Best practice di sicurezza di rete per i team IT aziendali

Le migliori pratiche di sicurezza di rete robuste sono più importanti che mai per proteggere contro le minacce informatiche sempre più sofisticate di oggi. Questo articolo esplora una gamma di migliori pratiche e tecnologie di rete e sicurezza di cui hai bisogno per rafforzare la tua rete contro l'accesso non autorizzato e le violazioni dei dati.

Tipi di dispositivi di rete e soluzioni di sicurezza

Prima di immergerci nelle migliori pratiche di sicurezza della rete aziendale, rivediamo i tipi comuni di dispositivi di rete e soluzioni di sicurezza di cui le organizzazioni possono avvalersi:

• I bridge venivano un tempo utilizzati per collegare due o più host o segmenti di rete. Sono obsoleti e non vengono più utilizzati.
• I hub venivano un tempo utilizzati per collegare dispositivi di rete locale (LAN). Poiché non dispongono di intelligenza integrata, i hub sono raramente usati nelle configurazioni di rete moderne.
• Uno network switch è l'apparecchio di rete predefinito che collega computer, server, stampanti e altri dispositivi in una LAN. Utilizza gli indirizzi MAC per gestire e inoltrare i dati ai dispositivi specifici. A differenza di un hub, uno switch può indirizzare in modo intelligente il traffico per ridurre la congestione della rete e migliorare le prestazioni della rete.
• Un network router indirizza i pacchetti di dati tra diverse reti per facilitare la connettività a Internet e la comunicazione di rete interna. I router utilizzano gli indirizzi IP per determinare il percorso più efficiente per la trasmissione dei pacchetti di dati attraverso le reti. Possono anche fornire funzionalità di sicurezza come le liste di controllo degli accessi per limitare l'accesso alla rete.
• Un gateway funge da intermediario per dispositivi su reti separate, consentendo loro di comunicare anche se utilizzano protocolli di comunicazione diversi.
• Un firewall separa una rete da un'altra. I firewall sono disponibili sia in forma hardware che software e possono essere integrati in dispositivi come router o server. L'esempio classico di un firewall è un'apparecchiatura dedicata che funge da barriera tra la rete interna e il mondo esterno.
• Un sistema di network access control (NAC) valuta se i dispositivi che tentano di accedere alla rete soddisfano gli standard di sicurezza definiti (come software antivirus aggiornato, aggiornamenti di sistema e impostazioni di configurazione specifiche) e poi concede o nega l'accesso.
• Un filtro web limita l'accesso ai contenuti di internet in base a criteri predefiniti. Ad esempio, questo tipo di soluzione di sicurezza può bloccare l'accesso a siti web dannosi o inappropriati come definito dalle politiche di un'organizzazione.
• Un proxy server funge da intermediario tra il dispositivo dell'utente e internet. I proxy server possono mascherare l'indirizzo IP dell'utente così come filtrare le richieste web per bloccare l'accesso a siti o contenuti dannosi.
• Un email filter (filtro antispam) aiuta a prevenire che le email indesiderate raggiungano del tutto la casella di posta dell'utente o consegna l'email ma rimuove collegamenti ipertestuali potenzialmente pericolosi e allegati. I filtri semplici utilizzano politiche organizzative o modelli specificati dal fornitore per rilevare lo spam; i filtri avanzati impiegano metodi euristici per individuare schemi sospetti o la frequenza delle parole.
• Le soluzioni di mitigazione DDoS sono progettate per identificare gli attacchi di tipo Distributed Denial of Service (DDoS) nelle loro fasi iniziali, assorbire il conseguente picco di traffico e aiutare a individuare l'origine dell'attacco.
• I bilanciatori di carico contribuiscono alla sicurezza della rete distribuendo uniformemente il traffico di rete su più server. Ad esempio, possono aiutare a prevenire che un singolo server diventi sovraccarico durante un attacco DDoS.

Per maggiori informazioni di base, rivedere il modello OSI per i sistemi di rete nell'Appendice A.

Migliori pratiche per la sicurezza delle reti aziendali

Tenendo a mente questi concetti di base, esploriamo le migliori pratiche di sicurezza di rete note che possono aiutare la tua organizzazione a migliorare la sua postura di sicurezza per bloccare gli attacchi, nonché le migliori pratiche per rilevare e rispondere prontamente alle minacce in corso.

Migliori pratiche di sicurezza della rete per la prevenzione delle minacce

Separa la tua rete.

Una delle pratiche migliori fondamentali per la sicurezza della rete, network segmentation implica la divisione di una rete in zone logiche o funzionali. Questo può essere realizzato attraverso mezzi fisici come router e switch, o virtualmente utilizzando VLAN. L'obiettivo è contenere una violazione della sicurezza in una singola zona e quindi limitare interruzioni e danni. La segmentazione consente inoltre ai team IT di applicare diversi controlli di sicurezza e monitoraggio a ciascuna zona. 

In particolare, le organizzazioni possono impostare una demilitarized zone (DMZ) come buffer tra la loro rete interna e internet o altre reti non affidabili. La DMZ ospita servizi rivolti all'esterno come i server di applicazioni web; se questi servizi vengono compromessi, un attaccante non ha accesso diretto alla rete interna.

Una forma estrema di segmentazione è l'air gap, dove i sistemi (come server con backup o altre informazioni sensibili) sono completamente disconnessi dalla rete.

Posiziona correttamente i tuoi dispositivi di sicurezza.

Come posizioni i tuoi dispositivi di sicurezza influisce sulla quantità di protezione che forniscono. Il posizionamento efficace dei firewall è particolarmente importante. Idealmente, un firewall dovrebbe essere situato in ogni giunzione della zona di rete per fungere da barriera tra i diversi segmenti. I firewall moderni spesso includono funzionalità integrate come sistemi di rilevamento e prevenzione delle intrusioni, mitigazione DDoS e filtraggio web, rendendoli molto adatti per la difesa del perimetro.

I firewall per applicazioni web (WAF) sono meglio posizionati nelle zone dove sono ospitate le applicazioni, come la DMZ. Questa collocazione aiuta a proteggere le applicazioni web da minacce come l'iniezione SQL e lo scripting tra siti. I bilanciatori di carico che gestiscono il traffico delle applicazioni o i server DNS dovrebbero anche essere situati all'interno della DMZ per ottimizzare il flusso di traffico e migliorare la sicurezza.

Assicurare fisicamente le apparecchiature di rete.

Un'altra migliore pratica per la sicurezza dell'infrastruttura di rete è controllare rigorosamente l'accesso all'infrastruttura di rete. Solo il personale autorizzato dovrebbe avere accesso a luoghi come armadi di cablaggio, quadri principali di distribuzione (MDF), quadri intermedi di distribuzione (IDF), server e, soprattutto, centri dati. Dovrebbe essere richiesta l'autenticazione per entrare in qualsiasi area critica.

Inoltre, le organizzazioni dovrebbero proibire l'uso di chiavette USB e dischi esterni per impedire agli insider di rimuovere dati sensibili.

Utilizzare la traduzione degli indirizzi di rete.

La traduzione degli indirizzi di rete (NAT) converte tutti gli indirizzi privati di un'organizzazione in un unico indirizzo IP pubblico per le comunicazioni esterne. Senza NAT, il mondo avrebbe esaurito gli indirizzi IPv4 molto tempo fa. Ma il vantaggio del NAT per la sicurezza della rete è che maschera la struttura della rete interna agli estranei, aggiungendo un livello di privacy e sicurezza.

Utilizzare firewall personali.

I firewall personali sono firewall basati su software che risiedono su ogni computer o server. Sebbene siano spesso integrati nel sistema operativo, possono anche essere installati come applicazioni di terze parti. Come i firewall convenzionali, limitano il traffico in entrata e in uscita per proteggere il dispositivo.

Configurare i firewall personali può inizialmente richiedere molto tempo a causa della varietà di applicazioni e servizi in esecuzione su un dispositivo. Tuttavia, trascurare questo passaggio per comodità può lasciare i dispositivi vulnerabili a malware e attacchi informatici. Abilitare sempre i firewall personali per garantire la sicurezza di ogni dispositivo all'interno della rete più ampia.

Utilizzare l'elenco bianco quando è fattibile.

Il whitelisting delle applicazioni è la pratica di creare un elenco di software approvati e consentire l'esecuzione solo di quelle applicazioni. Questa strategia può ridurre significativamente il rischio; ad esempio, può impedire l'esecuzione di malware consegnati tramite attacchi di phishing o siti web malevoli.

Tuttavia, l'uso delle liste di autorizzazione non è sempre pratico, poiché l'elenco deve essere costantemente aggiornato con tutte le applicazioni che chiunque all'interno dell'organizzazione ha una legittima ragione per eseguire.

Utilizza un server proxy web per gestire l'accesso a Internet.

Autenticando e monitorando le connessioni in uscita, un server proxy web aiuta a garantire che sia consentito solo il traffico web avviato da utenti legittimi. Ad esempio, ciò aiuta a prevenire che il malware all'interno della rete comunichi con il server di comando e controllo dell'attaccante.

Applica il principio del minimo privilegio.

Concentrarsi esclusivamente sulle minacce informatiche esterne può trascurare l'aspetto altrettanto critico delle minacce interne. È fondamentale limitare i diritti di accesso di ogni utente a ciò che è essenziale per i loro ruoli; ciò riduce il danno che un utente può causare accidentalmente o deliberatamente, e il potere che un attaccante otterrebbe compromettendo l'account. Inoltre, implementare misure di autenticazione robuste per rendere inutili le credenziali rubate.

Richiedere l'uso di VPN per l'accesso remoto.

Una rete privata virtuale (VPN) stabilisce una connessione di rete sicura e privata su un'infrastruttura di rete pubblica. Consente agli utenti remoti di connettersi alla rete come se fossero connessi localmente. Le VPN possono anche essere utilizzate per collegare in modo sicuro LAN attraverso internet utilizzando un tunnel sicuro che cripta tutti i dati in transito. Le VPN richiedono o hardware specializzato o software VPN installato su server e workstation.

Migliori pratiche di sicurezza della rete per la rilevazione e risposta alle minacce

Definire i protocolli di rete di base e monitorarne l'utilizzo.

Stabilire l'utilizzo di base di diversi protocolli nelle reti cablate e wireless. Per creare una base di riferimento accurata, i dati dovrebbero essere raccolti da una varietà di fonti tra cui router, switch, firewall, punti di accesso wireless, analizzatori di rete e collezionatori di dati dedicati. Quindi monitorare le deviazioni da queste basi, che possono indicare il tunneling dei dati, software malevolo che trasmette dati a destinazioni non autorizzate e altre minacce.

Utilizza honeypots e honeynets.

Un honeypot è un sistema esca progettato per sembrare un vero asset di rete, e un honeynet è una rete di honeypot che simula un ambiente di rete più grande e complesso. Sono progettati per attirare gli avversari a interagire con essi, sia per deviare gli attori malevoli dai veri asset sia per consentire ai team di sicurezza di studiare le tecniche di attacco e raccogliere altre informazioni per una gestione efficace delle minacce.

Utilizzare sistemi di rilevamento e prevenzione delle intrusioni.

È fondamentale monitorare e registrare l'attività in tutta la rete e analizzarla per individuare accessi insoliti, eventi sospetti sui computer e altre anomalie. Un sistema di intrusion detection system (IDS) monitora i flussi di dati della rete per attività potenzialmente dannose e avvisa gli amministratori in caso di anomalie. Un sistema di intrusion prevention system (IPS) monitora anche il traffico di rete per le minacce; tuttavia, oltre a segnalare agli amministratori, può agire automaticamente per bloccare o mitigare le minacce.

Questi strumenti possono essere una parte preziosa della vostra strategia di sicurezza della rete. Ad esempio, confrontando l'attività corrente con una baseline stabilita, potrebbero rilevare un picco di attività di rete che potrebbe indicare un attacco ransomware o di SQL injection. Possono anche utilizzare firme di attacco — caratteristiche distintive comuni a un attacco specifico o a un modello di attacchi — per individuare attacchi che non generano attività in violazione della baseline della vostra organizzazione.

Automatizza la risposta agli attacchi quando è appropriato.

Molti strumenti di sicurezza moderni possono essere configurati per rispondere automaticamente a minacce note. Ad esempio, questi sistemi possono:

• Bloccare l'indirizzo IP — Un IPS o firewall può bloccare l'indirizzo IP da cui ha origine l'attacco. Questa opzione è molto efficace contro gli attacchi di phishing e di denial-of-service. Tuttavia, alcuni aggressori falsificano l'indirizzo IP sorgente durante gli attacchi, quindi verrà bloccato l'indirizzo sbagliato.
• Interrompere le connessioni — I router e i firewall possono essere configurati per interrompere le connessioni che un intruso mantiene con il sistema compromesso indirizzando pacchetti TCP RESET verso l'attaccante.
• Acquisire ulteriori informazioni — Gli strumenti possono anche raccogliere informazioni preziose che aiutano a determinare il punto di accesso iniziale, quali account sono stati compromessi, come si sono mossi gli intrusi nella rete e quali dati sono stati compromessi.

Migliore prassi bonus

Una pratica finale di sicurezza della rete si applica sia alla prevenzione delle minacce che al rilevamento e risposta.

Utilizzare più fornitori.

L'utilizzo di soluzioni di diversi fornitori rafforza la resilienza informatica riducendo il rischio associato a un unico punto di fallimento — se una soluzione di un fornitore viene compromessa, la presenza di soluzioni di altri fornitori aiuta a mantenere lo scudo difensivo. Questo approccio consente anche una maggiore adattabilità in risposta alle minacce in evoluzione e ai requisiti di sicurezza. Più in generale, può portare a prezzi competitivi e stimolare l'innovazione, poiché i fornitori si sforzano di offrire soluzioni più avanzate ed economicamente vantaggiose.

Conclusione

Attenendosi alle migliori pratiche di sicurezza della rete dettagliate qui, la vostra organizzazione può ridurre il rischio di costose interruzioni aziendali e incidenti di sicurezza, nonché garantire la conformità con gli odierni rigorosi mandati legislativi.

Appendice A: Il modello OSI

Il modello OSI (Open Systems Interconnection) è un quadro consolidato per i sistemi di rete. Comprende sette livelli, dall'hardware fisico alle interazioni a livello applicativo:

La sicurezza della rete comprende le politiche, le tecnologie e i controlli che proteggono l'infrastruttura di rete di un'organizzazione da accessi non autorizzati, abusi e interruzioni.

La sicurezza di rete efficace affronta entrambi gli aspetti del problema: controlli che limitano chi o cosa può accedere a un sistema e monitoraggio che rileva l'uso improprio degli accessi.

Tipi di dispositivi di rete e soluzioni di sicurezza

I team di sicurezza che si concentrano esclusivamente sulla protezione del perimetro spesso scoprono che gli aggressori raggiungono i sistemi interni tramite dispositivi configurati in modo errato, privilegi utente eccessivi o percorsi di movimento laterale.

Comprendere i dispositivi e gli strumenti che compongono una rete aziendale aiuta i team di sicurezza a prendere decisioni informate su posizionamento, configurazione e monitoraggio, e su chi o cosa ogni dispositivo consente di raggiungere la rete.

I seguenti sono i componenti di rete più comuni che le organizzazioni gestiscono:

• I bridge collegavano due o più host o segmenti di rete. La tecnologia è ora obsoleta e non più utilizzata negli ambienti moderni.
• Hub che collegano dispositivi di rete locale (LAN). La loro mancanza di intelligenza integrata li ha resi rari nelle configurazioni di rete moderne, sostituiti in gran parte dagli switch.
• Un gateway funge da intermediario per dispositivi su reti separate, consentendo loro di comunicare anche quando utilizzano protocolli di comunicazione diversi.
• Un router di rete instrada pacchetti di dati tra diverse reti per facilitare la connettività a internet e la comunicazione interna della rete. I router utilizzano indirizzi IP per determinare il percorso più efficiente per il viaggio dei pacchetti dati tra le reti. Possono anche fornire funzionalità di sicurezza, come le liste di controllo accessi, per limitare l'accesso alla rete.
• Uno switch di rete è il dispositivo di rete predefinito che collega computer, server, stampanti e altri dispositivi in una LAN. Usa indirizzi MAC per gestire e inoltrare dati a dispositivi specifici. A differenza di un hub, uno switch può indirizzare il traffico in modo intelligente per ridurre la congestione della rete e migliorare le prestazioni.
• Un firewall separa una rete da un'altra. I firewall sono disponibili in forma hardware e software e possono essere integrati in dispositivi come router e server. Una distribuzione comune è un dispositivo dedicato che funge da barriera tra la rete interna e il mondo esterno.
• Un sistema di controllo accessi di rete (NAC) valuta se i dispositivi che tentano di accedere alla rete soddisfano gli standard di sicurezza definiti, come software antivirus aggiornato, aggiornamenti di sistema e configurazioni specifiche, e quindi concede o nega l'accesso di conseguenza.
• Un filtro web limita l'accesso ai contenuti internet basandosi su criteri predefiniti. Ad esempio, questo tipo di soluzione di sicurezza può bloccare l'accesso a siti web dannosi o inappropriati come definito dalle politiche di un'organizzazione.
• Un server proxy funge da intermediario tra il dispositivo dell'utente e internet. I server proxy possono mascherare l'indirizzo IP dell'utente e filtrare le richieste web per bloccare l'accesso a siti o contenuti dannosi.
• Strumenti di mitigazione DDoS rilevano precocemente gli attacchi di distributed denial of service (DDoS), assorbono l'aumento di traffico risultante e aiutano a individuare l'origine dell'attacco.

Per ulteriori informazioni su come questi dispositivi si collegano alla comunicazione di rete, consulta il modello OSI nell'Appendice A.

• Un filtro email (filtro antispam) aiuta a prevenire che email indesiderate raggiungano la casella di posta dell'utente o consegna email con link e allegati potenzialmente dannosi rimossi. I filtri semplici utilizzano politiche organizzative o modelli specificati dal fornitore per rilevare lo spam; i filtri avanzati impiegano metodi euristici per identificare modelli sospetti.
• I bilanciatori di carico contribuiscono alla sicurezza della rete distribuendo il traffico di rete in modo uniforme tra più server. Ad esempio, aiutano a prevenire il sovraccarico di un singolo server durante un attacco DDoS.

Best practice di sicurezza di rete per la prevenzione delle minacce

Netwrix Auditor registra i valori prima e dopo per gli eventi di accesso e modifica in ambienti Microsoft ibridi. Scarica una prova gratuita

Segmenta la tua rete

I controlli di prevenzione delle minacce mirano a ridurre la superficie di attacco, limitare chi o cosa può raggiungere un sistema e contenere i danni di eventuali violazioni.

Le organizzazioni possono configurare una zona demilitarizzata (DMZ) per fungere da buffer tra la rete interna e Internet o altre reti non affidabili. La DMZ ospita servizi rivolti all’esterno come i server di applicazioni web.

La segmentazione della rete consiste nel dividere una rete in zone logiche o funzionali, ciascuna definita tanto da chi o cosa può accedervi quanto dalla sua posizione fisica. Questo può essere realizzato tramite dispositivi fisici come router e switch, o virtualmente tramite VLAN.

L'obiettivo è contenere una violazione della sicurezza all'interno di una singola zona, limitando interruzioni e danni. La segmentazione consente inoltre ai team IT di applicare regole di accesso, controlli di sicurezza e livelli di monitoraggio diversi per ogni zona in base alla sensibilità dei dati o dei sistemi che contiene.

Applicare il principio del minimo privilegio e un'autenticazione forte

Se un attaccante compromette quei servizi, non ha accesso diretto alla rete interna. Una forma estrema di segmentazione è l’air gap, in cui un’organizzazione disconnette completamente dal network i sistemi contenenti backup o dati altamente sensibili.

La posizione dei dispositivi di sicurezza nell'architettura di rete determina quanta protezione offrono. La collocazione è importante quanto la configurazione. I firewall dovrebbero idealmente essere posizionati in ogni giunzione di zona di rete per fungere da barriere tra i diversi segmenti. I firewall moderni spesso includono funzionalità integrate come rilevamento e prevenzione delle intrusioni, mitigazione DDoS e filtraggio web.

Richiedi VPN per l'accesso remoto

Posiziona correttamente i tuoi dispositivi di sicurezza

I firewall per applicazioni web (WAF) funzionano meglio nelle zone in cui sono ospitate le applicazioni, come la DMZ, proteggendo le applicazioni web da attacchi di SQL injection e cross-site scripting. Anche i bilanciatori di carico e i server DNS dovrebbero trovarsi all’interno della DMZ per ottimizzare il flusso di traffico e ridurre l’esposizione dell’infrastruttura interna.

Proteggere fisicamente l'apparecchiatura di rete

Usa la traduzione degli indirizzi di rete

Controllare l'accesso fisico all'infrastruttura di rete. Solo il personale autorizzato dovrebbe entrare negli armadi di cablaggio, nei quadri di distribuzione principali, nei quadri di distribuzione intermedi, nelle sale server e nei data center. I requisiti di autenticazione devono applicarsi a tutte le aree fisiche critiche. Le organizzazioni dovrebbero anche vietare l'uso di chiavette USB e unità esterne per prevenire che gli insider rimuovano dati sensibili.

La traduzione degli indirizzi di rete (NAT) mappa gli indirizzi interni privati su un singolo indirizzo IP pubblico per la comunicazione esterna. NAT nasconde la struttura interna della rete agli estranei, riducendo le informazioni sulla topologia di rete disponibili ai potenziali aggressori durante la ricognizione.

Usa firewall personali

La lista bianca delle applicazioni crea un elenco di software approvato e consente l’esecuzione solo di tali applicazioni. Ciò riduce il rischio che malware veicolato tramite phishing o siti web dannosi venga eseguito. Mantenere l’elenco approvato richiede uno sforzo continuo, poiché deve essere aggiornato man mano che cambiano le esigenze legittime delle applicazioni nell’organizzazione.

Applica la whitelist delle applicazioni quando possibile

I firewall personali sono firewall basati su software installati su ogni computer o server. Sebbene spesso integrati nel sistema operativo, possono anche essere distribuiti come applicazioni di terze parti. Come i firewall di rete, limitano il traffico in entrata e in uscita a livello del dispositivo. I firewall personali forniscono un importante livello di protezione, anche in ambienti con difese perimetrali solide, in particolare per i dispositivi che si connettono dall’esterno della rete aziendale.

Un server proxy web autentica e monitora le connessioni in uscita, consentendo solo il traffico avviato da utenti legittimi. Questo aiuta a prevenire che malware all’interno della rete comunichi con il server di comando e controllo dell’attaccante. Consente inoltre ai team di sicurezza di registrare i modelli di traffico in uscita e identificare comunicazioni anomale.

Instradare il traffico internet tramite un proxy web

Misure di autenticazione robuste, inclusa l'autenticazione multifattoriale (MFA), proteggono le credenziali anche quando le password vengono rubate. Il modello zero-standing-privilege porta oltre il principio del minimo privilegio eliminando completamente gli account amministrativi persistenti, concedendo l'accesso elevato solo quando necessario e revocandolo automaticamente dopo.

Mantieni aggiornati software e firmware

Una rete privata virtuale (VPN) crea una connessione sicura e crittografata su un'infrastruttura di rete pubblica, consentendo agli utenti remoti di connettersi come se fossero direttamente sulla rete aziendale. Le VPN riducono l'esposizione delle risorse interne a reti non affidabili e crittografano i dati in transito.

Rinforza gli endpoint contro il malware

Limitare i diritti di accesso di ogni utente a ciò che è essenziale per il suo ruolo limita i danni da uso accidentale o intenzionale e riduce la portata a cui un attaccante può arrivare con un account compromesso. Role-based access control (RBAC) fornisce un approccio strutturato per assegnare i permessi in base alla funzione lavorativa. Ciò riduce il rischio che gli accessi si accumulino o non vengano revisionati nel tempo e affronta un comune vettore di insider threat.

Le vulnerabilità non corrette in network devices, sistemi operativi e applicazioni rimangono tra i punti deboli più sfruttati negli ambienti aziendali. I team di sicurezza dovrebbero mantenere un inventario aggiornato di tutte le versioni di software e firmware e applicare le patch non appena vengono rilasciate dai fornitori.

Un programma di gestione continua delle vulnerabilità monitora l’esposizione tra i cicli di patch e dà priorità alla risoluzione in base all’exploitabilità e all’impatto sul business. Gli strumenti automatizzati di gestione delle patch riducono l’intervallo tra la divulgazione della vulnerabilità e la risoluzione, soprattutto in ambienti ad alto volume dove la patch manuale non è pratica.

Le organizzazioni che si orientano verso modelli di sicurezza dell'accesso remoto basati sui principi di zero trust potrebbero scoprire che zero trust network access (ZTNA) offre un controllo più granulare, verificando ogni sessione singolarmente invece di concedere un accesso ampio alla rete al momento della connessione.

Le migliori pratiche di sicurezza di rete per il rilevamento e la risposta alle minacce

Protocolli di rete di base e monitoraggio delle deviazioni

La prevenzione riduce l’esposizione, ma sono le capacità di rilevamento e risposta a determinare la rapidità con cui un team identifica e contiene una minaccia che riesce a passare, specialmente se già in azione sotto un’identità legittima ma compromessa.

Usa honeypots e honeynets

Un honeypot è un sistema esca progettato per apparire come un vero asset di rete. Un honeynet è una rete di honeypot che simula un ambiente di rete più complesso. Entrambi deviano gli avversari dagli asset di produzione e consentono ai team di sicurezza di studiare le tecniche di attacco e raccogliere informazioni sulle minacce senza esporre sistemi attivi.

Distribuisci sistemi di rilevamento e prevenzione delle intrusioni

Un sistema di rilevamento delle intrusioni (IDS) monitora il traffico di rete per attività potenzialmente dannose e avvisa gli amministratori. Un sistema di prevenzione delle intrusioni (IPS) fa un passo avanti, bloccando o mitigando automaticamente le minacce oltre a generare avvisi.

Gli endpoint sono punti di ingresso comuni perché phishing, download drive-by e furto di credenziali prendono di mira i dispositivi anziché direttamente l'infrastruttura di rete. Gli strumenti di Endpoint Management, inclusi endpoint detection and response (EDR) e soluzioni di piattaforma di protezione degli endpoint (EPP), estendono la visibilità sul comportamento dei dispositivi e bloccano le minacce note. Applicare il monitoraggio comportamentale insieme alla whitelist delle applicazioni crea più livelli di rilevamento a livello di dispositivo.

Stabilisci modelli di utilizzo di base per diversi protocolli su reti cablate e wireless, e per chi normalmente accede a quali sistemi, da dove e quando. Raccogli dati da router, switch, firewall, punti di accesso wireless, analizzatori di rete e raccoglitori di dati dedicati. Monitora le deviazioni da queste basi, che possono indicare tunneling di dati, malware che comunica con server esterni, un account che accede a sistemi mai usati prima o altre attività di minaccia che altrimenti passerebbero inosservate.

Automatizza la risposta alle minacce conosciute

Molti strumenti di sicurezza moderni possono essere configurati per rispondere automaticamente alle minacce note. Ad esempio, questi sistemi possono:

Confrontando l'attività di rete attuale con le baseline stabilite, questi strumenti possono rilevare picchi che potrebbero indicare attività di ransomware o tentativi di SQL injection. Le librerie di firme di attacco estendono il rilevamento ai modelli di minacce noti.

Abbinare questi strumenti con integrazione firewall SIEM consente ai team di sicurezza di correlare gli avvisi da più fonti di dati, inclusi i log di identity e access, riducendo i falsi positivi e individuando più rapidamente le minacce reali.

• Blocca l'indirizzo IP: Un IPS o firewall può bloccare l'indirizzo IP dell'host che attacca. Questa opzione è molto efficace contro phishing e attacchi di negazione del servizio. Tuttavia, alcuni attaccanti falsificano l'indirizzo IP di origine durante gli attacchi, causando il blocco dell'indirizzo sbagliato.
• Terminare le connessioni: Router e firewall possono essere configurati per terminare le connessioni che un intruso mantiene con il sistema compromesso, indirizzando pacchetti TCP RESET all'attaccante.

Creare e testare un piano di risposta agli incidenti

• Ottieni ulteriori approfondimenti: Gli strumenti possono anche raccogliere informazioni preziose per determinare il punto di ingresso iniziale, quali account sono stati compromessi, come gli intrusi si sono mossi nella rete e quali dati hanno rubato.

Usa soluzioni di più fornitori

Sicurezza per il cloud e il lavoro remoto

• Revoca o sospendi l'accesso: Gli strumenti di Identity e privileged access possono disabilitare un account compromesso o revocare i privilegi permanenti nel momento in cui viene rilevato un comportamento anomalo, bloccando la strada prima che un attaccante possa aumentare i privilegi.

L’utilizzo di strumenti di sicurezza di diversi fornitori riduce il rischio di un singolo punto di guasto. Se la soluzione di un fornitore viene compromessa, le soluzioni degli altri fornitori mantengono la postura difensiva. Un approccio multi-fornitore consente inoltre una maggiore adattabilità con l’evolversi del panorama delle minacce e dei requisiti di sicurezza.

I piani basati sulle linee guida del NIST Cybersecurity Framework forniscono una struttura riconosciuta per ogni fase del ciclo di risposta. Il team di risposta agli incidenti dovrebbe esercitarsi sul piano tramite esercitazioni tabletop prima che si verifichi un incidente reale.

La rilevazione senza un piano di risposta strutturato lascia i team di sicurezza a prendere decisioni sotto pressione, senza ruoli o procedure definiti. Un framework di information security policy dovrebbe includere un piano di incident response documentato che assegna ruoli e responsabilità, stabilisce canali di comunicazione per i principali stakeholder e delinea i passaggi di contenimento per minacce note e zero-day.

Le reti aziendali moderne si estendono ben oltre il perimetro aziendale. I lavoratori remoti, i carichi di lavoro cloud e le applicazioni SaaS significano che i controlli di sicurezza della rete devono seguire utenti e dati ovunque operino.

Come Netwrix ti aiuta a monitorare e proteggere la tua rete

Netwrix risponde alla domanda che continua a tornare: chi e cosa può raggiungere la tua rete e cosa succede una volta dentro.

La sicurezza cloud deve affrontare la gestione degli accessi alle risorse ospitate nel cloud, la crittografia dei dati in transito e a riposo, e il monitoraggio degli ambienti dei fornitori di servizi cloud. I modelli di responsabilità condivisa significano che i fornitori cloud proteggono l'infrastruttura sottostante, ma le organizzazioni rimangono responsabili della sicurezza di ciò che vi gira sopra.

Per i lavoratori remoti, VPN e soluzioni ZTNA estendono l'accesso sicuro ai dispositivi fuori rete. Le organizzazioni dovrebbero applicare gli stessi controlli di data loss prevention agli endpoint remoti come fanno con i dispositivi on-premise e mantenere la visibilità sui dati a cui gli utenti remoti accedono e trasferiscono.

Netwrix Privilege Secure, che rispecchia la risposta “revoca o sospendi l’accesso” descritta sopra, ma integrata anziché aggiunta.

Netwrix Auditor fornisce visibilità continua sull’attività degli utenti, sulle modifiche di configurazione e sugli eventi di accesso negli ambienti ibridi Microsoft. È il registro che cattura un account che tenta di accedere a qualcosa che non ha mai toccato prima, così i team possono indagare prima che diventi un incidente.

Richiedi una demo per vedere come Netwrix può aiutarti a monitorare l'attività di rete, applicare il principio del minimo privilegio e rilevare le minacce prima che si aggravino.