi prima che si trasformassero in eventi in grado di compromettere l'attività aziendale.

A seguito di un'analisi strategica dello stato di sicurezza delle identità dell'organizzazione, il consiglio di amministrazione di Megakorp ha definito tre principi fondamentali su cui si baserà la strategia di resilienza delle identità dell'azienda sia su Active Directory che su Entra ID:

  • Visibilità: la capacità di monitorare costantemente l’esposizione, le configurazioni errate, i rischi legati alle identità e le attività di cambiamento operativo nell’intero panorama delle identità.
  • Controllo: la capacità di implementare misure di protezione, sistemi di allerta e meccanismi di risposta in relazione a modifiche critiche dell'identità e operazioni con privilegi.
  • Resilienza dell'identità: la capacità di contenere, annullare e ripristinare rapidamente le modifiche indesiderate o non autorizzate all'identità prima che possano degenerare in un'interruzione operativa più ampia.

Dato il ruolo di Megakorp come produttore di componenti critici, tali capacità dovevano estendersi oltre il tradizionale ambiente IT fino a comprendere i sistemi di tecnologia operativa (OT).

Inoltre, poiché gran parte dell’ambiente OT operava all’interno di reti isolate o non connesse a Internet, l’organizzazione necessitava anche di funzionalità di monitoraggio e protezione in loco in grado di funzionare in ambienti disconnessi o soggetti a restrizioni.


Visibilità: individuare dove si trovano i rischi legati alla sicurezza

Megakorp ha voluto affrontare il tema della visibilità attraverso due canali distinti. La prima fase si è concentrata sull’individuazione delle vulnerabilità già presenti nell’ambiente delle identità, garantendo al contempo che l’organizzazione venisse costantemente avvisata in caso di nuove vulnerabilità o esposizioni (Figura 1).

Figura 1. Gli indicatori di sicurezza aiutano l'organizzazione a individuare le vulnerabilità.

Ciò ha comportato l’identificazione di configurazioni errate, impostazioni obsolete, privilegi eccessivi e relazioni di identità rischiose che avrebbero potuto consentire a un aggressore di accedere all’ambiente o di muoversi lateralmente una volta all’interno. Per Megakorp, questa visibilità è stata fondamentale non solo per ridurre l’esposizione immediata (Figura 2), ma anche per comprendere in che modo anni di cambiamenti operativi avessero introdotto rischi nascosti sia in Active Directory che in Entra ID.

Figura 2. L'individuazione delle vulnerabilità e la valutazione del loro livello di gravità aiutano il team di sicurezza a stabilire le priorità nelle attività di mitigazione.

La seconda fase di visibilità si è concentrata sull’acquisizione di una comprensione operativa approfondita delle attività di modifica nell’intero panorama delle identità. Megakorp aveva bisogno di sapere esattamente chi, o cosa, stesse apportando modifiche all’interno dell’ambiente, quando tali modifiche avvenissero e quale potenziale impatto operativo o sulla sicurezza comportassero. Senza il livello di visibilità illustrato nella Figura 3 , modifiche non autorizzate, deviazioni di configurazione o attività dannose potrebbero passare inosservate fino a quando non causassero un’interruzione del servizio o una compromissione più ampia.

Figura 3. Il monitoraggio automatico delle modifiche consente ai team di individuare attività sospette in tempo reale.

Per soddisfare tali requisiti, Megakorp ha ampliato la propria piattaforma di resilienza dell’identità implementando Semperis Directory Services Protector DSP). Ciò ha fornito all’organizzazione visibilità sia sulle reti connesse che su quelle isolate, consentendo ai team di sicurezza e operativi di monitorare continuamente l’esposizione delle identità, le modifiche di configurazione e le attività con privilegi in tutta l’azienda.

Sono state valutate ulteriori configurazioni errate e vie di esposizione individuate nell’intero panorama delle identità, che sono state poi mappate in base a strategie di risoluzione a breve, medio e lungo termine. Ciò ha consentito a Megakorp di dare priorità alle attività di riduzione immediata del rischio, sviluppando al contempo piani strutturati per affrontare nel tempo le configurazioni legacy più complesse e le dipendenze operative.

Adottando un approccio proattivo alla correzione delle vulnerabilità, l'organizzazione potrebbe rafforzare costantemente la sicurezza dei propri ambienti prima che le vulnerabilità possano essere individuate e sfruttate dagli aggressori.


Controllo: stare un passo avanti alle minacce incentrate sull’identità

Il secondo pilastro, il controllo, è stato il naturale proseguimento del processo di visibilità. Comprendendo sia le configurazioni esistenti nell’intero panorama delle identità sia chi o cosa fosse responsabile delle modifiche, Megakorp è stata in grado di introdurre misure di protezione operative, logiche di rilevamento e azioni di risposta automatizzate (come quelle illustrate nella Figura 4 ), progettate per ridurre il rischio legato alle identità prima che potesse aggravarsi.

Figura 4. Le regole del DSP i limiti di sicurezza e attivano notifiche automatiche e azioni di mitigazione, in modo da poter colmare rapidamente eventuali lacune.

Ad esempio, la Figura 5 mostra una regola che definisce una specifica modifica all’AD che attiva un’azione specifica. Grazie a questa regola, qualora un amministratore dotato di autorizzazioni eccessive apportasse accidentalmente delle modifiche alle unità organizzative di gerarchia delle identità di Megakorp, Semperis DSP rileverebbe automaticamente la modifica, ripristinerebbe lo stato precedente e avviserebbe i team operativi e di sicurezza competenti.

Figura 5. DSP ai team di definire in modo specifico le modifiche che attivano azioni quali il rollback automatico.

Il team di Megakorp ha implementato ulteriori controlli per individuare e gestire attività quali la creazione di nuovi account utente al di fuori del processo approvato dall’organizzazione per la gestione del ciclo di vita delle identità (ILM). Tali controlli hanno garantito che tutte le identità di nuova creazione fossero soggette a governance, verificabili e conformi agli standard di sicurezza operativa di Megakorp.

Anziché affidarsi esclusivamente alla revisione manuale o alle indagini successive agli incidenti, Megakorp ha adottato un approccio basato sul un controllo continuo delle identità, consentendo all’organizzazione di identificare rapidamente attività non autorizzate, contenere le modifiche rischiose e mantenere la stabilità operativa sia su Active Directory che su Entra ID.


Resilienza operativa: ridurre la portata e l'impatto degli incidenti informatici

Grazie alla visibilità sulle proprie piattaforme di gestione delle identità e a misure di sicurezza operative che garantiscono un controllo più rigoroso delle identità, Megakorp si è naturalmente evoluta verso il terzo pilastro: la resilienza operativa.

L'organizzazione è ora in grado di individuare, contenere e correggere rapidamente le modifiche indesiderate alle identità prima che si trasformino in incidenti operativi di maggiore entità.

Ad esempio, come mostra la Figura 6 , se un processo automatizzato o un amministratore troppo zelante modificasse accidentalmente l'attributo dell'indirizzo del proxy SMTP su diverse centinaia di account utente, gli amministratori potrebbero identificare rapidamente le modifiche interessate e annullarle senza dover cercare nei registri storici o ripristinare i set di backup precedenti.

Figura 6. DSP l'individuazione e la correzione delle modifiche rischiose.

Come mostra la Figura 7 , grazie alla visibilità transazionale e basata sulla cronologia delle attività relative alle identità offerta da Semperis, sia i team OT che quelli IT hanno acquisito la capacità di comprendere rapidamente cosa fosse cambiato, chi avesse apportato la modifica e come annullarla in modo sicuro.

Figura 7. DSPfa risparmiare tempo ai team consentendo loro di visualizzare e filtrare rapidamente le modifiche, nonché di individuare quelle da annullare.

L'introduzione di queste funzionalità automatizzate ha ridotto in modo significativo l'impatto operativo e la durata degli errori amministrativi, delle discrepanze di configurazione o delle modifiche dolose alle identità a livello aziendale.


Evoluzione verso un modello MVC più maturo

Combinando visibilità, controllo e resilienza operativa nelle proprie piattaforme di gestione delle identità con le capacità di ripristino, backup e resilienza aziendale consolidate in precedenza nel proprio percorso, Megakorp ha trasformato radicalmente il proprio approccio alla resilienza informatica.

L'organizzazione non si concentrava più esclusivamente sul ripristino a seguito di un incidente grave, una volta che il danno si era già verificato. Al contrario, era in grado di identificare e ridurre continuamente i rischi prima che si verificassero interruzioni, di applicare misure di protezione operative durante le attività quotidiane e di ripristinare o annullare rapidamente le modifiche indesiderate quando si verificavano incidenti.

Grazie a questa strategia articolata incentrata sull’identità, Megakorp si è posizionata in modo da poter operare con resilienza prima, durante e dopo un attacco informatico.

Per Megakorp, la resilienza dell’identità non era più una capacità riservata alla gestione delle crisi.
Era diventata una disciplina operativa continua, integrata in tutta l’azienda.

Ulteriori approfondimenti