Cos'è l'autenticazione a più fattori (MFA) per le reti isolate? Colmare l'ultima lacuna di sicurezza nei sistemi isolati.

Le reti isolate dalla rete dovrebbero essere intoccabili. Nessuna connessione a Internet, nessun percorso remoto, nessuna via d'accesso per un attaccante che si trovi dall'altra parte del mondo.

Ma chiedete a qualsiasi team di sicurezza che abbia effettivamente gestito uno di questi ambienti e sentirete una storia diversa. Gli ambienti isolati bloccano completamente gli attacchi remoti. Ma non servono quasi a nulla contro una password rubata, una chiavetta USB usata con noncuranza o un dipendente interno con troppa fiducia e troppo poca supervisione. È proprio questa la lacuna, e l'autenticazione a più fattori (MFA) è qui per colmarla.

Questa guida spiega cosa sono effettivamente le reti isolate dalla rete, perché il solo isolamento non rappresenta una strategia di sicurezza completa e come le organizzazioni stanno implementando l'autenticazione a più fattori (MFA) in ambienti che non erano stati progettati per comunicare con Internet.

Che cosa sono le reti isolate dalla rete (Air-Gapped Networks)?

Una rete isolata dalla rete (air-gapped network) è un sistema o un insieme di sistemi che non hanno alcuna connessione fisica o wireless con alcuna rete esterna, inclusa Internet pubblica.

In questa rete non ci sono cavi in ​​uscita, né trasmissioni Wi-Fi, né collegamenti nascosti a una LAN aziendale. Se un hacker di un altro paese volesse raggiungere direttamente quella rete tramite i cavi, semplicemente non potrebbe. La connessione non esiste.

In questo contesto, esistono due tipi di isolamento nella sicurezza delle reti isolate dalla rete:

• Fisico: Significa che un sistema non ha alcuna connessione, né cablata né wireless, ad alcuna rete esterna, inclusa Internet.
• Logico: Significa che un sistema si trova su una rete segmentata, isolata tramite firewall, VLAN e rigide regole di routing, anziché mediante la disconnessione dei cavi.

Inoltre, le organizzazioni creano sistemi di isolamento fisico (air gap) per un motivo fondamentale: ridurre la superficie di attacco dei loro sistemi più sensibili.

L'isolamento fisico (air-gapping) è effettivamente efficace contro lo sfruttamento remoto, le campagne malware automatizzate e gli attacchi opportunistici basati su Internet. Ciò che non fa è eliminare la necessità che qualcuno, a un certo punto, acceda fisicamente o amministrativamente a quel sistema.

Perché le reti isolate dalla rete necessitano comunque di un'autenticazione forte?

L'isolamento protegge dalle minacce che viaggiano attraverso un cavo. Non offre alcuna protezione contro le minacce che entrano dalla porta principale, che si tratti di una schermata di accesso, di una porta USB o di un badge aziendale.

Ecco cosa mette effettivamente a rischio i sistemi isolati dalla rete, sulla base di incidenti reali verificatisi in ambienti governativi, industriali e aziendali:

• Credenziali compromesse: Le password vengono rubate tramite phishing, indovinate o divulgate a seguito di violazioni non correlate, e l'isolamento fisico non impedisce a qualcuno di utilizzare credenziali rubate su una schermata di accesso locale. soluzione MFA resistente al phishing Contribuisce a tenere a bada gli attacchi di phishing e le relative conseguenze.
• Minacce interne: Dipendenti e collaboratori con accesso legittimo possono abusarne, per malizia, negligenza o coercizione.
• Credenziali di amministratore rubate: Gli account privilegiati presentano il rischio più elevato perché in genere godono di un ampio accesso all'interno di un ambiente isolato.
• Supporti USB/rimovibili dannosi o infetti: Questi dispositivi sono spesso l'unico modo autorizzato per trasferire file in un sistema isolato dalla rete, il che li rende un vettore di attacco primario.
• Errore umano: Una configurazione di accesso errata, password deboli o una postazione di lavoro non bloccata possono vanificare completamente l'isolamento.
• Accesso fisico: Chiunque sia in grado di raggiungere a piedi un terminale ha un modo per accedervi, indipendentemente dalla connettività di rete.
• Malware introdotto tramite media esterni: Il codice non ha bisogno di una connessione di rete per diffondersi; è sufficiente che qualcuno colleghi un'unità infetta.
• Movimento laterale dopo il compromesso iniziale: Una volta che un aggressore riesce a infiltrarsi, una debole autenticazione interna gli consente di spostarsi tra i sistemi con una resistenza minima.

L'esempio più lampante del perché le reti isolate dalla rete necessitino di autenticazione è Stuxnet, il malware che ha colpito l'impianto di arricchimento dell'uranio di Natanz, in Iran, nel 2010.

Questo singolo episodio ha ridefinito il modo in cui i team di sicurezza concepiscono le barriere di accesso radio, e a distanza di oltre un decennio, attacchi simili veicolati tramite USB contro reti governative isolate continuano a essere documentati.

Lo schema che emerge da ogni analisi di sicurezza air-gapped condotta da diversi framework e fornitori è il seguente: l'isolamento blocca il percorso di rete, ma non può verificare chi si trova effettivamente davanti alla tastiera. Tale verifica spetta all'autenticazione, e una singola password rappresenta un punto debole per un compito così importante.

Decontaminazione di file in reti isolate (air-gapped)

Poiché i supporti rimovibili sono spesso l'unico modo legittimo per trasferire dati in un ambiente isolato dalla rete, la decontaminazione dei file di rete in ambienti isolati merita una breve menzione, insieme all'autenticazione.

La decontaminazione dei file si riferisce al processo di scansione, sanificazione e convalida dei file prima che questi entrino nella rete isolata, in genere tramite una stazione di trasferimento dedicata che verifica la presenza di malware, script nascosti o tipi di file non autorizzati.

L'autenticazione controlla chi può avviare il trasferimento. La decontaminazione controlla cosa effettivamente transita. Nessuna delle due sostituisce l'altra, e i programmi di sicurezza air-gapped più avanzati le considerano come una difesa combinata: una solida autenticazione a più fattori (MFA) per la persona che effettua il trasferimento e una rigorosa scansione del contenuto stesso.

Quali sono le sfide legate all'implementazione dell'autenticazione a più fattori (MFA) nelle reti isolate dalla rete (air-gapped)?

Ecco il problema che la maggior parte dei team di sicurezza si trova ad affrontare: gli strumenti di autenticazione a più fattori (MFA) che già utilizzano per il resto della rete spesso non possono essere implementati all'interno dell'area geografica isolata (air gap).

La maggior parte delle piattaforme MFA più diffuse sono state progettate con un approccio "cloud-first", il che significa che si basano su una connessione internet per inviare notifiche, verificare i codici monouso o sincronizzarsi con un provider di identità. Tutto ciò non funziona quando la rete non ha un collegamento con il mondo esterno.

Alcuni vincoli strutturali rendono l'autenticazione a più fattori (MFA) in ambienti isolati (air-gapped) un problema effettivamente diverso rispetto all'autenticazione a più fattori (MFA) aziendale standard:

• Nessuna connessione a Internet: Le notifiche push, i codici SMS e le app di autenticazione con verifica cloud non hanno alcun modo di raggiungere l'utente o il server di verifica.
• Nessuna dipendenza dai servizi di autenticazione cloud: Qualsiasi Soluzione AMF Una soluzione che dipende dal cloud di un fornitore per la convalida è, per definizione, inaccettabile.
• Connettività limitata ai provider di identità esterni: Le configurazioni di identità federata che si basano su un provider di identità (IdP) esterno falliscono quando non esiste un percorso per raggiungerlo.
• Sistemi e applicazioni legacy: Molti ambienti isolati dalla rete utilizzano sistemi operativi e software obsoleti, non progettati per supportare i moderni protocolli di autenticazione.
• Installazione di software vietata: Politiche di controllo delle modifiche rigorose, termini di garanzia del fornitore o obblighi di conformità spesso impediscono l'installazione di nuovi agenti su sistemi protetti.
• Requisiti di continuità operativa: Molti di questi sistemi funzionano 24 ore su 24, e qualsiasi misura di sicurezza che comporti il ​​rischio di interruzioni di servizio è difficile da far accettare.
• Capacità limitata di aggiornare o riavviare i sistemi critici: I cicli di applicazione delle patch sono lenti e ponderati, il che esclude qualsiasi elemento che richieda aggiornamenti frequenti per funzionare.
• Necessità di autenticazione convalidata localmente: L'intero flusso di autenticazione, dalla richiesta alla verifica, deve avvenire all'interno dell'ambiente isolato, senza alcun punto di controllo esterno.
• I dati di autenticazione e di audit devono rimanere all'interno dell'ambiente isolato: Per motivi di conformità e sicurezza, i registri e i dati delle credenziali generalmente non possono uscire dal perimetro di sicurezza isolato dalla rete.

Le organizzazioni presumono che gli strumenti che funzionano per la loro normale rete d'ufficio non funzioneranno all'interno dell'ambiente isolato dalla rete, quindi non si preoccupano di cercare alternative.

In realtà, esistono soluzioni MFA on-premise create appositamente per questo caso d'uso, e colmare questa lacuna è molto più fattibile di quanto la maggior parte dei team si aspetti.

Come funziona l'autenticazione a più fattori (MFA) in una rete isolata dalla rete (air-gapped)?

Ecco il flusso passo passo, con ogni fase che si svolge all'interno di un ambiente isolato e senza necessità di connessione internet o cloud:

• Tentativo di accesso da parte dell'utente: Qualcuno tenta di accedere a una workstation, un server o una console amministrativa all'interno della rete isolata dalla rete.
• Autenticazione primaria: L'utente inserisce un nome utente e una password, che vengono verificati rispetto a un servizio di directory locale, come ad esempio un Active Directory locale.
• Sfida MFA offline/disponibile localmente: Una volta verificata la validità del primo fattore, il sistema emette una seconda richiesta di autenticazione che viene generata e convalidata interamente in locale, senza alcun transito attraverso Internet.
• L'utente verifica tramite il secondo fattore: L'utente risponde utilizzando un metodo progettato per la convalida offline, come toccare un tasto hardware FIDO2, inserire un codice token hardware o completare una sfida basata su una griglia.
• Il sistema di autenticazione locale convalida il fattore: La verifica avviene interamente all'interno dell'ambiente isolato, senza necessità di connettersi a un server esterno o a un servizio cloud.
• Accesso consentito o negato: In base a tale convalida locale, il sistema consente l'accesso all'utente oppure blocca il tentativo.
• Evento di autenticazione registrato localmente: Ogni tentativo di accesso, riuscito o fallito, viene registrato in un registro di controllo che rimane all'interno del perimetro isolato dalla rete.

Il requisito che lega insieme l'intero flusso è semplice: il secondo fattore deve essere verificabile senza passare per Internet o un servizio cloud. È questo che distingue l'autenticazione a due fattori isolata dalla rete (air-gapped) dalla comune autenticazione a più fattori (MFA) che la maggior parte delle persone utilizza per le applicazioni cloud.

Quali metodi di autenticazione a più fattori (MFA) funzionano per le reti isolate dalla rete (air-gapped networks)?

Non tutti i metodi di autenticazione sono adatti a un ambiente offline. Ecco una panoramica di quelli che effettivamente funzionano, partendo dall'opzione più sicura e passando a soluzioni più specifiche per determinate situazioni.

1. Chiavi di sicurezza FIDO2 e token hardware

Le chiavi di sicurezza FIDO2 rappresentano lo standard di riferimento per l'autenticazione in ambienti non collegati alla rete, e non a caso.

Questi dispositivi fisici, tra cui YubiKey è il nome più noto, generano una prova crittografica di identità tramite un meccanismo di sfida-risposta che non dipende dalla connessione a Internet. L'utente inserisce la chiave o la avvicina a un lettore NFC e il sistema locale verifica immediatamente la firma crittografica.

Ciò che rende FIDO2 particolarmente prezioso in questo contesto è la resistenza al phishing. Poiché l'autenticazione è legata al dispositivo specifico e alla sessione di accesso specifica, non c'è codice da intercettare né segreto condiviso da rubare. Inoltre, non c'è modo per un malintenzionato di indurre un utente ad approvare qualcosa da remoto.

Per gli account privilegiati e l'accesso amministrativo all'interno di una rete isolata, le chiavi di sicurezza FIDO2 e i token hardware dovrebbero essere la soluzione predefinita, non un'opzione secondaria.

2. TOTP e token basati su software

Le password monouso basate sul tempo (TOTP) generano un nuovo codice numerico ogni 30-60 secondi utilizzando un algoritmo condiviso tra il token e il server di verifica.

Il dettaglio fondamentale per le implementazioni isolate dalla rete è che la generazione e la convalida del TOTP possono avvenire interamente offline, a condizione che sia il token (hardware o software) che il server locale condividano lo stesso seed sincronizzato con l'ora.

TOTP è una soluzione ideale per le implementazioni in cui i token hardware non sono pratici per tutti gli utenti. Tuttavia, richiede che la piattaforma MFA sottostante supporti la verifica locale e offline, anziché un controllo basato sul cloud.

3. Autenticazione tramite modello di griglia

L'autenticazione a griglia , uno dei metodi predominanti per l'autenticazione a più fattori offline , è una delle opzioni meno utilizzate in questo ambito. E merita maggiore attenzione, soprattutto in ambienti altamente isolati.

Il concetto è semplice:

• Durante la configurazione, l'utente seleziona uno schema personalizzato di celle su una griglia, in genere con una disposizione che va da 4x4 a 8x8.
• Al momento dell'accesso, la griglia visualizza ogni volta una nuova serie di numeri generati casualmente in ciascuna cella.
• L'utente inserisce i numeri che rientrano nello schema scelto.

Poiché lo schema in sé non cambia mai, mentre i numeri sottostanti ruotano a ogni sessione, questo metodo non richiede telefono, connessione internet o alcuna dipendenza da app per dispositivi mobili.

Si tratta di un metodo puramente visivo e basato sulla memoria, il che lo rende un metodo di autenticazione nativo per l'utilizzo offline, piuttosto che un metodo online adattato per l'uso offline.

Negli ambienti in cui l'emissione di token hardware a ogni utente non è praticabile, o dove i dispositivi mobili non sono ammessi all'interno della struttura, l'autenticazione tramite griglia colma questa lacuna.

4. Carte intelligenti

L'autenticazione tramite smart card rimane una pratica comune nelle organizzazioni che già dispongono di un'infrastruttura a chiave pubblica (PKI), in particolare negli ambienti governativi e della difesa che operano secondo standard come FIPS 140-2.

Una smart card memorizza un certificato crittografico che viene verificato localmente rispetto a un'autorità di certificazione presente in loco, senza dipendenza da Internet.

Il compromesso è che l'infrastruttura per smart card è più complessa e costosa da implementare da zero. Pertanto, tende ad essere più adatta alle organizzazioni che hanno già investito in un'infrastruttura PKI, piuttosto che a chi si appresta a implementare per la prima volta l'autenticazione a più fattori (MFA) in un ambiente isolato.

Perché vale la pena investire in un MFA con isolamento dalla rete.

Implementare l'autenticazione a più fattori (MFA) in un ambiente isolato richiede un'attenta pianificazione, ma i vantaggi si manifestano rapidamente una volta che il sistema è attivo.

Ecco cosa guadagnano concretamente le organizzazioni.

• Protegge dalle credenziali compromesse: Anche se una password viene rubata, indovinata o divulgata, un malintenzionato ha comunque bisogno del secondo fattore di autenticazione fisico per accedere, il che blocca il punto di ingresso più comune nei sistemi isolati dalla rete.
• Garantisce l'accesso privilegiato: Gli account di amministratore e di root comportano un rischio elevato perché una singola credenziale compromessa può esporre l'intero ambiente isolato. L'autenticazione a più fattori (MFA) elimina questa specifica vulnerabilità.
• Funziona anche senza connessione internet: Una corretta implementazione dell'autenticazione a più fattori (MFA) convalida ogni accesso localmente. In questo modo, l'isolamento che rende la rete sicura non viene mai compromesso per aggiungere l'autenticazione.
• Aggiunge un sistema di autenticazione resistente al phishing: Metodi basati sull'hardware come FIDO2 rimuovere i segreti condivisi e i codici monouso che attacchi di phishing sono progettati per essere sfruttati, rendendo il furto di credenziali molto meno utile per un aggressore.
• Migliora la visibilità e la responsabilità: Ogni tentativo di autenticazione viene registrato localmente, fornendo ai team di sicurezza una registrazione chiara e a prova di manomissione di chi ha avuto accesso a cosa e quando. Questo è di fondamentale importanza per la gestione degli incidenti e per le verifiche di conformità.

È bene chiarire un punto: l'autenticazione a più fattori (MFA) non sostituisce l'isolamento fisico, e non è pensata per farlo. L'isolamento continua a svolgere la sua funzione di bloccare gli attacchi remoti.

L'autenticazione a più fattori (MFA) elimina il rischio, altrettanto reale, derivante dall'abuso o dal furto di credenziali di accesso legittimo. Insieme, questi due sistemi di controllo offrono una copertura ben maggiore rispetto a ciascuno di essi singolarmente.

Dove l'autenticazione a più fattori con separazione d'aria offre il massimo valore

L'autenticazione a più fattori con separazione fisica tra dispositivi (air-gapped MFA) non è un requisito di nicchia. È presente in alcuni dei settori più critici al mondo, ognuno con le proprie specifiche motivazioni per richiederla.

1. Sistemi di governo e di difesa

Le reti di difesa classificate e di importanza critica sono isolate dalla rete proprio perché una violazione in queste reti non si limiterebbe a una semplice fuga di dati, ma rappresenterebbe un evento di sicurezza nazionale.

Ma una singola password rubata nella schermata di accesso a un sistema classificato può aggirare completamente l'isolamento. Inoltre, i sistemi legacy, comuni negli ambienti della difesa, spesso non sono in grado di supportare i moderni controlli di sicurezza basati sul cloud.

La soluzione: i token hardware FIDO2 e le smart card, spesso collegati a infrastrutture PKI esistenti e già utilizzati dalle agenzie di difesa, convalidano l'identità localmente senza mai connettersi a Internet.

2. Infrastrutture critiche e sistemi di controllo industriale

Le reti elettriche, gli impianti di trattamento delle acque e gli stabilimenti di produzione utilizzano tecnologie operative isolate dalla rete, poiché un'interruzione o una manipolazione ha conseguenze fisiche e concrete.

Tuttavia, questi sistemi di controllo sono spesso gestiti tramite console amministrative condivise, e un singolo accesso compromesso può dare a un malintenzionato la possibilità di interrompere il funzionamento delle apparecchiature.

La soluzione: applicare l'autenticazione a più fattori (MFA) con funzionalità offline all'accesso amministrativo e alle console con restrizioni aggiunge un livello di verifica che non richiede tempi di inattività del sistema per essere implementato. Questo è importante, data la scarsa tolleranza di questi ambienti alle interruzioni.

3. Infrastruttura finanziaria e bancaria

Le banche isolano i server transazionali principali e i sistemi legacy che gestiscono enormi volumi di dati finanziari sensibili. Lo fanno perché questi sistemi non possono essere facilmente sostituiti o esposti alle minacce moderne.

Il rischio non è che l'isolamento fallisca; è che un account amministrativo privilegiato venga compromesso, consentendo l'accesso a tutto ciò che si trova dietro di esso.

La soluzione: l'autenticazione a più fattori (MFA) su server isolati e account privilegiati aggiunge un secondo livello di difesa.

4. Assistenza sanitaria e sistemi medici sensibili

Gli ospedali isolano i sistemi di connessione dai dispositivi medici, dalle cartelle cliniche e dalle operazioni della struttura perché questi sistemi contengono alcuni dei dati personali più sensibili in assoluto.

Un accesso compromesso in questo contesto non comporta solo il rischio di una violazione dei dati; può anche mettere a repentaglio la sicurezza dei pazienti se sono coinvolti i sistemi operativi.

La soluzione: un'autenticazione forte e convalidata localmente su questi sistemi isolati protegge dall'uso improprio delle credenziali. Ciò aiuta le organizzazioni sanitarie a rispettare gli obblighi normativi relativi ai dati dei pazienti.

5. Postazioni di lavoro e dispositivi di rete sicuri

Le workstation Windows, i server autonomi, i dispositivi di rete come switch e router e le console amministrative all'interno di strutture sicure vengono spesso considerati un aspetto secondario una volta che la rete più ampia è stata isolata.

Ma ognuno di questi endpoint rappresenta un punto di accesso a sé stante, e un accesso debole su una singola workstation può vanificare l'isolamento che protegge tutto ciò che la circonda.

La soluzione: estendere l'autenticazione a più fattori (MFA) ai dispositivi di rete e alle console amministrative, oltre alle VPN o ai gateway di accesso remoto, ove applicabile. Questo contribuisce a garantire lo stesso livello di controllo su ogni endpoint che viene già applicato a livello di perimetro di rete.

Come implementare l'autenticazione a più fattori (MFA) in reti isolate: le migliori pratiche

Implementare l'autenticazione a più fattori (MFA) in un ambiente isolato dalla rete non è un progetto "plug-and-play". Queste pratiche riflettono ciò che funziona realmente in base al livello di maturità con cui i team di sicurezza affrontano la questione.

• Scegli metodi di autenticazione a più fattori (MFA) che funzionino anche senza connessione a Internet: Escludi tutto ciò che dipende da le notifiche push, SMS o verifica basata su cloud prima di valutare qualsiasi altra funzionalità.
• Per l'accesso privilegiato, dare priorità all'autenticazione hardware resistente al phishing: Gli account amministrativi e di livello root dovrebbero ricevere per primi le chiavi FIDO2 o i token hardware, poiché sono quelli che presentano il rischio maggiore in caso di compromissione.
• Mantenere l'infrastruttura di autenticazione all'interno dell'ambiente isolato: Il server di verifica, l'archivio delle credenziali e i registri di controllo devono risiedere tutti all'interno del perimetro isolato dalla rete, senza che nulla vi transiti all'esterno.
• Applicare l'autenticazione a più fattori (MFA) agli amministratori e ad altri utenti ad alto rischio: Se un'implementazione completa non è immediatamente fattibile, iniziate dagli account che hanno l'accesso più ampio e il raggio d'azione maggiore in caso di violazione.
• Applicare politiche di accesso granulari: Non tutti gli utenti necessitano dello stesso livello di accesso a ogni sistema, e le politiche di autenticazione a più fattori (MFA) dovrebbero rispecchiare questa realtà anziché applicare un'unica regola generalizzata.
• Limita l'accesso in base alla postazione di lavoro, al ruolo o al gruppo di utenti: Limitare i computer a cui un determinato utente o gruppo può accedere aggiunge un ulteriore livello di protezione nel caso in cui le credenziali vengano compromesse.
• Mantenere registri di controllo locali e monitoraggio: Ogni evento di autenticazione, riuscito o fallito, deve essere registrato e analizzato regolarmente per individuare eventuali anomalie.
• Stabilire procedure di ripristino/emergenza sicure: Definisci in anticipo come un utente legittimo può riottenere l'accesso in caso di smarrimento o danneggiamento del token hardware, senza creare una falla di sicurezza che un malintenzionato potrebbe sfruttare.
• Rivedere regolarmente le politiche di autenticazione e le credenziali: Account inattivi, token inutilizzati e politiche obsolete accumulano rischi nel tempo, quindi le revisioni periodiche sono importanti quanto il lancio iniziale.
• Combinare l'autenticazione a più fattori (MFA) con la segmentazione di rete e la sicurezza fisica: L'autenticazione rappresenta un livello, non l'intera strategia. Funziona al meglio se affiancata a rigorosi controlli di accesso fisico e a una segmentazione continua della rete.

Soluzione miniOrange MFA: progettata per ambienti isolati.

La maggior parte delle piattaforme MFA si basa sul presupposto che una connessione cloud sia sempre disponibile. miniOrange adotta un approccio diverso, costruito attorno ai vincoli reali che gli ambienti isolati si trovano ad affrontare.

1. Autenticazione a più fattori offline e in loco

Autentica gli utenti interamente all'interno di un ambiente isolato, senza alcuna dipendenza dalla connettività Internet in nessuna fase del processo di accesso. Ogni richiesta di autenticazione, verifica e voce di registro rimane entro i limiti che hai già contribuito a proteggere.

2. Autenticazione hardware resistente al phishing

Qui è disponibile il supporto per metodi di autenticazione a più fattori (MFA) resistenti al phishing, come FIDO2, chiavi di sicurezza e token hardware. Ciò significa che gli utenti privilegiati e gli amministratori dispongono della massima protezione disponibile contro il furto di credenziali e il phishing, senza bisogno di una connessione Internet per la convalida.

3. Implementazione senza agenti e compatibile con i sistemi legacy

Gli ambienti isolati dalla rete spesso utilizzano sistemi legacy in cui l'installazione di nuovi agenti o la modifica del codice applicativo non sono semplicemente un'opzione, sia per via dei termini di garanzia del fornitore sia per il rischio operativo.

miniOrange è stato progettato per aggirare tali vincoli, anziché richiedere modifiche a sistemi che non possono permettersi interruzioni.

4. Controlli di accesso granulari

Oltre all'autenticazione vera e propria, miniOrange supporta criteri basati su utenti e gruppi, restrizioni a livello di workstation e regole di accesso basate sui ruoli.

Garantisce inoltre restrizioni temporali o contestuali laddove l'ambiente lo richieda. Ciò consente ai team di sicurezza di applicare il livello di controllo appropriato agli account giusti.

5. Monitoraggio, verifica e rendicontazione

Gli amministratori hanno piena visibilità sull'attività di autenticazione nell'intero ambiente isolato. Ricevono registri dettagliati che supportano sia il monitoraggio quotidiano della sicurezza sia la reportistica di conformità, il tutto senza che alcun dato esca dal perimetro di sicurezza protetto.

Conclusione: l'isolamento da solo non è una strategia completa

Le reti isolate dalla rete risolvono un problema reale, e lo risolvono bene. Ciò che non risolvono è l'aspetto umano della sicurezza: le credenziali che vengono rubate, le chiavette USB che vengono infettate e gli utenti interni che abusano dell'accesso loro concesso.

Questi rischi esistono all'interno dello spazio vuoto, non all'esterno, il che significa che nessun livello di isolamento fisico o logico sarà mai in grado di eliminarli completamente.

L'autenticazione a più fattori (MFA) colma proprio questa lacuna. Se implementata correttamente, con metodi progettati per la convalida offline, aggiunge un livello di verifica che non dipende mai dalla connettività che l'isolamento fisico (air gap) era stato concepito per eliminare.

Le organizzazioni che stanno applicando correttamente questo principio non considerano l'autenticazione a più fattori (MFA) e l'isolamento della rete (air-gapping) come strategie concorrenti. Le considerano invece come due metà della stessa difesa, ognuna delle quali copre esattamente il terreno che l'altra non riesce a coprire.

DOMANDE FREQUENTI

Che cos'è un'autenticazione a più fattori con isolamento aereo (air-gapped MFA)?

L'autenticazione a più fattori isolata dalla rete (air-gapped MFA) è un'autenticazione a più fattori implementata all'interno di una rete priva di connettività internet, utilizzando metodi come chiavi hardware FIDO2, token TOTP offline, autenticazione a griglia o smart card.

Come funziona l'autenticazione a più fattori (MFA) in una rete isolata dalla rete (air-gapped)?

L'utente inserisce le proprie credenziali principali, che vengono verificate rispetto a un servizio di directory locale, quindi completa un secondo fattore di autenticazione che viene convalidato interamente all'interno dell'ambiente isolato. L'accesso viene concesso o negato in base a tale convalida locale e l'evento viene registrato localmente senza che alcun dato esca dalla rete.

L'autenticazione a più fattori (MFA) può funzionare senza connessione a Internet?

Sì, a condizione che la soluzione MFA sia specificamente progettata per l'implementazione offline o on-premise.

Come si proteggono le reti isolate dalla rete (air-gapped) dai dispositivi USB compromessi?

Combinare una solida autenticazione per chiunque avvii un trasferimento di file con processi dedicati di decontaminazione dei file che scansionano e sanificano i supporti rimovibili prima che entrino nell'ambiente isolato.

Cosa devo fare se la mia autenticazione a più fattori (MFA) non è disponibile in un ambiente isolato dalla rete?

Le organizzazioni dovrebbero predisporre in anticipo una procedura di emergenza documentata, in genere un metodo di verifica secondario o un amministratore autorizzato in grado di convalidare l'identità tramite un processo alternativo rigorosamente controllato. Questa procedura deve essere pianificata in anticipo, poiché gli ambienti isolati dalla rete non offrono la possibilità di un rapido ripristino della password tramite cloud.