Che cos'è un perimetro definito dal software? | SDP e VPN

Che cos'è un perimetro definito dal software (SDP)?

Un perimetro definito dal software (SDP) è un metodo per nascondere l'infrastruttura connessa a Internet (server, router, ecc.) in modo che terzi e autori di attacchi non possano visualizzarla, sia essa ospitata in locale o nel cloud. L'obiettivo dell'approccio SDP è basare il perimetro di rete sul software invece che sull'hardware. Un'azienda che utilizza un SDP sta essenzialmente avvolgendo i propri server e altre infrastrutture con un mantello di invisibilità, in modo che nessuno possa vederli dall'esterno; tuttavia, gli utenti autorizzati possono comunque accedere all'infrastruttura.

Un perimetro definito dal software crea un confine virtuale attorno alle risorse aziendali a livello di rete, non a livello applicazione. Ciò lo distingue da altri controlli basati sull'accesso che limitano i privilegi dell'utente, ma consentono un ampio accesso alla rete. Un'altra differenza fondamentale è che una soluzione SDP autentica sia i dispositivi che l'identità dell'utente. La Cloud Security Alliance ha sviluppato per prima il concetto di SDP.

Come funziona un SDP?

Con un sistema SDP, non dovrebbe essere tecnologicamente possibile connettersi a un server a meno che non si sia autorizzati a farlo. Gli SDP consentono l'accesso agli utenti solo dopo 1) aver verificato l'identità dell'utente e 2) aver valutato lo stato del dispositivo.

Una volta che l'utente e il dispositivo sono autenticati, l'SDP stabilisce una connessione di rete individuale tra quel dispositivo e il server a cui sta tentando di accedere. Un utente autenticato non accede a una rete più ampia, ma riceve una connessione di rete dedicata, inaccessibile ad altri e contenente esclusivamente i servizi a cui ha autorizzato l'accesso.

Immagina un server Web connesso a Internet, ma che non apre connessioni con alcunché. Non accetta richieste né invia risposte; non ha porte aperte né accesso alla rete, anche se è collegato a Internet (un po' come un tostapane o una lampada collegati a una presa a muro ma spenti in modo che non vi scorra elettricità). Questo è lo stato predefinito dei server all'interno di un perimetro definito dal software.

Un altro modo di pensare agli SDP è immaginare una porta d'ingresso che è sempre chiusa a chiave. Nessuno può entrare dalla porta, né tanto meno guardare all'interno, finché la persona dall'altra parte non verifica l'identità del visitatore e le sue intenzioni. Una volta che il visitatore è stato fatto entrare, la persona in casa chiude di nuovo la porta a chiave.

In che modo un utente ottiene l'accesso a un SDP?

Verifica dell'identità utente: l'identità dell'utente viene in genere verificata tramite un provider di identità (IdP) di terze parti. Gli SDP possono integrarsi anche con una soluzione SSO. L'autenticazione utente può includere una semplice combinazione di nome utente e password, ma è più sicuro utilizzare l'autenticazione a più fattori con un qualche tipo di token hardware.

Verifica del dispositivo: questa operazione prevede il controllo che il dispositivo dell'utente esegua software aggiornato, la ricerca di infezioni malware e l'esecuzione di altre ispezioni di sicurezza. In teoria, un SDP potrebbe persino creare una blocklist di dispositivi non consentiti e verificare che il dispositivo non sia presente nella blocklist.

Approvazione del controller SDP: il "controller" SDP è il componente logico dell'SDP responsabile della determinazione dei dispositivi e dei server che devono essere autorizzati a connettersi. Una volta che l'utente e il dispositivo sono stati autenticati, il controller trasmette l'approvazione dell'utente e del dispositivo al gateway SDP. Il gateway SDP è il punto in cui l'accesso viene effettivamente consentito o negato.

Connessione di rete sicura stabilita: il gateway SDP apre il "cancello" virtuale per consentire l'accesso all'utente. Stabilisce una connessione di rete sicura con il dispositivo dell'utente su un lato del gateway e, dall'altro lato, stabilisce una connessione di rete con i servizi a cui l'utente ha accesso. Nessun altro utente o server condivide questa connessione. Queste connessioni di rete sicure in genere comportano l'uso di mutual TLS e possono utilizzare una VPN.

Accesso utente: l'utente è in grado di accedere a risorse di rete precedentemente nascoste e può continuare a utilizzare il proprio dispositivo come di consueto. L'utente opera all'interno di una rete crittografata a cui appartengono soltanto lui e i servizi a cui accede.

Cos'è mutual TLS?

Il TLS, o Transport Layer Security, è un protocollo di crittografia e autenticazione che verifica che un server sia legittimo, ovvero che sia chi dice di essere. Con il mutual TLS, il processo di verifica avviene su entrambi i lati: sia il client che il server vengono verificati. Scopri di più sul mutual TLS.

Cos'è una VPN?

Una VPN, o rete privata virtuale, è una rete crittografata che viene eseguita su una rete non crittografata. Crea connessioni crittografate tra dispositivi e server, in modo che sia come se si trovassero sulla propria rete privata.

Tradizionalmente, le VPN sono state utilizzate per proteggere e gestire l'accesso all'infrastruttura aziendale. In alcuni casi, una soluzione SDP può sostituire una VPN.

SDP e VPN: quali sono le differenze?

Gli SDP possono integrare le VPN nella loro architettura per creare connessioni di rete sicure tra i dispositivi degli utenti e i server a cui devono accedere. Tuttavia, gli SDP sono molto diversi dalle VPN. Per certi versi, sono più sicuri: mentre le VPN consentono a tutti gli utenti connessi di accedere all'intera rete, gli SDP non condividono le connessioni di rete. Gli SDP possono essere anche più facili da gestire rispetto alle VPN, soprattutto se gli utenti interni necessitano di più livelli di accesso.

La gestione di diversi livelli di accesso alla rete tramite VPN comporta la distribuzione di più VPN. Supponiamo che Bob lavori in contabilità presso Acme Inc., Carol lavori nel reparto vendite e Alice lavori nel reparto tecnico. La gestione del loro accesso a livello di rete comporta la configurazione di tre VPN: 1) una VPN di contabilità per fornire l'accesso al database di contabilità, 2) una VPN di vendita per il database dei clienti e 3) una VPN tecnica per la base di codice. Una struttura del genere solo è difficile da gestire per l'IT, ma è anche meno sicura: ad esempio, chiunque acceda alla VPN di contabilità può accedere alle informazioni finanziarie di Acme Inc. Se Bob fornisce accidentalmente le sue credenziali di accesso a Carol, la sicurezza è compromessa e l'IT potrebbe non esserne nemmeno a conoscenza.

Ora immaginiamo una quarta persona: David, il CFO di Acme Inc. David ha bisogno di accedere sia al database di contabilità che al database dei clienti. Deve quindi accedere a due VPN distinte per poter svolgere il suo lavoro? Oppure, il reparto IT di Acme deve configurare una nuova VPN che fornisca l'accesso sia alla contabilità che al database clienti? Entrambe le opzioni sono difficili da gestire e la seconda opzione introduce un alto grado di rischio: un utente malintenzionato che comprometta questa nuova VPN con ampio accesso a due database sarebbe in grado di fare il doppio dei danni di prima.

Gli SDP, d'altra parte, sono molto più granulari. Non esiste una VPN generale a cui accedono tutti coloro che accedono alle stesse risorse; per ogni utente viene invece stabilita una connessione di rete separata. È quasi come se tutti avessero la propria VPN personale. Inoltre, gli SDP verificano sia i dispositivi che gli utenti, rendendo molto più difficile per un utente malintenzionato violare il sistema utilizzando solamente credenziali rubate.

Un paio di altre caratteristiche chiave distinguono gli SDP dalle VPN: gli SDP sono indipendenti dalla posizione e dall'infrastruttura. Poiché si basano su software anziché su hardware, le soluzioni SDP possono essere implementate ovunque per proteggere l'infrastruttura in locale, l'infrastruttura cloud o entrambe. Gli SDP si integrano facilmente anche con implementazioni multi-cloud e cloud ibrido. Infine, le soluzioni SDP possono connettere gli utenti ovunque si trovino, senza che sia necessario che si trovino all'interno del perimetro di rete fisico di un'azienda. Questo rende gli SDP utili per la gestione di team remoti che non lavorano all'interno di un ufficio aziendale.

In che modo gli SDP sono correlati alla sicurezza Zero Trust?

Come suggerisce il nome, nella sicurezza Zero Trust non c'è fiducia: nessun utente, dispositivo o rete è considerato affidabile per impostazione predefinita. La sicurezza Zero Trust è un modello di sicurezza che richiede una rigorosa verifica dell'identità per ogni persona e dispositivo che tenta di accedere alle risorse interne, indipendentemente dal fatto che si trovino all'interno o all'esterno del perimetro di rete (o del perimetro definito dal software).

Un SDP è un modo per implementare la sicurezza Zero Trust. Sia gli utenti che i dispositivi devono essere verificati prima di potersi connettere e dispongono solo dell'accesso di rete minimo di cui hanno bisogno. Nessun dispositivo, nemmeno il laptop di un CEO, può stabilire una connessione di rete con una risorsa che non è autorizzato a usare.

Scopri di più sulla sicurezza Zero Trust.

DOMANDE FREQUENTI

Che cos'è un perimetro definito dal software (SDP)?

Un SDP è una soluzione di sicurezza che nasconde l'infrastruttura connessa a Internet, come server e router, in modo che parti non autorizzate e aggressori non possano connettersi ad essa. Crea un confine virtuale attorno alle risorse aziendali, definendo un "perimetro" tramite software anziché hardware fisico. Poiché l'infrastruttura è nascosta, diventa più difficile per i malintenzionati lanciare attacchi.

In che modo un SDP verifica gli utenti prima di concedere l'accesso?

A differenza della sicurezza tradizionale che si concentra sulla posizione della rete, un SDP concede l'accesso in base all'identità. Prima che venga stabilita una connessione, l'SDP verifica l'identità dell'utente e valuta lo stato del suo dispositivo. Una volta autenticato l'utente, l'SDP crea una connessione di rete individuale e crittografata tra quello specifico utente e le risorse che è autorizzato a utilizzare.

In che modo gli SDP supportano un modello di sicurezza Zero Trust?

Gli SDP rappresentano un modo per implementare il modello Zero Trust, poiché si basano sul principio che nessun utente o dispositivo dovrebbe essere considerato affidabile per impostazione predefinita. Richiedendo la verifica di ogni singola persona e dispositivo prima di consentire loro di connettersi a qualsiasi parte della rete, un SDP garantisce che il perimetro di sicurezza sia presente ovunque un utente possa trovarsi.

Qual è la differenza tra un SDP e una VPN tradizionale?

Sebbene sia gli SDP che le VPN forniscano accesso remoto, gestiscono la sicurezza in modo molto diverso: una VPN spesso consente all'utente di accedere all'intera rete locale, mentre un SDP garantisce l'accesso solo ad applicazioni specifiche e autorizzate. Le VPN lasciano visibili alcune risorse alla rete, mentre un SDP mantiene nascosta tutta l'infrastruttura fino al completamento dell'autenticazione.

Quali sono i principali casi d'uso per la distribuzione di un SDP?

Le organizzazioni utilizzano gli SDP per proteggere l'accesso remoto dei dipendenti che lavorano da casa o fuori dall'ufficio, gestire l'accesso di appaltatori e fornitori terzi senza concedere loro l'accesso completo alla rete e proteggere ambienti multi-cloud o ibridi in cui le risorse sono distribuite su diversi provider.