Come gestire le policy di accesso alla rete: la procedura che elimina i rischi di intrusioni

La superficie di attacco comincia dal punto in cui utenti e dispositivi chiedono di entrare in rete. Una policy di accesso mal progettata offre all’intruso il varco per muoversi lateralmente, esfiltrare dati o interrompere servizi. Una procedura rigorosa, ripetibile e misurabile riduce drasticamente questo rischio, allineando controlli tecnici, processi e responsabilità.

Perché l’accesso è il controllo che decide tutto

Per policy di accesso si intende l’insieme di regole che determinano chi o cosa può collegarsi, con quali credenziali, a quali segmenti, e per fare che cosa. Comprende autenticazione (verifica dell’identità), autorizzazione (assegnazione dei permessi) e accounting (tracciamento delle attività), spesso indicati come modello AAA.

Dal punto di vista operativo, l’obiettivo è applicare il principio del privilegio minimo: concedere soltanto le risorse indispensabili, per il tempo necessario, e revocarle alla fine della sessione. Questo approccio è coerente con il paradigma Zero Trust descritto da NIST SP 800-207, che impone la verifica continua di identità, dispositivo e contesto.

Potrebbe interessarti anche

Indirizzamento MAC sticky: la soluzione pratica per controllare gli accessi senza rallentamentiCosa sono gli NAC nelle infrastrutture digitali? La funzione nascosta che aumenta la sicurezzaLa gestione automatizzata degli indirizzi IP: il software che previene errori e downtime improvvisiEthernet over Powerline: come sfruttarlo davvero senza perdere velocità e sicurezza

Architettura di riferimento: Zero Trust e segmentazione

La rete va strutturata per contenere i danni in caso di compromissione. La segmentazione logica tramite VLAN (Virtual LAN), VRF (Virtual Routing and Forwarding) o micro-segmentazione SDN isola gli asset critici e impedisce movimenti laterali. Regole predefinite di tipo default deny su firewall e Access Control List (ACL) stabiliscono che ogni flusso è bloccato fino a esplicita autorizzazione.

Per i punti di accesso fisici (switch edge) e wireless, l’autenticazione di rete 802.1X con un server RADIUS è il perno del controllo granulare. L’uso di certificati (EAP-TLS) elimina password deboli e consente l’assegnazione dinamica della VLAN in base al profilo.

Procedura operativa in sette fasi

1. Inventario e classificazione. Mappare utenti, ruoli, applicazioni, endpoint gestiti (laptop, workstation) e non gestiti (IoT, stampanti). Catalogare per criticità e requisiti di connettività. Integrare con un inventario centralizzato o CMDB.

2. Modello di segmentazione. Definire zone (utenti, server, OT, guest, management), instradamenti e policy est-ovest. Stabilire ACL tra zone con principio least privilege. Prevedere micro-segmentazione per carichi sensibili.

3. Autenticazione forte. Implementare 802.1X su switch e access point. Utilizzare EAP-TLS con CA interna, chiavi RSA 2048 o ECC P-256, rinnovo certificati a 12 mesi e revoca immediata su compromissione. Prevedere MAC Authentication Bypass (MAB) come eccezione documentata per dispositivi senza supplicant.

4. Autorizzazione basata su attributi. Usare RBAC (controllo basato su ruoli) come base e ABAC (controllo basato su attributi) per contesto: tipo dispositivo, postura di sicurezza, geolocalizzazione. Applicare VLAN dinamiche o tag (es. SGT/TrustSec, VXLAN-GBP) per far rispettare le policy in modo coerente sulla rete.

5. Protezioni di livello 2. Abilitare DHCP Snooping, IP Source Guard e Dynamic ARP Inspection per bloccare spoofing e MITM. Configurare Port Security con limiti di MAC per porta e shutdown su violazioni. Disabilitare porte inutilizzate e posizionarle in VLAN di quarantena.

6. Sicurezza wireless e accesso remoto. Utilizzare WPA3-Enterprise con 192-bit Security Suite per SSID aziendali. Separare SSID guest con captive portal isolato a livello L3. Per accesso remoto, preferire VPN IPsec/IKEv2 o WireGuard con MFA (autenticazione a più fattori) e controllo postura del dispositivo prima della concessione delle rotte.

7. Osservabilità e risposta. Inviare log AAA, autenticazioni, eventi di switch e AP a un SIEM (Security Information and Event Management). Abilitare NetFlow/IPFIX per la telemetria dei flussi. Integrare playbook SOAR per isolare automaticamente una porta o spostare un endpoint in quarantena su rilevamento EDR/IDS.

Autenticazione di rete: 802.1X, RADIUS e opzioni di fallback

Il cuore della policy è 802.1X: il supplicant del client si autentica con un server RADIUS, che interroga una directory (es. Active Directory o LDAP) e applica regole. L’uso di EAP-TLS vincola l’accesso al possesso di un certificato valido, evitando password riutilizzate o phishing. Il timer di ri-autenticazione a 3600 secondi consente rivalutazioni periodiche della postura.

Per endpoint legacy o IoT privi di supplicant, MAB consente l’accesso basato sull’indirizzo MAC, ma deve essere limitato a una VLAN a bassa fiducia con permessi minimi. Ogni eccezione va tracciata, con un piano di sostituzione del dispositivo non conforme entro una finestra definita.

Wireless, dispositivi mobili e politiche BYOD

Per il wireless aziendale, WPA3-Enterprise con EAP-TLS e rete management separata evita l’uso di PSK condivise. La postura dei dispositivi (aggiornamenti, cifratura disco, EDR attivo) va convalidata tramite NAC agent-based o controlli agentless con integrazioni MDM/UEM. I dispositivi personali (BYOD) devono essere confinati in segmenti dedicati con accesso alle sole risorse pubblicate via reverse proxy.

Hardening dei piani di controllo e gestione

I piani di gestione degli apparati (SSH, API, SNMPv3) devono risiedere in una management VLAN isolata, accessibile solo da jump host sicuri. Tutte le sessioni amministrative richiedono MFA e registrazione delle azioni. Il tempo deve essere sincronizzato con NTP autenticato per garantire la coerenza dei log.

Monitoraggio, log e risposta agli incidenti

La visibilità è essenziale per calibrare la policy. Il SIEM correla autenticazioni, cambi di VLAN, violazioni Port Security e allarmi EDR/IDS. Metriche chiave: percentuale di porte con 802.1X attivo, tasso di accessi negati per motivo, tempo medio per mettere in quarantena un dispositivo (MTTC) e tempo medio di ripristino (MTTR).

Un playbook SOAR può automatizzare: blocco porta su anomalia, revoca certificato del dispositivo compromesso, apertura ticket e notifica al SOC. La retention dei log dovrebbe essere di almeno 180 giorni, compatibile con i requisiti normativi e le politiche privacy interne.

Conformità e governance

La policy di accesso deve essere collegata al sistema di gestione della sicurezza informativa, con controlli, audit e miglioramento continuo in linea con ISO/IEC 27001. In ottica di protezione dei dati personali (GDPR), limitare la raccolta di attributi all’essenziale, applicare minimizzazione e definire tempi di conservazione chiari.

La governance include un comitato tecnico che approva eccezioni, verifica la scadenza dei certificati e rivede trimestralmente l’efficacia delle regole. Le modifiche passano da un processo di change management con test e rollback documentati.

Validazione in laboratorio e rilascio controllato

Prima della produzione, è utile una rete di test che riproduca topologia, server RADIUS e directory reali. Si simulano casi d’uso: dispositivo conforme, non conforme, sconosciuto, attacco di spoofing ARP, flood di DHCP. Il rilascio in campo avviene a ondate: prima uffici pilota, poi sedi a minor criticità, infine core aziendale.

Ogni ondata misura impatti e falsi positivi. Le finestre di manutenzione vanno comunicate con anticipo e accompagnate da supporto on-site per il day-1. Il successo è definito da KPI pre-accordati e dal numero di ticket per 100 utenti nelle prime 48 ore.

Errori comuni da evitare

Eccezioni permanenti per MAB senza scadenza. Segreti RADIUS condivisi e non ruotati. NTP non configurato con orologi divergenti nei log. Certificati con algoritmi deboli o senza CRL/OCSP. VLAN guest con rotte indirette verso reti interne. Mancata revisione periodica di gruppi AD che governano l’autorizzazione. Assenza di time-out per sessioni inattive su VPN.

Piano di manutenzione e miglioramento continuo

La sicurezza dell’accesso non è statica. Ogni trimestre è consigliata la revisione dei criteri di postura, l’aggiornamento degli agent NAC, il patching degli apparati di accesso e la verifica di conformità delle configurazioni di switch e AP rispetto a un baseline. Test di penetrazione e red teaming focalizzati sul bordo di accesso aiutano a validare la resilienza delle regole.

Un percorso di maturità tipico: passaggio da autenticazione a password a EAP-TLS, da segmentazione per VLAN a micro-segmentazione con tag, da alert manuali a risposta automatizzata con SOAR. L’obiettivo operativo è ridurre la finestra tra rilevamento e contenimento a minuti, non ore.

Con un’architettura coerente, una procedura in fasi e metriche trasparenti, la policy di accesso diventa il filtro che blocca la maggioranza delle intrusioni e riduce l’impatto di quelle inevitabili. La precisione dell’implementazione, più che la complessità, fa la differenza.