In un contesto sempre più dinamico di digital transformation, l’implementazione di un’architettura SASE (Secure Access Service Edge) consente di connettere in modo sicuro utenti, sistemi, endpoint e reti remote ad app e risorse.
Vero è, infatti, che ormai da diversi anni le reti di molte aziende stanno subendo un profondo cambiamento dovuto a molti fattori, tra cui i principali sono l’adozione di servizi multi-cloud, tipicamente IaaS (Infrastructure as a Service), PaaS (Platform as a Service) e SaaS (Software as a Service), la distribuzione degli asset aziendali, il cosiddetto on-premise, su aree geopolitiche diverse e l’evoluzione delle architetture software, sempre più orientate ai micro-servizi.
Un programma di cyber security deve ovviamente raccogliere le sfide lanciate da queste nuove tendenze e reagire adattandosi alle nuove esigenze che hanno portato, ad esempio, alla frantumazione del concetto di perimetro aziendale, all’aumento e alla diversificazione della superficie d’attacco e al progressivo intensificarsi degli attacchi perpetrati passando attraverso i confini delle ormai molteplici reti che costituiscono la Wide Area Network aziendale.
Essendo venuto meno il concetto tradizionale di “perimetro”, così come lo abbiamo conosciuto in passato, è emersa in particolare la necessità di cambiare strategia, passando a un processo che parta innanzitutto dall’individuazione delle “superfici” che sia davvero necessario proteggere, piuttosto che dall’introduzione di soluzioni tecnologiche “tout court”: dalla Attack Surface alla Protect Surface, attraverso un’inversione del paradigma.
Ogni “superficie” dovrebbe far capo a una ben determinata risorsa, tra quelle considerate significative, “sensibili” e critiche per il business aziendale (DAAS: Data, Application, Asset, Service) e costituire, unitamente alle altre, l’ambiente di applicazione di quella che viene ormai universalmente riconosciuta strategia Zero Trust.
Indice degli argomenti
Cos’è un’architettura SASE
Secondo la definizione di Gartner, “le funzionalità SASE sono fornite come servizio basato sull’identità dell’entità, sul contesto in tempo reale, sulle policy di sicurezza/conformità aziendale e sulla valutazione continua del rischio/della fiducia durante le sessioni. Le identità delle entità possono essere associate a persone, gruppi di persone (filiali), dispositivi, applicazioni, servizi, sistemi IoT o sedi di edge computing”.
Per semplificare e chiarire ulteriormente il concetto di architettura SASE, si potrebbe ricorrere a una metafora.
Immaginiamo un gruppo di persone che si appresti a fare una gita in montagna e che tutto a un tratto siano sorprese da un temporale. Per ripararsi, una di loro estrae un ampio telo impermeabile dallo zaino e se lo stendono sopra la testa. Purtroppo, però, il temporale peggiora, si alza un forte vento e comincia ad arrivare acqua da tutte le parti: il provvidenziale telo, a quel punto, non serve più a niente e una folata particolarmente forte lo porta via.
Se tutte le persone si fossero dotate di un indumento personale adeguato, antivento e impermeabile, avrebbero innanzitutto protetto solo quello che doveva effettivamente essere protetto, ogni singola persona, e la soluzione sarebbe stata del tutto efficace.
Come identificare la Enterprise network aziendale
Tra le reti che attualmente possono essere parte integrante della Enterprise network aziendale, si annoverano:
- quelle configurate presso i Cloud Service Provider (tipicamente virtuali – private cloud);
- quelle “locali” che possono essere dislocate ad esempio presso Data Center, filiali e uffici aziendali situati in aree geopolitiche anche molto diverse (e.g. LAN e VLAN cablate o Wi-Fi);
- quelle “porzioni” di Wide Area Network (e.g. Internet, VPN, MPLS, reti dati cellulare) necessarie per connettere tra loro tutte queste reti e i vari punti di accesso ai servizi cloud, public e private, consentendone la fruizione da remoto agli utenti (da casa, da luoghi pubblici, in viaggio o dagli uffici aziendali) che possono a loro volta utilizzare una notevole varietà di dispositivi personali o aziendali.
La Enterprise network aziendale si è quindi di fatto spostata su Internet, moltiplicando e diversificando notevolmente i punti di accesso alle risorse aziendali, la loro collocazione e i protocolli di comunicazione, facendo emergere chiaramente la sentita esigenza di spostare il focus della sicurezza dal concetto di “perimetro esterno”, ormai obsoleto, a quello di “micro-perimetro” della singola risorsa aziendale da proteggere, radicalizzando la “digital trust” verso un modello basato sul principio “never trust, always verify” e su policy che comportino l’applicazione delle note question word “who, what, when, where, why and how” a tutto il traffico che interessa il singolo elemento DAAS.
Superare il concetto che esista un dentro e un fuori
Gli approcci basati sul presupposto che esista un “dentro” e un “fuori” rispetto a un ben definito “perimetro aziendale”, che il traffico su cui porre attenzione sia esclusivamente quello “nord – sud”, attraverso il perimetro, che le minacce siano “esterne” mentre tutto ciò che è situato all’”interno” possa essere considerato “affidabile”, sono quindi ormai da considerarsi inefficaci, superati e, per certi versi, anche molto pericolosi.
L’uso delle VPN espone l’azienda a rischi anche gravi
L’abbondante ricorso alle Virtual Private Network (VPN) esploso durante il recente periodo pandemico, con l’obiettivo di allargare il “perimetro aziendale” al fine di raggiungere in “sicurezza” una moltitudine e varietà di punti di accesso alla rete pubblica, gli “edge” aziendali, introduce delle limitazioni e potrebbe esporre l’azienda a rischi anche gravi.
Gli End Point (EP) utilizzati per accedere in VPN alle risorse aziendali sono infatti spesso “unmanaged”, si implementano raramente tecniche di segmentazione e difficilmente si attuano policy di autenticazione “context-aware” che tengano conto ad esempio da dove, quando e con quale dispositivo avvenga l’autenticazione stessa.
La necessità di gestire gli EP e di installare un agent per la connessione rende poi difficoltosa la penetrazione di questa tipologia di accesso nel cosiddetto mondo della Supply Chain.
I concentratori di VPN potrebbero inoltre introdurre problemi di performance e di disponibilità, dovuti alla numerosità e al volume degli accessi, e alla dislocazione delle “risorse aziendali”: l’EP potrebbe trovarsi in prossimità di un Private Cloud aziendale ma molto distante dal concentratore di riferimento.
Anche la tecnologia MultiProtocol Label Switching (MPLS) presenta delle limitazioni in termini di costo, di complessità di gestione e di performance.
La gestione delle infrastrutture di autenticazione
Esiste poi il tema fondamentale delle infrastrutture di autenticazione, che utilizzano tipicamente un approccio token-based: non possono più essere orientate solo agli utenti ma devono rispondere anche alle esigenze dei servizi che possono essere localizzati ovunque all’interno della moderna Enterprise network aziendale, devono poter comunicare tra di loro, anche astraendo dalla sottostante infrastruttura, e dovrebbero essere sottoposti a continui processi di Authentication, Authorization e Accounting (AAA) a causa dell’intrinseca dinamicità che contraddistingue questo genere di interazioni.
In questo contesto, per rispondere alle esigenze di sicurezza introdotte dagli scenari che caratterizzano le moderne reti aziendali, si collocano diverse nuove soluzioni di “point security”, alcune delle quali sono state introdotte a corredo dei tradizionali approcci alla sicurezza delle reti per potenziarne l’efficacia, tra le quali i Cloud Access Security Broker (CASB) i Next Generation Firewall (NGFW) i Web Application Firewall (WAF) i Secure Web Gateway (SWG) e così via.
Cloud Access Security Broker (CASB)
Un Cloud Access Security Broker (CASB) è un software che si interpone tra l’utente e la risorsa in cloud alla quale si intende accedere, con l’obiettivo di garantirne la stessa protezione che avrebbe on premise, riproducendo potenzialmente ogni misura di sicurezza già implementata, come ad esempio l’encryption dei dati e le funzioni di Data Loss Prevention (DLP).
Un CASB include tipicamente i controlli di Authentication, Authorization e Accounting, unitamente al logging degli accessi, al monitoring delle attività, alla possibilità di rilevare disallineamenti nella configurazione dei servizi cloud rispetto agli standard e alle linee guida di sicurezza adottate, e di elevare alert in caso di “comportamenti” sospetti (e.g. insider threat e Shadow IT: uso non autorizzato di risorse) anche grazie a funzionalità di User and Entity Behavior Analytics (UEBA).
Next Generation Firewall (NGFW)
Un Next Generation Firewall (NGFW) ha una caratteristica distintiva, la cosiddetta “application data awareness”: rispetto a un firewall tradizionale che opera sostanzialmente a livello 3 e 4 dello stack ISO / OSI, aggiunge capacità di ispezione a livello 7, quello applicativo, consentendo ad esempio funzioni di application filtering, di Deep Packet Inspection (DPI) di TLS decryption and inspection (TLS termination proxy) e di Intrusion Detection and Prevention (IDS / IPS).
Web Application Firewall (WAF)
Un Web Application Firewall (WAF) è sempre una soluzione che opera a livello 7 dello stack ISO / OSI per proteggere web application e API da attacchi di vario genere (e.g. BOT e Layer 7 DDOS).
Secure Web Gateway (SWG)
Un Secure Web Gateway (SWG) è una variante e, nel contempo, una combinazione dei concetti di NGFW e WAF, dei quali non è da considerarsi un sostituto, e offre fondamentalmente servizi cloud di web filtering delle comunicazioni tra sistemi on premise e risorse cloud, ispezionando il traffico http / https e proteggendo gli utenti dalle minacce web, fino alla browser isolation.
Sono caratterizzati tipicamente da console centralizzate che consentono il controllo, la visibilità e il reporting sugli utenti e i dispositivi, indipendentemente dalla loro geolocalizzazione.
Le principali funzioni di un’architettura SASE
Tutte queste soluzioni di “point security”, per le quali Gartner ha coniato nel 2019 l’acronimo SASE (Secure Access Service Edge), sono state integrate in un’architettura di servizi di network security che costituisce un framework “completo” di servizi tipicamente cloud, sia di security sia di Wide Area Networking, erogati attraverso i cosiddetti Point of Presence (PoP) a cui si connettono utenti e risorse aziendali, gli “edge”, e che sono geograficamente distribuiti su scala planetaria secondo un opportuno piano strategico che, di fatto, ne determina spesso l’inclusione nel panorama delle Content Delivery Network (CDN).
Tra le principali funzioni e caratteristiche di un’architettura SASE riconosciamo quindi:
- l’ottimizzazione del traffico di rete, con un miglioramento degli indicatori di performance e di disponibilità;
- il controllo degli accessi alle differenti tipologie di risorse;
- la capacità di prendere decisioni in termini di networking, grazie alla distribuzione di agent sugli “edge”, anche sulla base dei diversi ruoli aziendali;
- la prevenzione delle minacce, attraverso la raccolta di informazioni e l’attuazione di azioni di remediation;
- la distribuzione di una “baseline” di policy di security a tutti gli utenti, indipendentemente dalla loro localizzazione;
- una dashboard centralizzata che consente piena visibilità su tutti gli utenti e i dispositivi connessi, il tutto riducendo il numero di appliance fisiche orientate alla sicurezza e consentendo di adattarsi rapidamente e nativamente alla crescita e allo sviluppo dell’azienda.
L’architettura SASE diviene, quindi, essa stessa parte della moderna Enterprise network aziendale in quanto appunto integra in un’unica soluzione tutti quei servizi necessari per connettere tra loro in “sicurezza” tutte le reti aziendali e i vari punti di accesso ai servizi cloud.
E una delle tecnologie sottese attualmente adottate, grazie appunto alla diffusione delle soluzioni di “virtualizzazione” e al vasto ricorso a servizi cloud, è la Software Defined Wide Area Network (SD-WAN) che, in estrema sintesi, consente di gestire i servizi di networking per la connessione di “siti” collocati in aree geopolitiche anche molto diverse, disaccoppiando i cosiddetti “data plane” e “control plane”, e centralizzando la definizione di molte policy.
I vantaggi di un’architettura SASE
Secondo Gartner (2022 Strategic Roadmap for SASE Convergence) entro il 2025 l’80% delle aziende avrà adottato una strategia per unificare l’accesso al web, ai servizi cloud e alle applicazioni aziendali, basata sull’architettura SASE.
Si tratta, quindi, di un’architettura di grande interesse e a cui molte aziende presteranno estrema attenzione, al fine di compiere un ulteriore prezioso passo nel percorso di adozione di una strategia Zero Trust che attualmente rappresenta forse l’approccio più efficace per rispondere alle sfide, in termini di sicurezza delle informazioni, lanciate dalle moderne Enterprise network aziendali.
