la mobilità e il nuovo volto delle minacce di

SICUREZZA
PANORAMICA GENERALE
LA MOBILITÀ E IL NUOVO VOLTO DELLE MINACCE DI SICUREZZA
Ai tempi in cui la sicurezza aziendale equivaleva a bloccare il
perimetro della rete per bloccare minacce esterne, le cose
erano relativamente semplici per l'IT. Se il perimetro era
protetto, tutti le minacce restavano fuori. Un intero settore fu
creato per proteggere la rete basandosi su porte e protocolli.
Nel corso del tempo, i servizi di nuova generazione si sono
evoluti per ispezionare i pacchetti che entrano ed escono
della rete, e il settore è passato da un approccio statico a
un approccio dinamico. Per la maggior parte, la sicurezza
perimetrale è stata migliorata, ma l’idea era comunque quella
di concentrarsi sulle minacce provenienti dall'esterno.
Le cose hanno iniziato a cambiare con l’arrivo dei dispositivi
mobili, quando gli utenti hanno iniziato a introdurre nella
rete potenziali minacce. Le stime variano, ma possiamo
affermare che la maggior parte (oltre il 90%) delle minacce
In realtà, l'obiettivo del personale IT incentrato sulla sicurezza
alla sicurezza aziendale è ora basata su attacchi che partono
è ora quello di valutare le soluzioni di infrastruttura wireless
da dispositivi utente non protetti, perdita di dati sensibili da
da una prospettiva di sicurezza completa. Ecco alcuni degli
questi dispositivi e comportamenti pericolosi da parte degli
attributi di sicurezza che l’IT deve prendere in considerazione
utenti finali.
per proteggere la rete senza perimetro:
Questo sta cambiando notevolmente il panorama della
• Funzionalità di applicazione basate su ruolo
sicurezza e ha cambiato il modo in cui i dirigenti a livello
• Supporto integrato della gestione delle politiche esterne/
C pensano al perimetro, poiché queste minacce possono
servizi RADIUS
generare una pubblicità negativa e costare loro il posto di
• Blocco di siti Web e app
lavoro. Per proteggere la rete aziendale e le sue risorse,
• Ispezione del traffico da parte di firewall stateful
le aziende devono adattarsi al modo in cui la GenMobile
• Blacklist dei dispositivi non autorizzati
lavora, partendo dall'interno del perimetro. Sfruttando i dati
• Protezione dagli attacchi man-in-the-middle
noti, contestuali ed affidabili, come il ruolo di una persona
• Fingerprinting dei client per contestualizzazione e
all'interno di un'organizzazione, i dispositivi e le applicazioni
visibilità dei dispositivi
che usa e la sua posizione, possono essere create politiche
• Applicazione basata sul ruolo di utenti e dispositivi
volte a rafforzare la rete. Questo approccio è detto Adaptive
• Gestione protetta di guest per tenere i dispositivi
Trust Defense ed essenzialmente capovolge la tradizionale
sicurezza del perimetro.
ADOTTARE IL WI-FI SICURO
Poiché le aziende adottano una strategia mobile-first che si
basa sul Wi-Fi al posto della rete cablata, i fornitori di Wi-Fi
si differenziano principalmente su fattori come capacità e
throughput. Anche se la larghezza di banda è importante,
il nuovo vettore delle minacce mobile diventa sempre più
preoccupante. Nella scelta di un fornitore di Wi-Fi, l’IT deve
prendere in considerazione le caratteristiche di sicurezza
più solide e l'integrazione con le migliori soluzioni per la
sicurezza, come la gestione delle politiche, MDM e firewall.
aziendali al di fuori della rete guest
L’applicazione basata sul ruolo consente all’IT di assegnare
diversi privilegi di accesso mediante la creazione di SSID o
VLAN aggiuntive.
Inoltre, l’IT può creare in tutta facilità politiche che bloccano
l’accesso degli utenti a contenuto sensibile in base a ruolo,
dispositivo o posizione. Ad esempio, i subappaltatori esterni
possono ottenere l'accesso ai documenti aziendali quando
sono in ufficio, ma non quando lavorano in remoto.
PANORAMICA GENERALE
LA MOBILITÀ E IL NUOVO VOLTO DELLE MINACCE DI SICUREZZA
La visibilità dei dispositivi consente all’IT di consentire o
Ad esempio, le soluzioni MDM possono condividere con
limitare l’accesso alla rete a dispositivi specifici o versioni
ClearPass lo stato di jailbreak o i dati relativi a dispositivi
di sistemi operativi notoriamente vulnerabili. L’utilizzo degli
contenenti app inserite in una blacklist, affinché solo i
attributi dei dispositivi consente all’IT di concedere l’accesso
dispositivi che soddisfano gli standard di sicurezza possano
da un laptop, ma di limitarlo da uno smartphone, a utenti
connettersi a una rete Wi-Fi.
che lavorano in sedi remote. L’apparecchiatura Wi-Fi deve
ora includere flussi di lavoro collaborativi con strumenti di
UN’APPLICAZIONE CHE VA OLTRE IL WIRELESS
sicurezza esterni di cui l’IT può servirsi.
Per una sicurezza completa, la conoscenza basata sui ruoli
LA NUOVA GENERAZIONE DEL NAC
va oltre la semplice rete wireless. Gli stessi principi come la
profilazione e la sicurezza basata sui ruoli vengono applicati
Il controllo degli accessi alla rete (NAC) indica semplici
a tutta la rete, indipendentemente dalla proprietà o dal tipo
controlli dello stato che determinano la postura di sicurezza,
di dispositivo. Un laptop o una stampante sono facilmente
forzano gli aggiornamenti o applicano i necessari rimedi.
differenziati e risulta più semplice fornire il giusto accesso
Poiché la forza lavoro mobile odierna ha cambiato i requisiti
alla rete, indipendentemente da dove si trova una porta.
di sicurezza, il NAC si è evoluto per offrire un onboarding
semplificato, la profilazione degli utenti, accesso guest gestito
e la gestione delle politiche al fine di risolvere le lacune di
sicurezza senza travolgere le risorse dell’IT.
Per una sicurezza dell’endpoint occorre l’Adaptive
Trust Defense, che include la gestione delle politiche e
l'integrazione con soluzioni di sicurezza di terze parti che
esistono in rete o che sono in fase di esplorazione, come
MDM/EMM, firewall di nuova generazione e soluzioni di
gestione delle identità. Non è più possibile installare prodotti
individuali che operano indipendentemente gli uni dagli altri.
GESTIONE COLLABORATIVA DELLE POLITICHE
Aruba ClearPass si pone al centro dei componenti di
sicurezza per includere e distribuire un contesto davvero
utile alle soluzioni di sicurezza multivendor esistenti. Questa
soluzione combinata offre un set completo di funzionalità
per la visibilità end to end e per la protezione, che rafforzano
le architetture di sicurezza esistenti. ClearPass gestisce tutte
le autenticazioni e le transazioni di autorizzazione utilizzando
un contesto basato su ruoli e dispositivi, non disponibile
all'interno dei tradizionali strumenti di sicurezza perimetrale.
Le identità degli utenti possono ora includere ruoli, posizione,
tipi di dispositivo e modalità di accesso per consentire
l’applicazione di privilegi differenziati sulla base di dati di
accesso precisi e granulari. I dirigenti vengono così facilmente
differenziati dal personale, i dispositivi gestiti dall’IT vengono
separati dai dispositivi BYOD e, soprattutto, i dati contestuali
possono essere condivisi con firewall, IPS/IDS e soluzioni MDM/
EMM. Nella maggior parte dei casi, queste ulteriori soluzioni di
sicurezza possono condividere i dati con ClearPass.
L'approccio Adaptive Trust distribuisce le informazioni
granulari contestuali sull’utente a tutta la rete cablata e
wireless in tempo reale, migliorando il modello tradizionale
di configurazione statica della porta basato su VLAN e porte
sulla rete cablata.
I dati contestuali raccolti da ClearPass fanno sì che i dati degli
utenti su una rete cablata o wireless possano essere utilizzati
dall’IT per applicare cambiamenti alle politiche in tempo reale
in base alle esigenze. Si tratta di un approccio più dinamico
rispetto ai dati statici sui profili utente solitamente inviati al
firewall dagli archivi di identità tradizionali. Le informazioni su
guest e visitatori spesso non si trovano in queste directory,
lasciando così vulnerabilità che solo un motore di politiche è
in grado di correggere.
COLLEGARE L’IT E LA COMMUNITY DEGLI UTENTI
È possibile risparmiare risorse IT e di personale attraverso il
self-provisioning gestito dell’utente e politiche predefinite: gli
utenti finali eseguono l’onboarding autonomamente tramite
un semplice flusso di lavoro basato sul web, e ClearPass fa
il resto, compreso l’invio dei certificati al dispositivo. Inoltre,
sfruttando i servizi di ClearPass, l’accesso guest sicuro e
l’onboarding dei dispositivi diventano semplici e sicuri.
Il motore di politiche ClearPass offre vantaggi anche
all’esterno del team di sicurezza. Definendo i ruoli in
base all'utente e al tipo di applicazione eseguita, possono
essere create politiche QoS e inviate automaticamente
all’infrastruttura Wi-Fi e cablata. Ad esempio, i servizi per
l’infrastruttura Wi-Fi possono applicare una politica secondo
la quale le app di social media sono accessibili da parte dei
gruppi di marketing e non del reparto vendite, dove l'accesso
SFDC sarebbe una priorità.
PANORAMICA ESECUTIVA
LA MOBILITÀ E IL NUOVO VOLTO DELLE MINACCE DI SICUREZZA
I responsabili della sicurezza dell’IT o della rete devono inoltre
poter applicare politiche sui dispositivi rogue degli utenti finali,
per mantenere la postura di sicurezza e gli obiettivi aziendali
necessari, presenti in ambienti regolamentati come quello
del settore sanitario, dove storage crittografato e traffico
segmentato sono d’obbligo. Un altro esempio è rappresentato
dal settore verticale dell’istruzione: i provveditorati possono
necessitare di un’applicazione basata sul ruolo, in cui gli
insegnanti hanno accesso a materiali diversi rispetto agli
studenti, oppure dove talune applicazioni sono limitate in
termini di larghezza di banda.
ClearPass offre vantaggi sia agli utenti finali che ai
responsabili dell’IT, consentendo agli utenti finali di fornire
contesto al motore delle politiche durante onboarding o
autenticazione, mentre i responsabili IT possono restare
tranquilli sapendo che, con gli attributi appropriati,
ottengono un’applicazione granulare su tutte le soluzioni di
sicurezza di rete esistenti.
RIEPILOGO
La forza lavoro altamente mobile odierna richiede una
difesa di tipo Adaptive Trust che riunisce tutti le componenti
di sicurezza pertinenti per la protezione di un ambiente
mobile. Le infrastrutture wireless e cablate, sebbene
veloci e dedicate al traffico in movimento, richiedono la
collaborazione di informazioni contestuali e risorse di
sicurezza interne ed esterne affinché gli utenti possano
lavorare, se necessario, in modo sicuro, indipendentemente
dal luogo o dispositivo.
Unendo in modo fluido le informazioni contestuali granulari
dei dispositivi al motore delle politiche e alla protezione
del traffico, le aziende hanno la garanzia di reti progettate
tenendo a mente le vulnerabilità di nuova generazione.
Per maggiori informazioni su ClearPass e Adaptive Trust
Defense, vedere la pagina www.arubanetworks.com/it
VIA GIUSEPPE DI VITTORIO, 9 | CERNUSCO SUL NAVIGLIO (MI) | 20063 MILAN - ITALIA
www.arubanetworks.com/itEO_AdaptiveTrustDefenseAwareness_110915