DIFESA ADAPTIVE TRUST PER UNA MOBILITÀ AZIENDALE SICURA

Transcript

1 DIFESA ADAPTIVE TRUST PER UNA MOBILITÀ AZIENDALE SICURA SFRUTTARE INFORMAZIONI DI CONTESTO IN TEMPO REALE PER RIDURRE I NUOVI RISCHI ODIERNI

2 SOMMARIO IL NUOVO PERIMETRO AZIENDALE LO SPETTRO DEI RISCHI ASSOCIATI ALLA MOBILITÀ PRESENTAZIONE DELLA DIFESA ADAPTIVE TRUST DI ARUBA LE PECULIARITÀ DI ARUBA NETWORKS UTILIZZO DELLA DIFESA ADAPTIVE TRUST PER UNA MOBILITÀ AZIENDALE SICURA DISPOSITIVI BYOD E DISPOSITIVI GESTITI DALL'IT SULLO STESSO SSID ESTENSIONE DEI CONTROLLI IT AI DISPOSITIVI UTILIZZATI NEGLI UFFICI DOMESTICI ESCLUSIONE DI DISPOSITIVI BYOD SULLE RETI GUEST AUTORIZZAZIONE E CRITTOGRAFIA SULLE RETI APERTE RIEPILOGO INFORMAZIONI SU ARUBA, UNA SOCIETÀ DI HEWLETT PACKARD ENTERPRISE

3 IL NUOVO PERIMETRO AZIENDALE Nelle reti aziendali di oggi è in atto un cambiamento epocale, che vede il passaggio da reti cablate fisse e statiche a un ambiente aperto e dinamico dove predomina la mobilità e in cui gli utenti, definiti #GenMobile, usufruiscono dell'accesso da qualsiasi luogo e in qualsiasi momento alle risorse aziendali. La #GenMobile, dotata di un numero sempre maggiore di dispositivi e app personali, mette a dura prova gli amministratori IT e della sicurezza a causa della richiesta di maggiore accesso alle risorse aziendali tramite rete Wi-Fi e cellulare. Mentre le iniziative BYOD continuano a intensificarsi, molte aziende rispondono con lentezza per mancanza di gestione delle politiche. Allo stesso tempo, gli investimenti per la sicurezza delle rete restano incentrati sul rafforzamento delle difese perimetrali, un approccio che non tiene conto delle sfide poste dalla mobilità. Di conseguenza, le aziende fanno fatica a proteggere i dati e a ridurre i nuovi rischi associati alla mobilità. Firewall di gateway, IDS/IPS, anti-virus, anti-spam, filtro degli URL e altre soluzioni di sicurezza perimetrale funzionano bene contro gli attacchi esterni, ma molte minacce gravi nascono ora dall'interno dell'azienda. La mobilità mette in discussione la nozione di perimetro fisso e i meccanismi di difesa tradizionali. I dispositivi smart oltrepassano la porta principale, bypassando i controlli di sicurezza e connettendosi direttamente alla rete senza che l'it ne venga a conoscenza. In un mondo mobile, il perimetro della rete si sposta ovunque gli utenti si connettano, indebolendo l'efficacia delle difese dei gateway. LO SPETTRO DEI RISCHI ASSOCIATI ALLA MOBILITÀ Gli attacchi sofisticati e persistenti di oggi mettono nel mirino il minimo comune denominatore e penetrano attraverso qualsiasi punto debole o backdoor priva di difese. La mancanza di controllo delle politiche e la visibilità limitata sui dispositivi mobili lasciano le aziende vulnerabili a nuovi rischi. Le minacce associate ai dispositivi mobili sono varie. La possibilità di utilizzare ovunque questi dispositivi e di archiviare dati sensibili al loro interno aumenta notevolmente le potenzialità di perdita di dati. Inoltre, la loro portabilità e le dimensioni ridotte li rendono facilmente soggetti a smarrimento o furto, spesso senza che siano state abilitate protezioni tramite password. Di fatto, la perdita di dati dovuta a dispositivi mal riposti è spesso citata come preoccupazione principale dagli amministratori IT incaricati della sicurezza mobile. Oltre alla perdita di dati, ci sono diverse altre variabili di cui tenere conto quando si tenta di colmare le lacune della sicurezza introdotte dalla mobilità. Queste sono: Abitudini e comportamento degli utenti: gli utenti mobili hanno la cattiva abitudine di bypassare i controlli IT per portare la propria tecnologia nell'ambiente di lavoro. Utilizzano app e servizi di storage su cloud non autorizzati, talvolta inconsapevolmente, e accedono a dati aziendali sensibili all'esterno dei controlli dell'azienda in nome della maggiore produttività. Perdita di controllo sui dati: gestire i dati nell'azienda mobile è complicato. I dati aziendali si estendono ora al di là dei contenitori e delle app includendo dispositivi di backup fuori sede, sistemi cloud non autorizzati e provider di servizi in outsourcing utilizzati dai dipendenti. Frequenza di sostituzione dei dispositivi: poiché i dispositivi vengono costantemente sostituiti da nuovi con controlli di sicurezza differenti, l'it non sa cosa sia effettivamente connesso alla rete e come gestire tali dispositivi. Modifiche non autorizzate o sistemi operativi di dispositivi jailbroken aprono la porta a ulteriori vulnerabilità. Dispositivi sempre attivi e sempre connessi: i dati sensibili sono ora esposti con maggiore facilità a reti non attendibili, aperte, non autorizzate e ad hoc e ad attacchi di tipo man-in-the-middle quando i dispositivi mobili vanno alla ricerca di una rete Wi-Fi disponibile. Le misure di sicurezza tradizionali che proteggono endpoint fissi e percorsi di dati ben definiti sono purtroppo inadeguati per proteggere l'azienda mobile di oggi. I controlli di sicurezza devono pertanto adattarsi alla natura dinamica degli utenti che si connettono e alle minacce provenienti da ogni parte. Inoltre, i modelli di attendibilità stabiliti per i dipendenti che utilizzano dispositivi di proprietà aziendale non sono più validi nel mondo BYOD. L'attendibilità non è più qualcosa che può essere presunta: è necessario guadagnarsela e tenerne traccia per determinare diritti e privilegi di accesso appropriati. Un utente che fornisce le credenziali appropriate non deve necessariamente avere carta bianca per l'accesso. I nomi utenti e le password sono insufficienti per concedere diritti di accesso alle risorse, specialmente se la posizione e il dispositivo dell'utente non sono sotto il controllo del dominio aziendale. Nel modello tradizionale mancano rilevanti informazioni contestuali (ruolo utente, tipo di dispositivo, proprietà e posizione). Tali informazioni permettono invece all'it di adattare politiche che consentono o negano l'accesso caso per caso, senza lasciare le aziende esposte e vulnerabili a nuove minacce. Per proteggere le reti aziendali mobili le organizzazioni hanno bisogno di un nuovo approccio che sfrutti e condivida le informazioni di contesto, applichi controlli adattativi in base alle esigenze di mobilità e operi senza intralciare la produttività dei dipendenti. 3

4 PRESENTAZIONE DELLA DIFESA ADAPTIVE TRUST DI ARUBA La sicurezza è spesso considerata un ostacolo alla produttività dei dipendenti. La tendenza a bypassare processi farraginosi e politiche severe espone le aziende a ulteriori exploit e a una maggiore perdita di controllo. Anche se in lotta con i rischi introdotti dalla mobilità aziendale, i dipendenti continuano a richiedere accesso per un numero sempre maggiore di dispositivi. I team che si occupano della rete e della sicurezza devono essere in linea per garantire la disponibilità dei servizi essenziali mentre vengono seguite politiche di sicurezza appropriate. Le soluzioni di prodotti accessori volti a risolvere esigenze di sicurezza specifiche possono ridurre i rischi, ma introducono ulteriore complessità e forniscono controlli limitati. La scarsa integrazione tra le soluzioni rende inoltre difficile per l'it identificare le mutevoli esigenze della forza lavoro mobile e dare loro risposta. Aruba Adaptive Trust consente la condivisione dei dati contestuali delle diverse soluzioni di sicurezza di rete per eliminare tutte le potenziali lacune della sicurezza. Il risultato è una difesa coordinata dove tutti i componenti di sicurezza operano come un unico sistema integrato, senza influire sulla produttività dei dipendenti. Grazie a questo framework difensivo, i sistemi di gestione degli accessi aziendali possono sfruttare con facilità le informazioni di contesto provenienti da una molteplicità di origini per analizzare attentamente lo stato degli utenti e dei dispositivi prima e dopo la connessione. ARUBA ADAPTIVE TRUST RISOLVE LE SFIDE ODIERNE ASSOCIATE ALLA SICUREZZA DEGLI ACCESSI Decisioni basate sul contesto: i dati contestuali in tempo reale garantiscono l'applicazione delle misure di sicurezza, indipendentemente dall'utente, dal tipo di dispositivo e dalla posizione. Le politiche vengono gestite a livello centrale e applicate al momento della connessione tramite reti Wi-Fi, cablate o VPN. Conformità dei dispositivi: tutti i dispositivi devono soddisfare le linee guida di sicurezza e di postura prima della connessione alla rete. Ai dispositivi non conformi vengono richieste azioni correttive o viene negato l'accesso. Flussi di lavoro sicuri: solo gli utenti autorizzati possono avviare un flusso di lavoro sulla base delle politiche IT. Per connettersi alle risorse aziendali, i dispositivi personali devono essere ammessi dalle politiche. Le backdoor vengono chiuse prima che possano essere sottoposte a exploit. Altro aspetto ancora migliore è che questi dati vengono scambiati con applicazioni EMM (Enterprise Mobility Management), firewall di rete, sistemi di prevenzione delle intrusioni e altre soluzioni di sicurezza. Il collante che fa sì che tutto funzioni è costituito da API REST (REpresentational State Transfer) comuni e da feed di dati di tipo syslog. DIFESA ADAPTIVE TRUST FIREWALL EMM/MDM CLEARPASS POLICY MANAGEMENT IDS/IPS/AV GATEWAY WEB figura 1.0_010915_adaptivetrust-wpa Aruba ClearPass sfrutta e condivide i dati contestuali relativi a utenti, dispositivi e posizioni con diversi strumenti di rete per la definizione e l'applicazione di politiche di tipo più granulare. 4

5 Vengono in questo modo eliminati i complessi linguaggi di script e la tediosa configurazione manuale necessaria affinché le soluzioni di sicurezza esistenti operino congiuntamente in modo più efficace per combattere i rischi associali alla mobilità aziendale. Aruba Adaptive Trust consente all'it di prendere decisioni più informate sul modo in cui si connettono gli utenti e i dispositivi e sul modo in cui vengono applicati i relativi privilegi di accesso. Di conseguenza, un motore centralizzato di applicazione delle politiche costituisce il centro nevralgico di tutto ciò che si connette alla rete. LE PECULIARITÀ DI ARUBA NETWORKS Il sistema di gestione degli accessi ClearPass offre la base del modello di difesa Aruba Adaptive Trust. Fornisce funzionalità di controllo centrale e di applicazione della sicurezza mobile in base ai ruoli e informazioni contestuali in tempo reale su qualsiasi rete multi-vendor. Questo approccio esclusivo, basato sull'integrazione di ClearPass Exchange, consente alle aziende di grandi dimensioni di sfruttare le informazioni contestuali di tutti i sistemi di sicurezza per un'applicazione delle politiche granulare e precisa. ClearPass offre Secure Enterprise Mobility grazie all'integrazione della gestione delle politiche con AAA, accesso alla rete guest, onboarding sicuro, controlli di integrità dei dispositivi e altre funzionalità self-service, tutto da un'unica piattaforma. ClearPass consente inoltre l'autenticazione a due fattori grazie all'utilizzo di più archivi di identità all'interno di uno stesso servizio, tra cui Microsoft Active Directory, directory conformi a LDAP, database SQL conformi a ODBC, server token e database interni. CLEARPASS OFFRE UN'AMPIA GAMMA DI FUNZIONALITÀ PER UNA MOBILITÀ AZIENDALE SICURA Maggiore visibilità: il profiling dinamico dei dispositivi al momento della connessione fornisce informazioni preziose che possono essere utilizzate all'interno delle politiche e per la risoluzione dei problemi. Politiche pronte per le grandi aziende: vengono forniti modelli di servizi di politiche integrati in caso di insufficienza delle soluzioni AAA legacy. Le iniziative BYOD e i servizi di accesso guest vengono creati e sono utilizzabili nel giro di minuti. Informazioni di contesto centralizzate: tutti i dati raccolti, come posizione, tipo, stato e proprietà del dispositivo, sono utilizzabili e condivisi con le soluzioni di sicurezza esistenti tramite un repository centrale. Funzionalità self-service: gli utenti possono configurare autonomamente i dispositivi personali, revocare i certificati relativi a dispositivi smarriti e sponsorizzare l'accesso guest, riducendo quindi i ticket dell'helpdesk IT e al contempo aumentando la produttività a vantaggio di tutti. Applicazione creata per la mobilità: gestire VLAN separate per l'applicazione di privilegi di rete in base al tipo di traffico è un'attività complessa e gravosa. Le politiche per i dispositivi mobili richiedono l'utilizzo di ruoli, tipi di traffico e altri dati contestuali per indirizzare automaticamente gli utenti ai segmenti di rete appropriati. L'applicazione a VLAN e ACL è utilizzata solo quando necessario. Fornendo una preziosa fonte di ulteriori informazioni di contesto, gli archivi identità possono essere utilizzati anche per autenticare gli utenti e autorizzare l'utilizzo di risorse aziendali specifiche. SCAMBIO DI DATI CON ALTRI STRUMENTI DI RETE ACCESSO DIPENDENTI CONTESTO RACCOLTO E CONDIVISO POLITICHE FIREWALL ADATTATE ALLE ESIGENZE DI MOBILITÀ Utente Dispositivo Frederik UFFICIO TECNICO Dipendente a tempo pieno Macbook Pro OS X Personale figura 2.0_011915_adaptivetrust-wpa 5

6 Il supporto delle API REST e dei feed di dati offerto da ClearPass Exchange consente di condividere le informazioni cruciali sulla mobilità aziendale tra ClearPass e altre soluzioni di sicurezza e sistemi di gestione dei flussi di lavoro aziendali. Di conseguenza, i firewall di nuova generazione di Palo Alto Networks possono sfruttare automaticamente le informazioni di contesto relative a utenti e dispositivi per politiche granulari a livello di app, mentre le applicazioni EMM come MobileIron sono ora in grado di condividere la visibilità su utenti, dispositivi e posizioni per l'applicazione di politiche Wi-Fi di sicurezza. L'interazione con gli strumenti per l'helpdesk come ServiceNow consente la creazione automatica dei ticket con le informazioni fondamentali sull'utente, il dispositivo e il problema di accesso nel caso in cui si verifichi un errore di autenticazione di rete. UTILIZZO DELLA DIFESA ADAPTIVE TRUST PER UNA MOBILITÀ AZIENDALE SICURA ClearPass risolve le esigenze del mutevole scenario delle politiche e sostituisce le soluzioni accessorie e i problemi di gestione con un unico sistema di gestione delle politiche completo, sicuro e robusto. Si riducono in questo modo le spese capex e opex e al contempo si apre un percorso per la creazione di politiche di sicurezza ottimizzate con una particolare attenzione rivolta alla semplicità e al miglioramento dell'esperienza degli utenti della #GenMobile. Grazie allo sfruttamento delle informazioni di contesto di più archivi di identità e metodi di autenticazione, ClearPass consente all'it di creare politiche di applicazione di tipo più granulare. Ciò significa che i dispositivi gestiti dall'azienda e quelli personali vengono trattati in modo diverso sulla stessa infrastruttura. Il risultato è una soluzione dinamica, integrata e robusta che adatta con facilità le funzioni di rete e di sicurezza alle esigenze mobili dei dipendenti, consentendo alle grandi aziende di affrontare rapidamente una vasta serie di sfide comuni. DISPOSITIVI BYOD E DISPOSITIVI GESTITI DALL'IT SULLO STESSO SSID Anziché trasmettere più SSID o creare mappature VLAN complesse per i dispositivi BYOD, le politiche contestuali e di applicazione in base al ruolo consentono a ClearPass di differenziare con facilità l'accesso per i dispositivi di proprietà personale. Inoltre, ClearPass distribuisce ed esegue il provisioning delle credenziali specifiche dei dispositivi su ogni endpoint BYOD per limitare o revocare i privilegi di accesso. In questo modo di determina una notevole semplificazione dell'infrastruttura di accesso e al contempo si migliora la sicurezza e si riduce il carico del lavoro di provisioning che grava sull'it. DISPOSITIVI BYOD E AZIENDALI SULLO STESSO SSID LAPTOP AZIENDALE TABLET BYOD AUTENTICAZIONE EAP-TLS AUTENTICAZIONE EAP-TLS SSID CORP-SECURE SSID CORP-SECURE SOLO INTERNET figura 3.0_011915_adaptivetrust-wpa ClearPass consente l'accesso differenziato sullo stesso SSID in base alle informazioni relative a utenti, dispositivi e posizioni. 6

7 ESTENSIONE DEI CONTROLLI IT AI DISPOSITIVI UTILIZZATI NEGLI UFFICI DOMESTICI Garantire la conformità dei dispositivi mobili personali alle politiche non è facile, specialmente quando non sono fisicamente connessi alla rete. ClearPass estende con facilità i controlli e l'applicazione delle politiche ai dispositivi che si connettono da sedi remote come gli uffici domestici. Gli agent persistenti e di tipo "dissolvable" utilizzati con i computer possono essere parimenti utilizzati per garantire che tutti i dispositivi siano accuratamente valutati e superino i controlli di integrità prima che accedano alla rete aziendale. ClearPass opera anche con i sistemi EMM, estraendo i dati contestuali da smartphone e tablet per attivare azioni di applicazione delle politiche per qualsiasi dispositivo che richieda accesso alla rete cablata, wireless o VPN aziendale. Le informazioni di contesto possono includere stato di jailbreak, app inserite in whitelist e blacklist, tipo di dispositivo e altro ancora. ESCLUSIONE DI DISPOSITIVI BYOD SULLE RETI GUEST Le reti guest consentono a guest e altri utenti VIP di usufruire della connettività Wi-Fi durante la visita, ma sono spesso utilizzate impropriamente dai dipendenti che tentano di bypassare le politiche BYOD aziendali per la connessione alla rete. ClearPass è in grado di determinare rapidamente se un dispositivo BYOD o gestito dall'it può rientrare nella rete guest sfruttando le informazioni di contesto raccolte durante la registrazione e l'onboarding del dispositivo. In questo modo viene limitata la quantità di dati aziendali esposti sulle reti guest aperte. RIEPILOGO L'evoluzione delle abitudini degli utenti, delle minacce e dei dispositivi mobili impone un nuovo approccio alla sicurezza delle reti aziendali. Il modo di lavorare della #GenMobile ha completamente indebolito la nozione di perimetro fisso: in un mondo mobile in cui gli utenti si connettono e lavorano da qualsiasi luogo, il perimetro fisso non esiste più. A tal fine, i migliori sistemi di gestione delle politiche, NAC, firewall di rete ed EMM devono trovare un modo comune per condividere e proteggere le risorse aziendali. È il momento di adottare politiche gestite a livello centrale, flussi di lavoro protetti per l'accesso guest e BYOD che consentano all'it di fornire una mobilità sicura di classe enterprise in grado di ridurre al minimo i rischi. ClearPass è alla base del modello Aruba Adaptive Trust, fungendo da gatekeeper centralizzato e archivio contestuale per tutti i dati di autenticazione degli utenti e dei dispositivi. ClearPass identifica e autentica gli utenti e i dispositivi, mentre le regole basate sull'attendibilità concedono i privilegi di accesso appropriati a seconda delle esigenze specifiche. Utilizzando il modello Aruba Adaptive Trust, le organizzazioni IT delle grandi aziende possono garantire la risoluzione dei rischi sempre maggiori associati alla mobilità in fase di autenticazione e anche oltre, con un livello più elevato di soddisfazione degli utenti e dell'it stesso. AUTORIZZAZIONE E CRITTOGRAFIA SULLE RETI APERTE Gli hotspot Wi-Fi sono un mezzo pratico per consentite ai dipendenti e ai professionisti che viaggiano di rimanere connessi alle risorse aziendali. Purtroppo, molti di questi hotspot sono vulnerabili a diverse minacce informatiche e ad attacchi di tipo man-in-the-middle. Per eliminare responsabilità e salvaguardare i clienti, ClearPass offre un modo semplice per aggiungere sicurezza di grado enterprise su qualsiasi rete Wi-Fi pubblica. Ampliando il framework PEAP (Protected Extensible Authentication Protocol), ClearPass garantisce la crittografia di ogni sessione guest e di conseguenza la sua invisibilità a chiunque tenti lo sniffing di pacchetti Wi-Fi.

8 INFORMAZIONI SU ARUBA, UNA SOCIETÀ DI HEWLETT PACKARD ENTERPRISE Aruba, una società di Hewlett Packard Enterprise, è un fornitore leader di soluzioni di rete di prossima generazione per le aziende di ogni dimensione di tutto il mondo. L'azienda offre soluzioni IT che consentono alle organizzazioni di supportare l'ultima generazione di utenti mobili avanzati che si affidano ad app aziendali basate su cloud per ogni aspetto del proprio lavoro e della propria vita privata. Per ulteriori informazioni, visitate il sito Aruba all'indirizzo Per aggiornamenti e notizie in tempo reale, seguite Aruba su Twitter e Facebook. Per le ultime discussioni tecniche sulla mobilità e i prodotti Aruba, visitate il sito della community Airheads Social all'indirizzo VIA CAVRIANA, 3, MILANO, ITALY TEL.: EMEASALES@ARUBANETWORKS.COM Aruba, a Hewlett Packard Enterprise company. I marchi di Aruba includono Aruba Networks, Aruba The Mobile Edge Company (stilizzato), Aruba Mobility-Defined Networks, Aruba Mobility Management System, People Move Networks Must Follow, Mobile Edge Architecture, RFProtect, Green Island, ETips, ClientMatch, Virtual Intranet Access, ClearPass Access Management Systems, Aruba Instant, ArubaOS, xsec, ServiceEdge, Aruba ClearPass Access Management System, Airmesh, AirWave, Aruba Central e ARUBA@WORK. Tutti i diritti riservati. Tutti gli altri marchi sono di proprietà dei rispettivi titolari. Aruba si riserva il diritto di cambiare, modificare, trasferire o altrimenti rivedere questa pubblicazione e le specifiche del prodotto senza preavviso. Sebbene Aruba compia tutti gli sforzi commercialmente ragionevoli per assicurare l'accuratezza delle specifiche contenute nel presente documento, Aruba non si assume alcuna responsabilità per eventuali errori o omissioni. WP_AdaptiveTrust_