Lo Zero Trust Network Access (ZTNA) è un framework di sicurezza IT progettato per proteggere le applicazioni aziendali, le risorse cloud e le reti wireless. Basato sul principio fondamentale del "non fidarsi mai, verificare sempre", lo ZTNA sostituisce i modelli di sicurezza tradizionali basati sul perimetro. In un ambiente di lavoro ibrido in cui i dipendenti si connettono da uffici aziendali, sedi secondarie e reti domestiche, presumere che il traffico di rete interno sia implicitamente sicuro crea un'esposizione al rischio inaccettabile.
La sicurezza tradizionale stile "castello e fossato" si affida a firewall e reti private virtuali (VPN) per tenere gli utenti non autorizzati al di fuori del perimetro di rete. Tuttavia, una volta che un utente o un dispositivo supera il gateway perimetrale, le reti legacy concedono un ampio accesso a tutte le sottoreti interne. Lo ZTNA elimina la fiducia implicita verificando l'identità dell'utente, lo stato del dispositivo e il contesto prima di concedere l'accesso a specifiche applicazioni su base sessione.
Perché la sicurezza VPN tradizionale fallisce nelle moderne reti aziendali
Per decenni, i team IT aziendali si sono affidati alle VPN aziendali per consentire l'accesso remoto. Una VPN stabilisce un tunnel crittografato tra un dispositivo client e la rete interna. Sebbene la crittografia protegga i dati in transito, il difetto architetturale di fondo di una VPN è l'ampia esposizione della rete.
Una volta che un utente si autentica su una VPN tradizionale, il suo dispositivo diventa un nodo virtuale sulla rete aziendale. Se un malintenzionato acquisisce le credenziali VPN tramite phishing o compromette un endpoint non aggiornato, ottiene una visibilità illimitata su server interni, repository di database e hardware connesso.
Questo rischio di movimento laterale rappresenta un punto debole critico nella cybersecurity aziendale. Gli aggressori che ottengono l'accesso iniziale tramite credenziali compromesse possono eseguire la scansione delle sottoreti interne, eseguire codice remoto e distribuire ransomware su tutti i sistemi connessi. Inoltre, il reindirizzamento del traffico degli utenti remoti attraverso concentratori VPN centrali crea gravi colli di bottiglia nella larghezza di banda e degrada le prestazioni delle applicazioni.
Confronto tra le VPN tradizionali e lo Zero Trust Network Access (ZTNA)
Il passaggio dalla sicurezza perimetrale legacy a ZTNA richiede la valutazione delle differenze architetturali tra autenticazione, accesso alla rete e contenimento del rischio:
I tre pilastri fondamentali dell'architettura Zero Trust
L'implementazione di Zero Trust Network Access richiede l'adozione di tre pilastri architetturali fondamentali definiti da framework di sicurezza informatica come NIST SP 800-207:
1. Verifica esplicitamente
Ogni tentativo di accesso deve essere esplicitamente autenticato e autorizzato utilizzando tutti i punti dati disponibili prima che l'accesso venga concesso. Più che affidarsi alla posizione di rete o all'indirizzo IP, lo ZTNA valuta i segnali di identità in tempo reale, inclusi le credenziali dell'utente, l'autenticazione a più fattori (MFA), lo stato di salute del dispositivo client, il livello di patch del sistema operativo, la posizione geografica e il rilevamento delle anomalie.
Per gli ambienti wireless, la verifica esplicita si ottiene combinando l'autenticazione con certificato 802.1X con i server RADIUS. Per comprendere come funziona l'identità basata su certificati sull'infrastruttura wireless, leggi la nostra guida sui vantaggi dell'autenticazione 802.1X .
2. Imporre l'accesso con privilegio minimo
L'accesso con privilegi minimi limita le autorizzazioni degli utenti rigorosamente alle applicazioni e alle risorse specifiche necessarie per completare il loro compito immediato. Lo ZTNA concede tunnel di accesso per singola applicazione anziché una connettività a livello di rete. Un addetto al supporto clienti, ad esempio, ottiene l'accesso al sistema CRM ma rimane completamente isolato dai database finanziari, dai repository di ingegneria e dai segmenti di rete amministrativi.
L'applicazione del privilegio minimo riduce al minimo l'area di impatto di qualsiasi violazione delle credenziali. Anche se un avversario compromette un account autorizzato, la microsegmentazione gli impedisce di scansionare le risorse di rete adiacenti o di elevare i privilegi.
3. Presupporre la violazione (Assume breach)
Operare presupponendo una violazione ("assume breach") significa progettare controlli di rete partendo dal presupposto che elementi avversari esistano già all'interno dell'ambiente. Invece di affidarsi esclusivamente alle difese perimetrali esterne, i controlli di sicurezza vengono integrati dall'interno verso l'esterno.
Presumere una violazione richiede un monitoraggio continuo delle minacce, la crittografia end-to-end per il traffico di rete interno e la terminazione automatica della sessione in caso di rilevamento di comportamenti sospetti. Gli amministratori di rete strutturano zone isolate all'interno delle strutture aziendali. Per le strategie sulla configurazione delle policy di controllo degli accessi, esplora la nostra analisi delle soluzioni di controllo dell'accesso alla rete .
Applicare i principi Zero Trust alle reti WiFi aziendali
Le reti wireless rappresentano un perimetro chiave nelle strutture fisiche. Le reti standard con chiave pre-condivisa (WPA2/WPA3-Personal) utilizzano un'unica passphrase condivisa per tutti i dispositivi connessi. Se un dipendente lascia l'azienda o un laptop viene smarrito, la password condivisa risulta compromessa per l'intera organizzazione.
L'applicazione di ZTNA alle infrastrutture wireless comporta la sostituzione delle password statiche con controlli di accesso basati sull'identità:
- Autenticazione tramite certificati 802.1X EAP-TLS : Rilascia certificati digitali crittografici univoci agli endpoint aziendali gestiti. I dispositivi si connettono senza password mentre il RADIUS convalida lo stato del certificato in tempo reale rispetto a Microsoft Entra ID, Okta o Google Workspace. Distribuisci i profili di certificato in modo trasparente utilizzando la nostra guida alla distribuzione dei certificati Microsoft Intune .
- Identity-based Pre-Shared Keys ( iPSK ): Assegna password univoche e individuali a endpoint non gestiti, dispositivi BYOD e hardware IoT. Ogni password si mappa direttamente sull'identità di uno specifico utente o dispositivo e indirizza il traffico su segmenti VLAN designati. Scopri di più nella nostra guida completa alla sicurezza iPSK .
- Reti WiFi guest isolate: Separa completamente il traffico dei visitatori dalle risorse aziendali utilizzando VLAN isolate, isolamento dei client e captive portal autenticati. Scopri le migliori pratiche per la sicurezza degli ospiti nella nostra guida al WiFi guest .
Collegare ZTNA con Cloud RADIUS e i provider di identità cloud
Le implementazioni legacy 802.1X richiedevano complessi controller di dominio Active Directory on-premises e hardware Network Policy Server (NPS). Le moderne piattaforme ZTNA sfruttano l'architettura Cloud RADIUS per fornire un'autenticazione ad alta disponibilità direttamente dai provider di identità cloud.
Cloud RADIUS si connette alle directory cloud tramite protocolli sicuri OAuth e SCIM. Quando un dispositivo richiede l'accesso alla rete, Cloud RADIUS verifica lo stato dell'account, l'appartenenza ai gruppi e i criteri di sicurezza in tempo reale. Quando un dipendente viene rimosso dal tuo provider di identità, l'accesso alla rete viene revocato immediatamente in tutte le sedi aziendali, eliminando la necessità di modificare manualmente le passphrase.
Domande frequenti su Zero Trust Network Access
Che cos'è Zero Trust Network Access (ZTNA)?
Zero Trust Network Access (ZTNA) è un framework di sicurezza IT che impone una rigorosa verifica dell'identità, la valutazione dello stato di salute del dispositivo e controlli di accesso con privilegi minimi per ogni richiesta di connessione, partendo dal presupposto che nessun utente o dispositivo all'interno o all'esterno della rete sia implicitamente affidabile.
In che modo ZTNA differisce da una VPN tradizionale?
Una VPN tradizionale concede un ampio accesso a livello di rete a un'intera sottorete una volta autenticata, consentendo il movimento laterale attraverso i sistemi interni. Lo ZTNA crea micro-tunnel sicuri e crittografati solo verso singole applicazioni autorizzate, bloccando la visibilità sulle risorse di rete adiacenti.
Zero Trust può essere applicato alle reti WiFi aziendali?
Sì. I principi Zero Trust si applicano direttamente al WiFi aziendale sostituendo le passphrase statiche condivise con certificati digitali 802.1X EAP-TLS, autenticazione Cloud RADIUS, isolamento dei segmenti iPSK e sincronizzazione automatizzata della directory delle identità cloud.
In che modo lo Zero Trust previene il movimento laterale delle minacce durante una violazione della sicurezza?
Zero Trust impedisce il movimento laterale attraverso la microsegmentazione e i limiti di accesso per singola applicazione. Anche se un avversario compromette le credenziali di un utente o un dispositivo endpoint, non può scansionare le sottoreti di rete adiacenti o accedere ad applicazioni interne non autorizzate.
Implementa lo Zero Trust Network Access in tutta la tua rete WiFi aziendale
Connetti i tuoi access point wireless direttamente alla piattaforma Cloud RADIUS di Purple. Offri l'autenticazione con certificati 802.1X senza password, l'isolamento dei dispositivi tramite iPSK e la sincronizzazione automatica delle identità cloud in tutte le sedi.
