Movimento laterale: come si muove un attaccante dentro la rete
Quando si parla di attacchi informatici, l’attenzione tende a concentrarsi sul momento dell’intrusione. Immaginiamo un malware che supera il perimetro, un’e-mail di phishing che inganna un utente, oppure una vulnerabilità che viene sfruttata attivamente. Tuttavia, nella maggior parte degli incidenti gravi, il danno reale non avviene al momento dell’accesso iniziale.
Con il termine movimento laterale si descrive la fase in cui un attaccante, ottenuto un primo punto d’appoggio all’interno della rete, si sposta progressivamente verso sistemi più critici: i Domain Controller, i server applicativi, i database, i sistemi di backup.
Per farlo, sfrutta ciò che trova lungo il percorso, come credenziali memorizzate sui dispositivi compromessi, sessioni attive e account di servizio configurati con privilegi eccessivi.
Le tecniche più diffuse
Le tecniche di movimento laterale più comuni sfruttano i meccanismi di autenticazione di Windows e Active Directory:
- Pass-the-Hash: l’attaccante intercetta l’hash della password di un account privilegiato senza conoscere la password in chiaro e lo utilizza direttamente per autenticarsi su altri sistemi della rete (vedi il nostro articolo sul furto di hash NTLM).
- Pass-the-Ticket: sfrutta i ticket Kerberos, il protocollo di autenticazione usato da Active Directory, per impersonare utenti legittimi senza bisogno di credenziali in chiaro.
In entrambi i casi, l’attaccante non forza nessuna porta, ma usa chiavi valide che ha trovato nell’ambiente. Il risultato è che un incidente che potrebbe essere contenuto, ad esempio una workstation compromessa o un account utente violato, si trasforma in una compromissione estesa dell’infrastruttura, con conseguenze che possono includere esfiltrazione di dati, distribuzione di ransomware su larga scala e interruzione dei servizi critici.
Le identità digitali al centro della difesa moderna
Il movimento laterale prospera dove le identità digitali non sono gestite con rigore. Credenziali condivise tra sistemi diversi, password che non vengono mai ruotate o account con privilegi più ampi del necessario sono i punti di appoggio che un attaccante cerca e trova in quasi ogni ambiente aziendale.
Per questo la gestione delle identità privilegiate è diventata uno dei pilastri della cybersecurity moderna. La necessità di presidiare e documentare gli accessi privilegiati è oggi esplicitamente richiesta da normative e framework di riferimento:
- NIS2: la Direttiva europea impone alle organizzazioni in perimetro l’adozione di misure tecniche e organizzative per la gestione degli accessi e la protezione delle reti.
- Regolamento DORA: il regolamento applicabile al settore finanziario richiede controlli specifici sugli accessi privilegiati e la capacità di tracciare e auditare le operazioni sui sistemi critici.
- ISO 27001 e supply chain: anche in contesti di certificazione e verifica di terze parti, la gestione degli account privilegiati emerge con crescente frequenza tra i requisiti richiesti.
La postura reattiva, ossia la capacità di intervenire dopo un incidente, non è più sufficiente. Le organizzazioni che vogliono essere davvero resilienti devono adottare un approccio proattivo: ridurre la superficie di attacco prima che venga sfruttata, garantire la tracciabilità degli accessi in modo continuo, e dimostrare (non solo dichiarare) che i propri sistemi sono sotto controllo.
Il punto di partenza: Microsoft LAPS
LAPS è una soluzione gratuita di Microsoft, integrata in Active Directory, che risolve un problema molto diffuso: la presenza di una password identica per l’account amministratore locale su tutti i PC dell’organizzazione.
Avere la stessa password su ogni dispositivo è una configurazione storicamente comune perché semplifica la gestione operativa delle workstation. Dal punto di vista della sicurezza, però, rappresenta un rischio significativo: se un attaccante compromette un dispositivo e scopre quella password, può usarla per accedere a tutti gli altri PC dell’azienda con privilegi di amministratore locale.
Come funziona LAPS
LAPS risolve questo problema in modo automatico:
- Genera una password unica e casuale per ogni dispositivo
- La conserva in Active Directory in forma protetta
- La ruota automaticamente secondo una frequenza configurabile
- Limita la lettura della password ai soli utenti o gruppi autorizzati, registrando ogni accesso
LAPS è un punto di partenza solido e relativamente semplice da implementare. Tuttavia, copre esclusivamente le password degli amministratori locali sulle workstation. Tutti gli account privilegiati che operano su server, sistemi di rete, applicazioni e servizi rimangono fuori dal suo perimetro. Per una protezione estesa, è necessario un approccio più strutturato.
Il passo successivo: Active Directory Tiering
L’Active Directory Tier Model, comunemente noto come AD Tiering, è un framework sviluppato da Microsoft per strutturare la protezione degli accessi privilegiati all’interno di un’infrastruttura aziendale. Il principio fondamentale è la separazione netta tra livelli di accesso in base alla criticità dei sistemi gestiti.
I tre livelli del modello
- Tier 0 – il nucleo dell’infrastruttura: Domain Controller, sistemi di gestione delle identità e account con i massimi privilegi su Active Directory. Chi controlla il Tier 0 ha il controllo dell’intera organizzazione IT.
- Tier 1 – i sistemi applicativi e di business: server applicativi, database, sistemi di backup e infrastrutture di virtualizzazione. Critici per il business, ma un gradino sotto rispetto al cuore dell’identità aziendale.
- Tier 2 – le workstation e i dispositivi degli utenti finali: il livello più periferico, ma spesso il primo punto di compromissione.
La regola cardine
Le credenziali di un tier non devono mai essere utilizzate né memorizzate su sistemi di un tier inferiore. Un amministratore che gestisce i Domain Controller (Tier 0) non deve mai autenticarsi con quelle stesse credenziali su una workstation utente (Tier 2). Se lo facesse, un attaccante che compromette quella workstation potrebbe intercettare le credenziali di Tier 0 e ottenere il controllo dell’intera infrastruttura.
Cosa richiede un’implementazione corretta
Implementare il Tiering in modo corretto è un lavoro professionale significativo. Richiede di:
- Censire tutti gli account privilegiati esistenti nell’ambiente, inclusi gli account di servizio
- Riorganizzarli secondo la logica a livelli, definendo gruppi di sicurezza separati per ogni tier
- Configurare le policy di accesso in Active Directory che impediscano fisicamente a un account di Tier 2 di autenticarsi su sistemi di Tier 0 o Tier 1
- Introdurre i Privileged Access Workstation (PAW): dispositivi dedicati e rafforzati, usati esclusivamente per le attività amministrative sui tier più critici
Il risultato, se implementato correttamente, è una segregazione degli accessi che rende il movimento laterale strutturalmente molto più difficile. Allo stesso tempo, implementare il Tiering in una azienda può diventare molto complesso, in particolare la parte che riguarda il Tier 1, nonché di difficile gestione e manutenzione. In questa architettura affiancare una soluzione PAM semplifica notevolmente la gestione e la fruibilità.
Privileged Access Management (PAM): da framework a protezione reale
Cos’è il PAM
Il Privileged Access Management (PAM) è una categoria di soluzioni enterprise progettate per gestire, monitorare e proteggere tutti gli account privilegiati di un’organizzazione. A differenza di strumenti come LAPS, che operano su un perimetro limitato, un PAM copre l’intero ecosistema degli accessi privilegiati: server fisici e virtuali, sistemi operativi, database, applicazioni, dispositivi di rete come firewall e switch, ambienti cloud e sistemi OT.
Le funzionalità fondamentali di una soluzione PAM ruotano attorno a tre aree:
- Vaulting delle credenziali: tutte le password privilegiate sono conservate in un archivio sicuro e centralizzato, ruotate automaticamente secondo policy configurabili. Le credenziali non sono mai visibili direttamente all’operatore: l’accesso ai sistemi avviene attraverso il PAM, che fa da intermediario.
- Gestione e registrazione delle sessioni: ogni sessione privilegiata viene registrata e può essere riprodotta integralmente in caso di audit o indagine.
- Accesso just-in-time: i privilegi vengono concessi solo nel momento in cui servono, per la durata strettamente necessaria, e revocati automaticamente al termine.
Il ruolo del PAM nell’AD Tiering
Il punto di contatto tra PAM e AD Tiering è diretto e strutturale. Il Tiering definisce le regole: quali account possono accedere a quali sistemi, come devono essere separati i livelli, quali credenziali non devono mai transitare fuori dal loro tier. Il PAM è lo strumento che rende quelle regole operative e sostenibili nel tempo.
Senza un PAM, mantenere il Tiering richiede processi manuali complessi e difficilmente scalabili. Le password privilegiate devono essere gestite su decine o centinaia di sistemi. Gli account di servizio, spesso configurati con credenziali statiche e privilegi elevati, devono essere censiti e monitorati. Ogni accesso amministrativo deve essere documentato per garantire la tracciabilità richiesta da audit e normative.
In ambienti dinamici, dove i sistemi cambiano e i team ruotano, questo livello di disciplina operativa è difficile da mantenere nel tempo. Un PAM automatizza e centralizza tutto questo:
- Le credenziali per ogni tier sono conservate nel vault e ruotate automaticamente. Anche se un attaccante intercettasse una password, questa sarebbe già cambiata entro breve
- Gli account di servizio possono essere integrati nel vault e gestiti con le stesse policy degli account umani
- La separazione tra i tier è rafforzata tecnicamente. Il PAM può impedire che le credenziali di Tier 0 vengano mai esposte su sessioni provenienti da dispositivi di Tier 2
Accesso sicuro senza esposizione delle credenziali
Un aspetto operativo rilevante riguarda le modalità di accesso ai sistemi gestiti. Con un PAM, gli amministratori possono connettersi a server e dispositivi di rete senza mai conoscere la password effettiva del sistema di destinazione, e senza dover stabilire una connessione VPN separata. L’accesso avviene attraverso il PAM stesso, che autentica l’operatore, verifica i suoi permessi e apre la sessione in modo controllato.
Questo approccio riduce la superficie di attacco, semplifica l’operatività del team IT e garantisce che ogni accesso sia registrato e attribuibile a una persona specifica, un requisito sempre più richiesto in contesti di audit, certificazione e verifica della supply chain.
Il PAM come pilastro di una strategia proattiva
Il movimento laterale non è una minaccia teorica, ma la fase in cui la maggior parte degli attacchi gravi produce i propri effetti. E la ragione per cui riesce è quasi sempre la stessa: credenziali privilegiate non gestite, account con più accessi del necessario, assenza di separazione tra i livelli dell’infrastruttura.
Affrontare questo rischio richiede un percorso strutturato e progressivo:
- Microsoft LAPS è un buon punto di partenza per proteggere le workstation
- L’AD Tiering introduce la logica di separazione necessaria per contenere il movimento laterale all’interno dell’infrastruttura
- Il PAM è lo strumento che rende questo modello governabile, scalabile e verificabile nel tempo
In un contesto in cui le normative richiedono sempre più esplicitamente la gestione e la tracciabilità degli accessi privilegiati, adottare una soluzione di PAM non è solo una scelta di sicurezza: è un elemento di igiene digitale (qui la nostra guida sull’igiene digitale per la NIS2) che rafforza la resilienza complessiva dell’organizzazione, riduce la dipendenza da processi manuali soggetti a errore, e permette di dimostrare in modo oggettivo che i sistemi critici sono sotto controllo.
Competenze e tecnologia: perché l’implementazione richiede un approccio specializzato
Implementare LAPS, strutturare un AD Tiering e adottare una soluzione PAM richiede competenze che spaziano dalla gestione di Active Directory alla conoscenza delle piattaforme PAM disponibili sul mercato, dalla capacità di censire e classificare gli account privilegiati all’integrazione con i sistemi esistenti, senza dimenticare la dimensione normativa, sempre più rilevante in fase di audit e certificazione.
Non si tratta di progetti one-shot: richiedono manutenzione, aggiornamento continuo e la capacità di adattarsi all’evoluzione dell’infrastruttura. Queste tecnologie toccano il cuore delle infrastrutture IT e OT, e se ben strutturate rappresentano un deterrente concreto contro alcune delle tecniche di attacco più diffuse.
Le soluzioni descritte in questo articolo rientrano nell’offerta Identity di Cyberlys. Per maggiori informazioni, consulta le pagine Identity Solutions e Privileged Access Management.
