Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Partire dal ruolo del sistema e da una baseline
La configurazione sicura dipende dal ruolo: un domain controller, un web server, una postazione amministrativa e un servizio cloud hanno requisiti differenti. Prima di applicare controlli occorre conoscere proprietario, dati, dipendenze, porte, account, agenti e modalità di recovery.
I CIS Benchmarks offrono raccomandazioni consensuali per numerose famiglie di prodotti. Sono un riferimento da selezionare e adattare: profili più restrittivi possono avere impatti operativi e devono essere provati sul prodotto e sulla versione effettivamente utilizzati.
- Ruolo, criticità e proprietario del sistema
- Versione e ciclo di supporto
- Servizi, porte e componenti necessari
- Account, privilegi e accessi amministrativi
- Baseline scelta, motivazioni e approvazione
Testare e distribuire in modo controllato
La baseline viene tradotta in configurazioni ripetibili tramite policy, automazione o procedure documentate. Un ambiente pilota rappresentativo permette di verificare compatibilità, prestazioni, monitoraggio, backup e procedure operative prima della distribuzione estesa.
Le modifiche ad alto impatto richiedono finestra, comunicazione, backup della configurazione e rollback. Disabilitare un protocollo o irrigidire un criterio senza conoscere le dipendenze può interrompere autenticazione, integrazioni o gestione remota. Sicurezza e continuità devono essere valutate insieme.
- Gruppo pilota e criteri di successo
- Controllo delle dipendenze applicative
- Backup e rollback provati
- Distribuzione progressiva e osservabile
- Eccezioni registrate prima dell’estensione
Misurare deriva, cambiamenti ed eccezioni
Aggiornamenti, nuove applicazioni e interventi urgenti possono allontanare i sistemi dalla baseline. La verifica periodica confronta stato atteso e reale, distinguendo variazioni autorizzate, errori e compromissioni da approfondire.
NIST SP 800-128 collega baseline, controllo delle modifiche e monitoraggio alla gestione sicura delle configurazioni. Ogni eccezione deve avere motivazione, rischio, controllo compensativo, responsabile e scadenza. La baseline viene aggiornata quando cambiano minacce, versioni, servizi o requisiti.
- Conformità alla baseline per classe di asset
- Deriva non autorizzata e tempo di correzione
- Sistemi senza controllo o fuori supporto
- Eccezioni aperte e scadute
- Riesame dopo cambiamenti e incidenti
Domande frequenti
È sufficiente applicare integralmente un benchmark?+
No. Un benchmark è un riferimento autorevole, ma deve essere selezionato per prodotto e versione, testato e adattato al ruolo e alle dipendenze del sistema.
Hardening e patching sono la stessa cosa?+
No. Il patching corregge vulnerabilità e difetti tramite aggiornamenti; l’hardening riduce la superficie di attacco e rende sicure le configurazioni. Entrambi richiedono manutenzione continua.
Come evitare che l’hardening blocchi i servizi?+
Con inventario delle dipendenze, ambiente pilota, distribuzione progressiva, monitoraggio, rollback e coinvolgimento del proprietario del servizio.