{"id":6608,"date":"2023-11-01T11:31:21","date_gmt":"2023-11-01T10:31:21","guid":{"rendered":"https:\/\/www.bitmat.it\/specialesicurezza\/?p=6608"},"modified":"2023-11-01T11:31:21","modified_gmt":"2023-11-01T10:31:21","slug":"secrets-management-strumenti-da-conoscere","status":"publish","type":"post","link":"https:\/\/www.bitmat.it\/specialesicurezza\/news\/6608\/secrets-management-strumenti-da-conoscere","title":{"rendered":"Secrets Management, strumenti da conoscere"},"content":{"rendered":"

Cosa c\u2019\u00e8 da sapere sugli strumenti di Secrets Management? Ce lo spiega in questo contributo Simone Mola (in foto), Regional Sales Manager di Thales<\/a>.
\nBuona lettura.<\/p>\n

Le moderne applicazioni, sia in cloud che on-premise, hanno accelerato l\u2019esigenza di soluzioni che consentano di gestire correttamente le credenziali riservate. Quelle credenziali che regolano l’accesso ai dati quando vengono trasferiti tra le applicazioni. Parliamo, ad esempio, dell\u2019invio di informazioni da una pagina web, oppure della richiesta di un’API sicura, o dell\u2019accesso a un database cloud o altri casi legati ai processi di trasformazione digitale. Tuttavia, affinch\u00e9 il controllo sia efficace, le aziende devono gestire i codici privilegiati durante l\u2019intero ciclo di vita. Funzionalit\u00e0 queste garantite dagli strumenti di Secrets Management.<\/p>\n

Cosa si intende per codice digitale?<\/strong><\/h2>\n

La definizione pi\u00f9 semplice \u00e8 quella di una credenziale di autenticazione digitale, di cui l’esempio pi\u00f9 noto \u00e8 la password. I codici si riferiscono a informazioni private fondamentali per sbloccare risorse protette o informazioni sensibili in strumenti, applicazioni, container, ambienti DevOps e cloud-native. Con la proliferazione di unit\u00e0 legate a computer, dispositivi IoT, app, API, container e microservizi, i codici legati alle singole funzioni sono aumentati a dismisura. Il che ha reso necessaria la loro gestione automatizzata per limitare la possibilit\u00e0 e l’impatto di una compromissione.<\/p>\n

Le sfide del Secrets Management<\/strong><\/h2>\n

Una cattiva gestione dei codici digitali pu\u00f2 esporre a rischi informatici. Il Report Data Breach Investigations del 2023 di Verizon indica che le credenziali compromesse sono il vettore principale tramite il quale gli attaccanti riescono a entrare nei sistemi. Sebbene il fattore umano sia coinvolto nel 74% delle violazioni di dati, le credenziali rubate consentono agli hacker di muoversi lateralmente all’interno della rete aziendale, acquisendo privilegi. Oltre l’80% delle violazioni su applicazioni basate sul web viene attribuito a credenziali rubate. Inoltre, quanto pi\u00f9 complessi sono i codici digitali da gestire in azienda, tanto pi\u00f9 difficile sar\u00e0 archiviare e tracciare tutti i dati.<\/p>\n

Dispersione dei codici e mancanza di una visibilit\u00e0 completa<\/strong><\/h2>\n

I codici sono anche inseriti come credenziali memorizzate nelle applicazioni containerizzate, nelle piattaforme di Robotic Process Automation (RPA), nelle applicazioni business-critical e nelle pipeline di Continuous Integration\/Continuous Deployment (CI\/CD), generando una presenza pervasiva di codici digitali. In alcune aziende, si possono generare migliaia di codici SSH e, i metodi decentralizzati con cui gli amministratori e gli altri membri del team IT gestiscono queste informazioni, complicano la situazione. Serve una visibilit\u00e0 unificata su tutti gli ecosistemi IT per evitare falle nella sicurezza e difficolt\u00e0 di auditing.<\/p>\n

Codici predefiniti e strumenti DevOps<\/strong><\/h2>\n

Le credenziali predefinite \u2018hardcoded\u2019 sono spesso distribuite e implementate con applicazioni e dispositivi IoT e sono facili da decifrare utilizzando strumenti di scansione e attacchi di tipo tradizionale. Gli ambienti DevOps<\/a> amplificano ulteriormente la gestione dei codici digitali poich\u00e9 i team utilizzano decine di architetture, configurazioni e altri strumenti come Ansible o Docker, affidandosi all’automazione e ad altri script che richiedono dati riservati per poter funzionare.<\/p>\n

La necessit\u00e0 di soluzioni e best practices <\/strong><\/h2>\n

I principi di un processo di Secrets Management efficace ed efficiente sono i seguenti:<\/p>\n