A cura di Dick Bussiere, Solution Architect, Arbor Networks
La rapida adozione di tablet, smartphone e altri dispositivi mobili da parte dei consumatori dà vita a una nuova sfida per le divisioni IT delle aziende. Questo fenomeno, denominato “bring your own device” (BYOD), si traduce nella richiesta (e nella aspettativa) di accesso a posta elettronica, intranet, database, sistemi CRM e altri servizi corporate da parte dei proprietari di questi dispositivi. L’introduzione di questi apparecchi personali determina una serie di nuovi rischi che devono essere necessariamente mitigati senza che l’IT possa intervenire sulla gestione o configurazione dei dispositivi stessi.
L’incessante proliferazione del modello BYOD all’interno delle aziende pone al contempo problematiche e opportunità sia per i datori di lavoro che per i dipendenti. Secondo quanto emerso recentemente dalla ottava edizione dell’Arbor Annual Worldwide Infrastructure Security Report, oltre il 62% delle imprese intervistate consente ai propri dipendenti di utilizzare dispositivi personali sulla rete aziendale; tuttavia, solo la metà permette invece l’uso di servizi cloud pubblici per sincronizzare i dati tra i dispositivi aziendali e quelli personali.
L’analisi rivela come le aziende si stiano affidando a una varietà di metodi per monitorare e rilevare i dispositivi personali; tra le tecniche più diffuse vi sono i “sistemi per il controllo dell’accesso alla rete”, la “posture assessment basata su host” e i “sistemi di monitoraggio flow-based”. Allarmante invece il dato per il quale nel 25% dei casi non sono stati implementati sistemi o soluzioni a riguardo.
Se è vero che molto è stato scritto per aiutare e guidare le divisioni IT nella gestione di questa nuova tendenza, è altrettanto reale la condizione di disorientamento delle imprese rispetto alle valutazioni che vanno compiute prima di procedere all’implementazione del modello BYOD. A esempio, i responsabili IT devono considerare una serie di elementi quali il controllo delle applicazioni e dei dispositivi, l’ottimizzazione dei livelli di sicurezza, la gestione e l’applicazione delle policy e la visibilità delle applicazioni. Spesso, comunque, la priorità riguarda la sicurezza. Come è possibile per un’impresa proteggere un’infrastruttura se non possiede tutti i dispositivi mobili che si collegano alla rete? Come può applicare le policy basate su location, orario e altri criteri per il controllo di questi dispositivi consumerizzati? Come può mitigare il rischio di attacchi Distributed Denial of Service (DDoS) in un ambiente aperto di questo genere?
Prima di implementare il modello BYOD vi sono quattro elementi che andrebbero considerati:
L’impatto sulle policy di sicurezza esistenti
L’impatto che il modello BYOD produce sulle infrastrutture e sulle policy di sicurezza esistenti deve essere oggetto di attento esame, e di conseguenti adattamenti laddove necessario. Rischi in passato ininfluenti devono trovare adesso la giusta valutazione alla luce dell’impiego dei dispositivi di proprietà dei dipendenti.
Di seguito alcuni esempi di rischio:
– Smarrimento del dispositivo
– Configurazione non corretta
– Installazione di “app” pericolose
– Uso del dispositivo da parte di terzi diversi dal dipendente stesso
Triangolo della Sicurezza
Un piano di sicurezza valido necessita di una strategia che sia in grado di tutelare la confidenzialità, l’integrità e disponibilità, i tre elementi che vengono più spesso definiti come il “Triangolo della Sicurezza”. Per garantire l’integrità l’IT deve creare diverse aree sicure basate su firewall a filtraggio dinamico per applicare policy di sicurezza e di utilizzo della rete. L’introduzione del modello BYOD può comportare una ridefinizione di tali aree – assegnando al esempio al BYOD le policy di accesso più rigide. La confidenzialità può essere difesa in modi diversi: con l’uso della crittografia, di tecniche di autenticazione a due fattori e di policy di sicurezza attentamente studiate. I dati aziendali sensibili memorizzati su un dispositivo personale devono essere crittografati ed è essenziale implementare dei sistemi preposti alla cancellazione delle informazioni corporate in caso di smarrimento o sottrazione del dispositivo. Quando i dati aziendali vengono consultati attraverso reti non sicure il consiglio è quello di fare leva su connessioni crittografate.
Un altro aspetto che caratterizza il modello BYOD è che i dipendenti si aspettano che i servizi delle proprie aziende siano sempre e comunque accessibili; per questo la disponibilità delle risorse deve essere assicurata attraverso l’implementazione di soluzioni IDMS (Intelligent DDoS Mitigation System). Un attacco DDoS mira a interrompere la disponibilità di un servizio verso gli utenti che lo stanno adoperando – in questo caso il servizio corrisponde al dispositivo personale del dipendente. Questo genere di minacce richiede un meccanismo di difesa diverso, incentrato sulla mitigazione piuttosto che sull’isolamento. Il blocco del traffico spesso completa l’obiettivo di un attacco DDoS isolando totalmente la risorsa colpita e rendendola inaccessibile agli utenti autorizzati. Le minacce DDoS vengono mitigate grazie all’analisi euristica dei modelli di traffico e tramite l’attenta ispezione dei dati di pacchetto. Il traffico sospetto viene scartato.
Policy di rete Location-Aware
In un mondo di tipo BYOD è necessario concentrarsi su policy di rete Location-Aware. In particolare occorrono policy basate sulla rete che intensifichino l’effetto di quelle applicate a livello di dispositivo. Una policy di rete Location-Aware cambia in base a dove si trova il dispositivo. Solo a questo punto si può dare risposta ai seguenti quesiti: quali risorse e quali dati possono essere consultati dai dispositivi mobili a seconda della loro posizione? Come si possono porre limitazioni di accesso ai dati durante specifici momenti del giorno? Come si possono controllare i dati che transitano sui dispositivi mobili sia a livello di rete aziendale che in remoto?
Controllo degli accessi alla Intranet
L’IT deve avere la capacità di controllare quali dispositivi mobili possono accedere alla Intranet autenticandoli in maniera appropriata. Allo scopo vengono adoperate varie tecnologie di Network Access Control (NAC). Quando parliamo di BYOD, la soluzione deve funzionare senza l’installazione di client sui dispositivi personali; su questi ultimi devono essere applicate le policy di rete vigenti, a prescindere dal sistema operativo o dal proprietario. I dispositivi che non possono essere autenticati in rete vengono posti in quarantena. In alcuni casi l’implementazione BYOD può stabilire policy di accesso anche più rigide rispetto a quelle previste per le apparecchiature corporate, per la semplice ragione che i dispositivi personali non sono così fidati e sicuri come quelli invece gestiti direttamente dall’azienda.
Visibilità su rete e applicazioni
Le divisioni IT necessitano di visibilità sui flussi di traffico e sull’utilizzo della applicazioni e devono definire delle regole di traffico a livello della rete interna con l’obiettivo di rilevare e comprendere le attività normali e quelle atipiche. I modelli di flusso dei dati su base device-by-device consentono di scoprire se un dispositivo mobile stia cercando di accedere a dati autorizzati o se stia tentando di trasferirli verso destinazioni non autorizzate. La capacità di identificare attività potenzialmente nocive assume un’importanza ancora maggiore nel momento in cui sono presenti elementi BYOD non gestiti. La visibilità sull’attività di rete è l’unico modo per rilevare questo genere di situazioni.
In conclusione
Alla luce di un ambiente “sempre connesso” come quello proposto dal modello BYOD, la disponibilità assume una valenza critica. L’utente finale porta costantemente con sé il dispositivo mobile aspettandosi servizi e applicazioni sempre e comunque accessibili e disponibili. È pertanto fondamentale che i responsabili IT delle aziende tengano conto di questi endpoint e modelli di utilizzo assolutamente non tradizionali durante la progettazione non solo della rete enterprise ma anche dei servizi cloud-based e di tutte le relative interazioni.
Adottare un approccio difensivo a livelli che vada in profondità rappresenta, come per qualsiasi altra sfida di sicurezza, la tecnica migliore. Per garantire la disponibilità dei dati e dei servizi critici, la rete deve essere tutelata non solo nell’ambiente aziendale stesso ma anche nella dorsale del service provider e nel data center.
