Controlli della postura del dispositivo per l'accesso remoto: cosa devono sapere i team IT

Nella sicurezza informatica, i controlli della postura dei dispositivi servono a determinare se un endpoint soddisfa i requisiti di sicurezza definiti, sia prima che durante l'accesso alle risorse aziendali. Per gli amministratori di sistema che gestiscono connessioni remote, l'autenticazione riuscita è solo una parte della decisione. Infatti, tali controlli sollevano domande essenziali di autenticazione, da "È questo l'utente giusto?" a "Questo dispositivo è abbastanza affidabile per connettersi?", passando per le condizioni di connessione e l'identità effettiva del dispositivo.

I lavoratori remoti possono autenticarsi utilizzando credenziali valide, ma possono connettersi da un computer non aggiornato, non gestito o compromesso, rendendo necessaria la verifica dell'identità ma chiaramente insufficiente. I controlli dello stato del dispositivo aiutano i team IT a valutare l'endpoint stesso e decidere se l'accesso debba essere concesso, limitato o negato.

Che cos'è un controllo della postura del dispositivo per l'accesso remoto?

Un controllo della postura del dispositivo valuta lo stato di sicurezza di un laptop, workstation o altro endpoint rispetto ai requisiti predefiniti. Il risultato serve a determinare se quel dispositivo dovrebbe essere autorizzato ad accedere ad applicazioni, desktop o altre risorse aziendali.

Una valutazione della postura può esaminare elementi come la versione del sistema operativo, lo stato di crittografia, la protezione degli endpoint e l'identità del dispositivo. Ad esempio, Microsoft descrive politiche di conformità dei dispositivi come regole utilizzate per determinare se i dispositivi gestiti soddisfano le configurazioni richieste prima di consentire che il loro stato di conformità venga utilizzato per le decisioni di accesso.

Questo è notevolmente diverso dall'autenticazione dell'utente. Le credenziali corrette dimostrano l'identità della persona che si connette. Un controllo della postura valuta il sistema da cui vengono presentate quelle credenziali e se soddisfa i requisiti di sicurezza dell'organizzazione.

Per gli ambienti del Protocollo Desktop Remoto, quella distinzione è molto importante. Ad esempio: sebbene autorizzato, un account che si connette da un endpoint non sicuro è soggetto a esporre risorse remote a furto di credenziali, malware o accesso non autorizzato. La nostra guida a valutare la sicurezza di un computer esposto tramite Remote Desktop indaga sulla postura degli endpoint insieme all'esposizione della rete e ai controlli degli account.

Quali segnali dei dispositivi dovrebbero controllare i team IT?

Non può esserci una singola politica di postura dei dispositivi universale adatta a tutti. I segnali devono essere selezionati in base alle risorse da proteggere, alla gestione e alla proprietà dei dispositivi, e al livello di rischio associato all'utente, all'applicazione o ai dati coinvolti.

Stato del sistema operativo e delle patch

Un endpoint che esegue un sistema operativo obsoleto o privo di aggiornamenti di sicurezza presenta un rischio maggiore rispetto a una workstation gestita completamente aggiornata. Le versioni minime del sistema operativo e i requisiti di patch forniscono quindi controlli di base utili.

Inoltre, le politiche possono essere adattate al tipo di accesso richiesto: più rigorose per scopi amministrativi ad alto rischio rispetto agli utenti normali delle applicazioni o a coloro che accedono a una singola applicazione specifica. L'obiettivo non è raccogliere ogni possibile attributo dell'endpoint, ma identificare le condizioni che influenzano materialmente se l'accesso debba essere considerato affidabile.

Protezione degli endpoint, firewall e crittografia

Controlli approfonditi della salute dei dispositivi valuteranno se la protezione degli endpoint richiesta è attiva e se sono abilitati controlli come la configurazione locale del firewall e la crittografia del disco appropriata. Le piattaforme di rilevamento e risposta degli endpoint (EDR), la gestione degli endpoint e simili possono fornire informazioni aggiuntive sulle rilevazioni di malware, i livelli di minaccia o la conformità alla configurazione.

Questi segnali sono particolarmente importanti per i laptop che operano al di fuori della rete aziendale. Un nome utente e una password validi non rivelano se la protezione degli endpoint è stata disabilitata o se il dispositivo sta ancora segnalando correttamente agli strumenti di sicurezza dell'organizzazione.

Identità del dispositivo, certificati e stato di gestione

Oltre alla salute del dispositivo, è necessario affrontare ulteriori domande: i team IT potrebbero anche dover stabilire più precisamente quale dispositivo si sta connettendo.

I certificati dei dispositivi, i registri di iscrizione, l'identità dell'host e lo stato di gestione possono aiutare a distinguere gli endpoint aziendali noti da computer sconosciuti o non gestiti. In un ambiente Bring Your Own Device (BYOD), questo crea una distinzione importante tra "abbastanza sano" e "autorizzato": un laptop personale sicuro non diventa necessariamente un dispositivo aziendale approvato.

Quando dovrebbe essere controllata la postura del dispositivo?

Il momento più ovvio per eseguire un protocollo di verifica del dispositivo è prima dell'inizio dell'accesso. L'endpoint fornisce le informazioni pertinenti, che vengono quindi valutate in relazione ai requisiti, e la connessione è di conseguenza consentita o bloccata.

Tuttavia, la postura può cambiare durante una sessione prolungata. Pertanto, per alcuni ambienti, un insieme di controlli è insufficiente. Un dispositivo può non essere più conforme, la protezione degli endpoint può fermarsi o la telemetria di sicurezza può identificare una nuova minaccia. Per mitigare questo fatto di una sessione che potrebbe superare l'accesso originariamente giustificato, architetture più mature supportano quindi la rivalutazione periodica. Possono anche impostare decisioni di accesso attivate da eventi piuttosto che trattare il login riuscito come prova permanente di fiducia.

La frequenza appropriata dipende dal rischio. Gli account amministrativi e le applicazioni sensibili possono giustificare una validazione molto più frequente rispetto alle risorse a basso rischio. Il principio importante è che le informazioni utilizzate per prendere una decisione di accesso non dovrebbero rimanere fidate indefinitamente, specialmente se un endpoint evolve.

Cosa dovrebbe succedere quando un dispositivo non supera un controllo di postura?

Il fallimento non deve sempre portare alla stessa risposta. I team IT dovrebbero decidere in anticipo quali fallimenti richiedono un blocco immediato e quali possono essere corretti e quindi richiedono una riparazione.

Una politica pratica può:

• negare l'accesso per errori critici come quando la protezione degli endpoint è assente o se un dispositivo risulta compromesso;
• limitare l'accesso quando lo stato del dispositivo è incerto o non può essere verificato;
• informare l'utente quale requisito è fallito;
• dirigere l'endpoint attraverso un aggiornamento, una patch o una riparazione;
• registra i log della valutazione fallita per indagini; e
• testare e rivalutare il dispositivo prima di ripristinare l'accesso normale.

La risposta dovrebbe corrispondere al rischio. Una patch mancante o una versione obsoleta possono giustificare la rimediabilità, mentre prove di compromissione attiva dovrebbero attivare procedure di isolamento e risposta agli incidenti.

TSplus Remote Support può assistere in questa fase. I tecnici di supporto possono utilizzare assistenza remota assistita o non assistita per risolvere e rimediare ai problemi degli endpoint quando è necessaria un'intervento amministrativo.

Come si inseriscono i controlli della postura dei dispositivi con MFA e Zero Trust?

La postura del dispositivo, l'autenticazione multi-fattore (MFA) e il Zero Trust affrontano domande correlate ma diverse.

MFA chiede se la persona che richiede l'accesso può dimostrare la propria identità attraverso più di un fattore. La postura del dispositivo aggiunge se l'endpoint da cui si sta connettendo soddisfa i requisiti di sicurezza. Le autorizzazioni determinano quindi le applicazioni o i sistemi a cui la specifica combinazione utente + dispositivo dovrebbe essere autorizzata ad accedere.

NIST, regolamento europeo e altri pionieri della cybersecurity affrontano Principi di Zero Trust L'autenticazione dell'utente e la salute del dispositivo e l'autorizzazione sono funzioni distinte eseguite prima che venga stabilita una nuova connessione alle risorse remote, a volte invisibili agli stessi utenti.

I controlli della postura del dispositivo sono quindi un componente di una strategia di accesso a più livelli e certamente non un sostituto per MFA, permessi o protezione lato server. Continua a leggere qui per la nostra copertura di Zero Trust su identità, fiducia del dispositivo, minimo privilegio e monitoraggio.

Come possono i team IT applicare i principi di postura dei dispositivi con TSplus?

Applicare le funzionalità del software TSplus per rafforzare i controlli sui dispositivi

Un'implementazione di TSplus è in grado di combinare diversi controlli attorno alla decisione di accesso mentre controlli di conformità degli endpoint più approfonditi rimangono con alcuni strumenti dedicati progettati per eseguirli.

TSplus Remote Access fornisce accesso controllato agli utenti a applicazioni e desktop Windows centralizzati. Aggiungere TSplus 2FA rafforza l'autenticazione degli utenti richiedendo una password e un codice di verifica temporale per i metodi di connessione TSplus Remote Access supportati.

TSplus Advanced Security aggiunge un ulteriore strato di protezione. La sua funzione Dispositivi Affidabili può associare gli utenti a nomi di dispositivi specificati e rifiutare gli accessi da quelli non validi. Questo fornisce un controllo degli accessi consapevole del dispositivo. Altri TSplus Advanced Security le funzionalità valgono la pena di essere esplorate in periferia alla gestione dei dispositivi.

Ulteriori misure di sicurezza da implementare

Il ulteriore livello di protezione di un motore di postura completo sarebbe aggiuntivo a questi. Dovrei valutare lo stato delle patch, la crittografia del disco, la salute dell'EDR o altri segnali di conformità degli endpoint.

Gli amministratori di sistema dovrebbero anche tenere conto delle limitazioni di distribuzione quando progettano le loro politiche. I Dispositivi Fidati non sono compatibili con le connessioni HTML5 e i dispositivi mobili possono presentare ulteriori limitazioni nell'identificazione dei nomi host. Questi fattori sono importanti quando si progettano politiche relative all'accesso web o mobile.

Le informazioni più dettagliate sulla salute dei dispositivi possono quindi rimanere sotto la responsabilità della gestione di Windows, EDR, gestione degli endpoint o altri strumenti di conformità. TSplus può quindi controllare come gli utenti autenticati accedono alle risorse pubblicate e proteggere alcuni aspetti di sicurezza specifici del server applicativo. Questa separazione consente ai team IT di costruire una sicurezza a strati senza assumere che identità, salute degli endpoint e distribuzione delle applicazioni debbano provenire tutti dallo stesso sistema.

Visibilità della rete fornita dal software di monitoraggio TSplus

TSplus Server Monitoring aggiunge visibilità sul lato infrastruttura monitorando le prestazioni del server, le applicazioni e l'attività degli utenti. Non esegue la valutazione della postura dei dispositivi client, ma può completare i controlli di accesso con il monitoraggio operativo una volta che i carichi di lavoro remoti sono in esecuzione. La nostra documentazione e la nostra guida a software di monitoraggio desktop remoto e visibilità delle sessioni fornire ulteriori dettagli. Inoltre, la sorveglianza (e il blocco) degli IP eseguita da TSplus Advanced Security completa questa visibilità e protezione.

Un elenco di controllo pratico per la postura dei dispositivi per gli amministratori di sistema

Una politica di postura che inizia con un numero ridotto di controlli che gli amministratori possono applicare in modo coerente sarà sicuramente più facile da gestire. Per un ambiente di accesso remoto orientato a Windows, considera le seguenti domande:

1. Il terminale sta eseguendo un sistema operativo supportato e adeguatamente aggiornato?
2. È attivo l'antivirus richiesto, EDR o un'altra protezione degli endpoint necessaria?
3. Sono configurate le impostazioni essenziali del firewall e della crittografia in conformità con la politica aziendale?
4. L'endpoint è registrato come dispositivo riconosciuto o gestito?
5. L'endpoint ha uno stato di conformità o minaccia accettabile?
6. L'utente è protetto da controlli di autenticazione appropriati?

La soglia esatta dovrebbe riflettere la sensibilità della risorsa e variare di conseguenza. Le sessioni amministrative dovrebbero normalmente affrontare requisiti più rigorosi rispetto all'accesso ordinario a una singola applicazione aziendale pubblicata.

Costruisci la fiducia del dispositivo in ogni decisione di accesso remoto

La sicurezza dell'accesso remoto non dovrebbe fermarsi quando una password viene accettata. I controlli della postura del dispositivo forniscono informazioni sulle condizioni degli endpoint e sull'identità essenziali per la decisione di accesso, aiutando gli amministratori di sistema a distinguere le credenziali legittime da una fonte di connessione che è effettivamente sicura da fidarsi rispetto a un potenziale rischio per la sicurezza.

TSplus Remote Access, Advanced Security e 2FA possono far parte di quell'architettura a strati, fornendo diversi controlli di accesso e identità attorno a quella decisione. Nel frattempo, gli strumenti di gestione e sicurezza degli endpoint forniscono segnali più approfonditi sulla salute e sulla conformità dei dispositivi dove necessario.

Il risultato finale è un modello decisionale complessivamente più difendibile in cui il team IT può valutare utenti, dispositivi e risorse congiuntamente e in base al loro rischio effettivo, non solo una volta ma su base ricorrente.