Rischi connessi all’utilizzo di reti guest senza isolamento: il caso spesso ignorato nella sicurezza aziendale

Le reti guest sono una pratica consolidata in molte aziende: le crei per offrire connettività ai visitatori, ai fornitori, agli ospiti senza esporre la rete aziendale principale. Eppure, quello che in teoria sembra un meccanismo di sicurezza elementare nasconde una trappola che coinvolge la stragrande maggioranza delle infrastrutture che visito durante le mie consulenze. Il problema non è l’esistenza della rete guest. Il problema è che la gran parte di queste reti non è veramente isolata.

Quando parlo di isolamento assente o insufficiente, non mi riferisco a un’abstract questione di architettura. Mi riferisco al fatto che da una rete guest mal configurata un intruso può accedere ai tuoi server, alle tue stampanti di rete, ai tuoi database. Può intercettare il traffico dei tuoi dipendenti sulla rete principale. Può lanciare attacchi laterali verso i dispositivi critici. E il bello è che tutto questo avviene mentre tu credi di averlo bloccato semplicemente creando un SSID diverso.

Cosa significa veramente “isolare” una rete guest

L’isolamento della rete guest non è uno switch che accendi o spegni. È una serie di decisioni tecniche che richiedono di capire cosa stai realmente proteggendo e come.

Potrebbe interessarti anche

Sicurezza della rete VoIP: le contromisure che impediscono intercettazioni e disservizi poco visibiliCome rilevare dispositivi non autorizzati sulla LAN: la scansione intelligente che anticipa le minacceConfigurare un firewall hardware: la procedura che riduce rischi e blocchi imprevistiCos’è il network segmentation? Proteggi i dati e ottieni elevate performance senza sforzo

Innanzitutto: la segmentazione fisica. Una vera rete guest dovrebbe vivere su VLAN separate, con regole di firewall esplicite che decidono quali flussi di traffico sono permessi e quali no. Se il tuo access point trasmette sia l’SSID guest che quello aziendale su fisicamente lo stesso segmento di rete, non hai isolamento. Hai l’illusione dell’isolamento.

Secondo aspetto: le policy di routing. Il traffico guest deve essere indirizzato verso un percorso di rete completamente separato da quello aziendale. Spesso trovo aziende che configurano la guest con una semplice crittografia più debole (WPA2 invece di WPA3, ad esempio) ma non implementano nessun segmento di rete separato. Chiunque riesca a decifrare la password—e su una rete guest aperta è banale—si ritrova sullo stesso segmento della rete aziendale.

Terzo elemento: le politiche di accesso alla risorsa. Anche se il guest è su una VLAN separata, il firewall deve esplicitamente negare i tentativi di connessione verso la rete aziendale. Non è “negare di default”, che rimane un principio buono. È “negare anche quando il dispositivo tenta di raggiungere indirizzi specifici come il gateway della rete principale, il server DNS, i server DHCP aziendali”.

Come falliscono i sistemi oggi

Ho visto fallire l’isolamento in almeno sei modi ricorrenti. Te ne racconto i più pericolosi.

Il caso del doppio access point sulla stessa VLAN. Acquisti due access point fisicamente posizionati in zone diverse dell’ufficio per coprire bene la segnale. Uno è configurato per la rete principale, uno per la guest. Ma tutti e due sono connessi al medesimo switch di rete, senza VLAN. Risultato: chiunque è sulla rete guest può sniffare il traffico della rete principale transitando sullo stesso switch.

Il firewall assente tra segmenti. La VLAN esiste, è corretta dal punto di vista della configurazione. Ma non c’è nessun firewall che filtra il traffico in uscita dalla guest. In questo caso, il dispositivo ospite può raggiungere ogni server sulla rete aziendale purché conosca l’indirizzo IP.

Il DNS spoofing. La rete guest ha il proprio server DNS, correttamente separato. Ma quel server DNS non è configurato per rifiutare query di tipo “A” verso indirizzi interni. Un attaccante può chiedere al server DNS aziendale dov’è il database interno, ricevere la risposta, e connettersi direttamente.

Lo scenario dell’account condiviso. Qualcuno accede alla rete guest con un account di employee che ha dimenticato la password ed è rimasto scritta su un foglietto. Da guest, usa quell’account per accedere alle risorse aziendali. Il sistema di autenticazione non distingue da quale rete arriva la richiesta.

Come testare l’isolamento della tua rete guest

Prima di continuare a confidare nel tuo isolamento guest, devi verificare che esista davvero. Ecco cosa dovresti fare—o far fare a un professionista esterno.

Connettiti alla rete guest da un laptop e prova a pingare il gateway della rete principale. Se ottieni una risposta, il tuo isolamento non esiste. Se il ping non risponde, prosegui.

Prova a raggiungere qualsiasi server aziendale per indirizzo IP (non per nome). Se riesci a connetterti a una porta—diciamo la porta 443 di un server web interno—il firewall non sta filtrando correttamente. Se non riesci, bene.

Ultimo test: chiedere un DNS lookup per un dominio interno aziendale. Se il server DNS ti restituisce un IP interno, sai che il VLAN|DNS sulla guest non è isolato dalle risorse aziendali. Se restituisce “host not found” o rifiuta la query, hai fatto bene.

Questi test non richiedono competenze avanzate. Richiedono buon senso e una voglia di mettere alla prova l’assunto fondamentale: che la tua guest sia isolata.

La presa di posizione: cosa fare da subito

Se sei responsabile della rete aziendale, devi intraprendere tre azioni concrete.

Primo: audita la tua rete guest domani. Non tra tre mesi. Domani. Chiedi al tuo team IT—o a un consulente—di verificare fisicamente la configurazione: VLAN separate, regole di firewall esplicite, accesso alle risorse aziendali negato di default. Se non trovi documentazione, è un cattivo segno.

Secondo: implementa Network segmentation|segmentazione di rete vera. Non basta cambiare SSID e password. Devi isolare il traffico a livello di rete usando strumenti come switch managed con supporto VLAN, firewall con filtraggio statefull, e monitoraggio del traffico fra segmenti.

Terzo: educazione continua. La minaccia non viene solo da attaccanti esterni. Spesso viene da device personali connessi alla guest che poi tentano di accedere a risorse aziendali, o da dipendenti che condividono accessi. Una policy scritta—che accedere alla guest da un device non significa poter accedere a risorse aziendali senza autenticazione aggiuntiva—è il minimo.

Se fossi al posto tuo, non accetterei il rischio di una rete guest “presunta isolata”. Ho visto troppi buchi di sicurezza derivare da questa complacenza. La guest serve uno scopo legittimo. Serve davvero. Ma se non è isolata, è peggio che non averla.

Checklist operativa

• □ Documentare la topologia fisica della rete guest (quali access point, su quale switch)
• □ Verificare che la rete guest abbia una VLAN dedicata
• □ Testare il ping verso il gateway aziendale da dispositivo guest (deve fallire)
• □ Testare la connessione a server aziendali per IP diretto (deve fallire)
• □ Verificare le regole di firewall fra VLAN guest e aziendali (devono escludere il traffico)
• □ Controllare la configurazione del server DNS della guest (non deve risolvere nomi interni)
• □ Implementare Multi-factor authentication|autenticazione multi-fattore per l’accesso a risorse aziendali anche da dispositivi guest
• □ Documentare policy esplicite sull’uso della rete guest
• □ Pianificare un test di penetrazione esterno almeno una volta all’anno
• □ Monitorare il traffico fra segmenti di rete attivamente