3 consigli per la sicurezza in Active Directory

Le active directory sono uno strumento molto importante per creare delle piattaforme online di grande importanza. Naturalmente vi sono una serie di accortezze che devono essere prese in considerazione per fare in modo che non vi siano dei problemi durante lo svolgimento delle sue funzioni. In primo luogo è necessario avere un backup sempre a disposizione in modo da poter risolvere qualsiasi problema dovesse presentarsi. Oltre a questo è necessario prendere in considerazione la sicurezza informatica alla quale non si può e non si deve rinunciare.

Mettere al sicuro le active directory, quindi il server, è diventato un aspetto cruciale della gestione consapevole della propria infrastruttura informatica. Non si può in effetti prendere sottogamba questo problema perché gli attacchi ad infrastrutture telematiche non accennano a diminuire anzi sembrano aumentare in modo esponenziale creando seri problemi ad ampi aspetti economici e della burocrazia.

La complessità di questo strumento informatico porta comunque ad un’analisi abbastanza completa del sistema che si andrà a proteggere perché solo se si conosce il sistema è possibile proteggere completamente il sistema. Attenzione però perché chi ha studiato le altre puntate di questo corso potrà trovare la prima parte abbastanza ripetitiva ma è sempre bene ripetere la struttura delle active directory in modo da poter comprendere il sistema molto bene tenendo presente che non si può prescindere da Google Ads.

Su cosa si basa la sicurezza informatica per le active directory?

Come accennato in precedenza le active directory sono estremamente complesse quindi è necessario procedere in base a tutti gli elementi che compongono lo strumento informatico. Si ha quindi a che fare con una serie di elementi che devono essere presi in considerazione quando si parla di difendere la propria infrastruttura informatica con tutti i dati connessi alla piattaforma. Vi sono quindi delle strategie che possono essere adoperate per migliorare il sistema difensivo della propria struttura informatica:

• Struttura di sicurezza basata su domini e unità organizzative : i domini sono molto importanti per le active directory non solo per la sua importante struttura dati ma anche perché permette di offrire una base importante per la sicurezza informatica. Anche le Unità Organizzative sono molto importanti perché hanno lo scopo di organizzare tutti gli elementi che compongono la directory quindi si parla di organizzazione e di gestione degli utenti sia per gli account sia nell’applicazione delle politiche di gruppo, vengono chiamate Group Policies;
• Autenticazione e Autorizzazione: come per ogni piattaforma informatica i problemi dell’autorizzazione e dell’autenticazione sono dirimenti visto che sono degli elementi che garantiscono un certo livello di sicurezza. Per avere fraintendimenti, è necessario pensare al fatto che quando si parla di sicurezza informatica non esiste una contromisura definitiva ma è necessaria una continua attenzione in modo da non rischiare di avere dei problemi molto seri. Sicuramente il combinato di autenticazione ed autorizzazione è il modo migliore per ottenere un accesso più sicuro. Nello specifico la classica combinazione nome utente/password, i certificati, le smart card ma anche il riconoscimento biometrico sono tutti strumenti creati appositamente per migliorare la sicurezza dell’infrastruttura;
• Gruppi di sicurezza: mediante i gruppi è più semplice gestire le autorizzazioni;
• Controllo degli accessi e della sicurezza: questo strumento di active directory risulta essere molto utile per gestire i diritti degli utenti ed allo stesso tempo di amministrare i privilegi in base ai ruoli definiti;
• Controllo ed audit: uno degli aspetti principali di active directory è quello di offrire un potente strumento di audit che permette agli amministratori permettendo loro di controllare le operazioni degli utenti in modo tale da poter ravvisare da subito un comportamento non corretto. Evidentemente questo aspetto è molto importante non solo per i possibili attacchi ma anche di errori in buona fede che possano mettere a serio rischio l’infrastruttura;
• Protezione dagli attacchi informatici: anche se certamente non sufficienti per garantire un livello sufficiente di protezione dagli attacchi informatici. Cionondimeno le active directory posseggono vari livelli di protezione dagli attacchi DoS, denial-of-service, da ransomware, phishing ed altre vulnerabilità;
• Aggiornamenti periodici del sistema: come per ogni piattaforma anche active directory offre una serie di aggiornamenti e patch per rendere più stabile il sistema e soprattutto per fare in modo che vengano eliminate la maggior parte delle vulnerabilità che possono essere un serio problema per la sicurezza informatica.

La sicurezza informatica basata sui domini e sull’unità organizzative

Le active directory hanno una struttura molto elaborata in modo da poter garantire una maggiore sicurezza informatica ed una maggiore facilità d’uso. Se si parla di sicurezza di base è necessario parlare sia dei domini sia per le unità organizzative poiché entrambe collaborano per il mantenimento di un buon livello di sicurezza.

Protezione a livello di dominio delle active directory

Come ormai sappiamo bene, il cuore delle active directory sono i domini dei quali è stato parlato ampiamente in precedenza sono estremamente importanti non solo per il funzionamento della piattaforma ma anche per ottenere un maggiore livello di sicurezza:

• controllo facilitato per l’amministrazione: i domini sono molto importanti per il controllo degli utenti e delle risorse perché ognuno di essi riesce a raggruppare non solo gli utenti ma anche le risorse;
• l’uso delle gerarchie per il controllo dei domini: mediante l’uso delle gerarchie si arriva alla situazione di poter raggruppare altri domini e risorse in modo da tenere sotto controllo i vari aspetti del funzionamento della piattaforma;
• gli account di dominio: sono molto importanti in ottica della filosofia autenticazione e autorizzazione. Tutti i dati vengono infatti conservati nei domini e possono quindi essere conservati in modo sicuro all’interno delle active directory;
• trust tra i domini: mediante i trust i domini possono “dialogare” tra loro senza dover creare un account per ognuna connessione. Ciò significa che ci sono vantaggi sia in termini di sicurezza informatica sia per la facilità d’uso.

Protezione a livello di unità organizzative

Le unità organizzative rappresentano un livello superiore rispetto al dominio anzi si può affermare che queste non sono altro che contenitori dove sono presenti non solo i domini quindi anche gli oggetti e gli utenti. Una caratteristica essenziale di questo paradigma è la possibilità per gli amministratori di tenere maggiormente sotto controllo tutti gli aspetti del funzionamento del server. È quindi necessario poter mantenere una certa organizzazione alla Le unità organizzative in active directory posseggono varie caratteristiche:

• la struttura gerarchica: la struttura gerarchica della UO è importante perché permette agli amministratori di avere una visione chiara dell’allocazione delle varie risorse in base ai dipartimenti dell’organizzazione;
• il grande valore strategico delle politiche di gruppo: le politiche di gruppo sono molto importanti per assicurare un certo livello di sicurezza alla struttura della piattaforma. Ciò è possibile perché active directory permette di configurare in modo semplice e veloce tutti gli aspetti della sicurezza come le configurazioni, le restrizioni e le impostazioni di sistema;
• la delega dell’amministrazione: le unità organizzative delle active directory permettono di delegare l’amministrazione a vari amministratori. Ciò permette di sgravare l’amministratore di una parte delle responsabilità in modo da creare una vera e propria squadra di amministratori;
• la suddivisione logica e la semplificazione della gestione: organizzando in modo opportuno gli oggetti presenti nella unità organizzativa è possibile semplificare la gestione della piattaforma lasciando gli amministratori a concentrarsi su specifici aspetti della piattaforma che possono essere magari più rischiosi e suscettibili ad attacchi informatici.

Il sistema di autenticazione e autorizzazione nelle active directory

Le active direcoty come tutte le piattaforme online offrono un sistema di autenticazione ed autorizzazione per l’accesso al servizio. Active directory non è immune da questa regola perché rappresenta il modo migliore per proteggere il sistema da possibili attacchi informatici. La cosa principale per ottenere un buon risultato è che l’autenticazione e l’autorizzazione agiscano in concerto in modo da poter ottenere un ottimo risultato in termini si sicurezza informatica. Le caratteristiche dell’autenticazione si dividono in:

• metodi di autenticazione;
• processi di autenticazione.

I metodi di autenticazione in active directory mette a disposizione tutte le tecniche per migliorare la sicurezza della piattaforma:

• username e password: questa è la tecnica più tradizionale di autenticazione per mettere la sicuro i propri dati e tutta la piattaforma anche se non sempre è una misura sufficiente;
• certificati digitali: si tratta di una misura più complessa e sicura rispetto alla precedente per si basa, per autenticare dispositivi ed oggetti, sull’uso di crittografia a chiave pubblica;
• smart card: è un dispositivo che usa per l’accesso dei dati crittografati;
• metodo biometrico: è probabilmente il metodo più sicuro tra tutti questi perché usa come accesso una parte del corpo umano che per loro natura sono unici. Si può per esempio usare il riconoscimento dell’iride oppure delle impronte digitali.

Come funziona l’autenticazione in active directory

Quando viene effettuata una richiesta di risorse in active directory il sistema cerca di appurare che l’utente sia davvero autorizzato ad accedere. Per fare ciò viene effettuata una ricerca al fine di trovare i dati di eccesso ed accertarsi che non vi siano degli accessi non autorizzati.

Il processo di autorizzazione di active directory

Come accennato in precedenza il processo di autenticazione e quello di autorizzazione devono lavorare insieme in modo tale che non vi siano dei problemi nel processo di accesso ai dati. Se infatti l’autorizzazione si basa sulle richiesta di collaborazione l’autorizzazione deve convalidare i dati inseriti e procedere con l’assegnazione dei privilegi. È quindi importante conoscere le varie caratteristiche dell’autorizzazione:

• la definizione della autorizzazione: una volta che l’autenticazione è andata a buon fine è l’autorizzazione che deve allocare le risorse e garantire l’accesso alle operazione per quel determinato utente;
• i controlli di accesso e dei permessi: una tra le cose più interessanti delle active directory è l’uso delle liste di controllo e di accessi, ACL, in modo da poter determinare non solo le risorse ma anche quali azioni possono essere eseguite sulle risorse assegnate. Queste liste sono applicate a tutti gli oggetti delle active directory come, per esempio, i gruppi, i file, le cartelle e le stampanti;
• i gruppi di sicurezza e di autorizzazione: l’assegnazione di utenti ai vari gruppi di sicurezza tende a semplificare la gestione alle autorizzazioni. Tutti i permessi infatti vengono assegnati ai vari gruppi e gli utenti che fanno parte di questi gruppi tendono ad ereditare tutte le autorizzazioni;
• le politiche di gruppo, group policies, e le autorizzazioni: in sostanza la principale caratteristica delle politiche di gruppo è quella di applicare le varie configurazioni di sicurezza, le restrizioni e le configurazioni di sistema non solo agli utenti ma anche ai computer nonché a gruppi specifici all’interno delle active directory.

Interazione tra Autenticazione ed Autorizzazione: un aspetto necessario per ottenere una maggiore sicurezza

Come accennato in precedenza, le active directory rappresentano una buona occasione per ottenere un buon livello di sicurezza riuscendo a verificare da una parte la verifica dell’identità di un utente oppure un dispositivo mentre dall’altra parte l’autorizzazione va a determinare quali sono le risorse a cui ogni utente ed ogni dispositivo possono accedere e quali sono le operazioni possono eseguire. Quindi per concludere si può affermare che l’autenticazione fa in modo da appurare che l’utente sia davvero chi dice di essere mentre l’autorizzazione si occupa di stabilire quali sono le operazioni che l’utente o il dispositivo può fare in base ai permessi che gli sono stati accordati. Naturalmente è chiaro che entrambi questi elementi sono molto importanti per assicurare un buon livello di sicurezza.

Le politiche di gruppo nella sicurezza delle active directory sono uno strumento cruciale poiché consente agli amministratori di rete per la gestione delle impostazioni di sicurezza e per configurazioni degli utenti e dei computer di un dominio Windows. Le suddette politiche sono in grado di offrire un modo per applicare le regole specifiche ed i criteri della sicurezza che vengono applicati in tutta la rete. Vi sono una serie di caratteristiche che rendono le group policies molto importanti:

• gestione delle impostazioni di sicurezza: le politiche di gruppo permettono agli amministratori di creare ed applicare le configurazioni di sicurezza come password, crittografia, blocco account, firewall e molto altro ancora;
• il controllo delle autorizzazioni e dei diritti: uno degli scopi delle GP è quello di mantenere la coerenza e standardizzare la sicurezza nella piattaforma;
• Controllo dei diritti e delle autorizzazioni: permettono di assegnare e controllare tutte le autorizzazioni degli utenti e delle autorizzazioni.