Hardening: significato

In breve

Quasi ogni prodotto esce dalla fabbrica configurato per funzionare subito, non per essere sicuro: servizi attivi "per comodità", password predefinite, protocolli vecchi abilitati per compatibilità. L'hardening rovescia questa impostazione: si attiva solo ciò che serve, con i privilegi minimi necessari. Ogni servizio tolto è un pezzo di superficie di attacco in meno.

Come funziona

Gli interventi tipici:

• cambiare le credenziali predefinite e disattivare gli account inutilizzati;
• disinstallare software e disattivare servizi e porte che non servono;
• disabilitare protocolli obsoleti, come SMBv1 o versioni di TLS precedenti alla 1.2;
• applicare il principio del minimo privilegio a utenti e servizi, e separare le utenze amministrative da quelle di uso quotidiano;
• attivare registrazione degli eventi, cifratura dei dischi, blocco dello schermo e autenticazione a più fattori;
• nei servizi cloud: limitare la condivisione esterna, i consensi delle app di terze parti, gli inoltri automatici della posta.

Non serve inventare le regole da zero: i CIS Benchmarks, le guide dei produttori e quelle delle agenzie nazionali offrono configurazioni di riferimento sistema per sistema. Nei CIS Controls la configurazione sicura di dispositivi e software è il controllo numero 4.

Perché è importante

Molti incidenti non sfruttano vulnerabilità sofisticate ma configurazioni deboli: un pannello di amministrazione esposto, un account senza MFA, una cartella condivisa con tutti. L'hardening però non è un lavoro fatto una volta: le configurazioni "scivolano" con il tempo, a ogni intervento urgente o nuova installazione. Va quindi verificato in continuo, confrontando lo stato reale con quello atteso, e affiancato al patch management e al vulnerability assessment.

Esempio

Un'azienda usa Microsoft 365 da cinque anni senza aver mai rivisto le impostazioni. Una verifica rileva: tre amministratori globali senza MFA, protocolli di autenticazione legacy ancora consentiti, decine di app di terze parti con accesso alla posta autorizzato dagli utenti e una regola che inoltra automaticamente le email di un dirigente a un indirizzo esterno. Nessuno di questi è un "bug": sono scelte di configurazione. Correggerle riduce il rischio più di qualsiasi nuovo prodotto acquistato.

Lo stesso vale per un server appena installato: prima di metterlo in rete si applica una configurazione di riferimento, la si documenta e la si verifica periodicamente, così ogni deviazione emerge come un'anomalia da spiegare.

Termini collegati

• Attack Surface Management
• Patch management
• File Integrity Monitoring
• HIDS