La gestione dell'identità delle macchine (MIM) consiste nel rilascio, ruotare e revocare le credenziali che le macchine, come server, endpoint, dispositivi di rete, macchine virtuali e dispositivi IoT, utilizzano per l'autenticazione e la comunicazione sicura.
Analogamente agli esseri umani, le macchine devono presentare credenziali per accedere a sistemi e dati. Ma mentre gli esseri umani si affidano a nomi utente, password e autenticazione a più fattori (MFA), le macchine si affidano alle credenziali del dispositivo come chiavi e certificati.
Queste credenziali consentono alle macchine di dimostrare la propria identità. I moduli comuni includono certificati TLS per connessioni di rete sicure, chiavi SSH per l'accesso remoto e certificati di dispositivo rilasciati da infrastruttura di chiave pubblica (PKI) per l'autenticazione dei dispositivi.
Con la crescita della comunicazione machine-to-machine, la sicurezza delle identità delle macchine contro le minacce informatiche è diventata una sfida importante. Secondo l'IBM X-Force Threat Intelligence Index, gli attacchi basati sull'identità, dove i criminali informatici abusano delle credenziali valide degli account per accedere alle reti, rappresentano il 32% delle violazioni dei dati.
Le infrastrutture moderne possono anche rendere più difficile la gestione delle identità delle macchine. Gli ambienti IT si espandono rapidamente, configurano e disattivano frequentemente i dispositivi e necessitano di rinnovare costantemente le credenziali.
La MIM aiuta a mettere ordine in questa complessità e a migliorare la cybersecurity. Permette ai team di sicurezza di scoprire dove si trovano le credenziali dei dispositivi, automatizzare la rotazione e la revoca, applicare le politiche di sicurezza e monitorare eventuali scadenze o abusi.
Con la MIM, le organizzazioni possono supportare l'architettura zero trust e ridurre accessi non autorizzati, violazioni di dati e interruzioni dovute a certificati scaduti. Possono anche limitare la potenziale esposizione di chiavi trapelate e raccogliere le tracce di audit necessarie per la conformità normativa.
Nella sicurezza delle identità, le identità non umane (NHI) sono identità digitali assegnate a "utenti" non umani, come App Service, servizi, workload, contenitori, API, bot, agenti AI e dispositivi.
Un'identità macchina è un sottoinsieme di NHI specificamente associato a un dispositivo, come un server, una macchina virtuale, un endpoint, un dispositivo di rete o un dispositivo IoT.
Il termine identità delle macchine viene talvolta utilizzato come termine generico per qualsiasi NHI, sebbene tale utilizzo sia tecnicamente scorretto. La gestione delle identità delle macchine si concentra specificamente sulla gestione delle identità delle macchine e delle loro credenziali.
Detto questo, le macchine interagiscono spesso con software e servizi che si autenticano utilizzando account di servizio e credenziali come le chiavi API. I programmi MIM vengono spesso implementati insieme a più ampi sforzi di gestione e governance delle identità non umane.
L'ascesa degli agenti AI sta anche offuscando ulteriormente il divario tra identità non umane e identità di macchine. Gli agenti AI spesso eseguono il lavoro tramite workload e identità di servizio e possono persino delegare compiti tra i sistemi. Ciò significa che spesso operano all'intersezione tra identità non umane e identità di macchina.
Unisciti ai leader della sicurezza che si affidano alla newsletter Think per ricevere notizie selezionate su AI, cybersecurity, dati e automazione. Impara velocemente da tutorial e articoli informativi consegnati direttamente nella tua casella di posta. Leggi l'Informativa sulla privacy IBM.
Le stime variano, da 45:1 a 92:1, ma nella maggior parte degli ambienti IT, le identità non umane superano significativamente gli umani.
E gli ambienti IT continuano a evolversi, guidati dall'adozione dell'infrastruttura cloud e del software come servizio (SaaS), dall'ascesa dei sistemi distribuiti e dei microservizi e dalla crescita dei dispositivi connessi. Ad ogni aggiornamento, aumenta il numero di macchine e la varietà delle credenziali.
Oltre ad essere numerose, le credenziali delle macchine sono interessanti per i criminali informatici. A differenza degli utenti umani, le macchine spesso funzionano in modo continuo, si autenticano automaticamente e non possono fare affidamento su controlli interattivi, come i prompt MFA. Spesso sono anche implicitamente affidabili nelle reti e nei workflow, il che può aumentare l'impatto quando le credenziali vengono compromesse.
Alcuni dei rischi per la sicurezza più comuni associati alle identità delle macchine includono:
Il numero elevato di identità delle macchine in un sistema e la velocità con cui vengono forniti nuovi dispositivi e istanze possono rendere difficile la visibilità, creando lacune che i criminali informatici possono sfruttare.
Molte organizzazioni trascurano anche di disattivare formalmente le identità delle macchine quando dismettono i server, ritirano le immagini delle macchine virtuali o rimuovono i dispositivi dal servizio. Queste vecchie identità spesso non sono monitorate e le loro autorizzazioni sono intatte.
Poiché sono parte integrante dei workflow fondamentali, le identità delle macchine spesso ottengono accesso privilegiato a dati sensibili. Nell'interesse di garantire che questi processi "funzionino", le organizzazioni spesso concedono alle credenziali dei dispositivi permessi più ampi del necessario.
Le macchine potrebbero non avere password, ma usano token OAuth, certificati e altri segreti per autorizzarsi e autenticarsi. Questi segreti possono essere rubati e usati in modo improprio come le password degli utenti umani, permettendo accessi non autorizzati, movimenti laterali e aumento dei privilegi.
I dispositivi e i sistemi di gestione dei dispositivi spesso si collegano a piattaforme di terze parti (ad esempio, fornitori di gestione flotte IoT o di monitoraggio dei dispositivi). Ma se le credenziali di queste piattaforme di terze parti vengono compromesse, gli aggressori possono muoversi lateralmente tra gli ambienti.
Quando i server vengono dismessi, le immagini delle macchine virtuali vengono ritirate o i dispositivi vengono rimossi dal servizio, le vecchie credenziali possono persistere. Senza la revoca e lo smantellamento sistematici, queste credenziali di dispositivi orfani possono diventare rischi per la sicurezza.
Le organizzazioni di solito gestiscono diversi tipi di credenziali di identità delle macchine, ognuna con caratteristiche e requisiti di sicurezza distinti.
La gestione delle identità delle macchine automatizza e mette in funzione il ciclo di vita dell'identità della macchina, gestendo le credenziali dall'emissione alla deprovisioning.
Le fasi principali del ciclo di vita della gestione delle identità delle macchine includono:
La scoperta consiste nella scansione di reti, ambienti cloud, archivi certificati e configurazioni di applicazioni per identificare tutte le credenziali dei dispositivi in uso, incluse quelle al di fuori dei sistemi IT formali.
I team di sicurezza possono spesso trovare credenziali di cui non conoscevano nemmeno l'esistenza, come chiavi SSH su server dimenticati o certificati di dispositivi incorporati in sistemi legacy.
Quando viene stabilita o identificata una nuova identità di macchina, la MIM consiste nel rilasciare nuove credenziali a quell'identità. Un programma MIM formale consente alle organizzazioni di creare credenziali tramite processi controllati e verificabili, anziché tramite una gestione manuale ad hoc.
Quando si fornisce le credenziali giuste alle macchine giuste, le organizzazioni spesso cercano di seguire il principio del privilegio minimo, concedendo a ogni macchina solo il livello esatto di accesso necessario per svolgere le sue funzioni.
Ad esempio, una macchina virtuale creata nel cloud può avere un'identità specifica all'interno di un sistema di gestione delle identità e degli accessi (IAM). La MIM può quindi aiutare a garantire che la macchina virtuale riceva automaticamente le credenziali di breve durata di cui ha bisogno. Queste credenziali gli permettono di accedere solo alle specifiche risorse cloud che deve utilizzare, come un singolo bucket di storage o un vault di segreti, senza memorizzare le chiavi di accesso a lungo termine sulla macchina.
Rotazione significa sostituire le credenziali periodicamente o dopo un'esposizione sospetta. Consiste nell'emissione di nuovi certificati o chiavi e nel ritiro di quelli vecchi.
Le credenziali hanno una durata di vita limitata in base alla progettazione. Ad esempio, i certificati TLS in genere scadono dopo 90 giorni o un anno. Questa durata di vita limitata serve a due scopi.
Innanzitutto, riduce la finestra di opportunità per gli aggressori. Se le credenziali vengono rubate, diventano inutilizzabili quando vengono sostituite.
In secondo luogo, la rotazione regolare aiuta a prevenire le interruzioni causate da certificati scaduti, che possono cogliere di sorpresa i team IT.
L'automazione rende gestibili la rotazione e il rinnovo su larga scala eliminando la necessità di un tracciamento manuale. Invece di fogli di calcolo e promemoria sul calendario, le piattaforme di gestione dell'identità delle macchine possono monitorare le date di scadenza tramite un inventario delle credenziali e attivare automaticamente il rinnovo dei certificati e la rotazione delle chiavi.
Quando necessario, ad esempio quando un certificato viene compromesso o un dispositivo viene dismesso, la MIM può revocare immediatamente i certificati. La revoca comporta in genere l'aggiunta del certificato a un elenco di revoca dei certificati o l'utilizzo di risponditori OCSP (Online Certificate Status Protocol), ossia server che rispondono in tempo reale alle domande per sapere se un certificato è ancora valido.
Il deprovisioning comporta anche la rimozione regolare delle credenziali quando dispositivi e componenti infrastrutturali vengono ritirati. Per le risorse effimere che esistono per secondi o minuti, la MIM aiuta a garantire che il deprovisioning avvenga automaticamente quando le risorse vengono distrutte.
Diverse tecnologie e pratiche costituiscono la base della MIM. Tra i più significativi:
L'infrastruttura a chiave pubblica è un framework completo per assegnare, identificare e verificare le identità degli utenti tramite certificati digitali. È il principale framework che molte organizzazioni utilizzano per emettere, gestire e revocare i certificati digitali.
Un'autorità certificatrice (CA) rilascia certificati dopo aver validato l'identità dell'entità richiedente, come un server, un dispositivo o un'organizzazione. I certificati contengono informazioni preziose, come la chiave pubblica dell'entità richiedente e la firma digitale della CA, che aiutano a dimostrare l'identità dell'entità.
Ad esempio, quando un server web necessita di un certificato TLS, invia una richiesta (spesso sotto forma di richiesta di firma del certificato o CSR) a una CA. La CA convalida la richiesta e rilascia il certificato. Il server può quindi utilizzare il certificato per stabilire connessioni HTTPS.
In alcune implementazioni PKI, un'autorità di registrazione (RA) può anche approvare le richieste di certificato prima che la CA rilasci il certificato. Le RA possono rafforzare la sicurezza aggiungendo una fase di approvazione e applicando la separazione dei compiti.
Gli strumenti CLM automatizzano la scoperta, il tracciamento, il rinnovo e la revoca dei certificati. Offrono visibilità centralizzata su ambienti ibridi che spaziano tra sistemi cloud e on-premises. Gli strumenti CLM possono avvisare gli amministratori delle prossime scadenze e attivare workflow automatizzati per rinnovare, ruotare e revocare le credenziali.
Ad esempio, uno strumento CLM potrebbe scoprire 500 certificati nel cloud e negli ambienti on-premises di un'organizzazione, segnalare 30 in scadenza entro 30 giorni e rinnovarli automaticamente, prevenendo interruzioni senza intervento manuale.
Le soluzioni di gestione dei segreti possono memorizzare e ruotare in modo sicuro le credenziali utilizzate dai workflow di automazione dell'infrastruttura e gestione dei dispositivi (ad esempio, chiavi SSH e altri segreti privilegiati). Gli strumenti di gestione dei segreti permettono ai team di conservare i segreti del dispositivo in un vault protetto invece che in un repository di codice o in un altro luogo non sicuro.
Gli strumenti di gestione dei segreti possono spesso integrarsi con i workflow DevOps per aiutare a fornire credenziali su richiesta, far rispettare le politiche di accesso e mantenere i log di audit.
Gli strumenti di gestione degli accessi privilegiati (PAM) aiutano a gestire le credenziali altamente privilegiate. Spesso offrono caratteristiche come il monitoraggio delle sessioni e il provisioning just-in-time, concedendo l'accesso solo quando necessario e revocandolo automaticamente successivamente.
Ad esempio, invece di concedere a un ingegnere accesso root permanente ai server di produzione, PAM può fornire credenziali SSH temporanee che scadono dopo una finestra di manutenzione, riducendo il privilegio permanente.
Gli HSM sono dispositivi hardware resistenti alla manomissione per memorizzare chiavi private. Proteggono il materiale crittografico dall'estrazione, anche se gli aggressori accedono al server. Gli HSM sono spesso utili per i servizi finanziari e la conformità normativa.
Ad esempio, una banca potrebbe memorizzare le chiavi private dei suoi certificati di elaborazione dei pagamenti in un HSM, il che aiuta a garantire che le chiavi non possano essere estratte anche se i criminali informatici violano il server delle applicazioni.
MIM e IAM (gestione delle identità e degli accessi) fanno entrambi parte della sicurezza delle identità, che si concentra sulla protezione delle identità digitali e dei sistemi che le gestiscono.
La differenza principale è in ciò che proteggono. L'IAM si concentra principalmente sugli utenti umani, mentre MIM si concentra sulle macchine.
I sistemi IAM utilizzano spesso flussi interattivi (immissione di password, prompt MFA, biometria) che presuppongono la presenza di una persona, mentre il MIM deve utilizzare lo scambio automatizzato di credenziali senza intervento umano.
I moderni programmi di sicurezza dell'identità generalmente richiedono sia IAM che MIM, e la maggior parte dei framework di governance e amministrazione dell'identità (IGA) tratta le identità delle macchine insieme agli esseri umani. Le macchine hanno esigenze di governance simili a quelle degli utenti umani. In entrambi i casi, le organizzazioni devono tenere traccia di ciò che esiste, a cosa può accedere e se tale accesso rimane appropriato nel tempo.
La MIM può aiutare le organizzazioni a rafforzare la sicurezza, a mantenere i tempi di attività e a semplificare la conformità.
La MIM offre una visione unificata delle credenziali dei dispositivi nell'intero ecosistema aziendale.
Questa funzionalità può rendere più facile per i team di sicurezza identificare le vulnerabilità (credenziali orfane, permessi eccessivi, certificati prossimi alla scadenza) e correggerle prima che gli hacker possano attaccare.
L'applicazione automatizzata delle politiche può anche aiutare i team IT ad applicare gli standard di sicurezza in modo coerente, riducendo il rischio di configurazioni errate sfruttabili.
I certificati scaduti sono una causa comune di tempi di inattività imprevisti. Senza un certificato valido, una macchina non può autenticarsi o stabilire una connessione criptata, il che può causare l'interruzione o il guasto dei servizi. La gestione automatizzata dei certificati può aiutare a prevenire queste interruzioni rinnovando le credenziali prima della loro scadenza.
MIM può aiutare le organizzazioni a mantenere la conformità a normative come il Regolamento generale sulla protezione dei dati (GDPR), il Payment Card Industry Data Security Standard (PCI-DSS), l'Health Insurance Portability and Accountability Act (HIPAA) e il Sarbanes-Oxley Act (SOX). MIM documenta le credenziali, la storia delle rotazioni e l'accesso a sistemi sensibili, facilitando la fornitura di audit trail e semplificando le recensioni di conformità.
MIM può facilitare la scalabilità dell'infrastruttura IT, consentendo una rapida crescita dei workload cloud, dei container e dei dispositivi connessi, senza un aumento proporzionale della gestione. Lo fa automatizzando l'emissione, la rotazione e la revoca delle credenziali, rendendo più facile per i team IT mantenere sicure le identità mentre gli ambienti crescono.
La scalabilità fluida diventa sempre più importante man mano che le organizzazioni ampliano i loro ecosistemi di microservizi, dispositivi IoT e agenti AI, ognuno dei quali aggiunge nuove identità e credenziali di macchina che devono essere gestite durante tutto il ciclo di vita.
Zero Trust richiede una validazione continua di ogni connessione, umana o macchina. MIM può rendere pratica la convalida continua scoprendo e catalogando le identità delle macchine, un primo passo necessario perché le organizzazioni non possono convalidare credenziali che non hanno identificato. Può anche supportare il privilegio minimo, automatizzando i controlli di accesso e applicandoli in modo coerente in tutti gli ambienti.
Nonostante i suoi numerosi benefici, le organizzazioni possono affrontare sfide nell'implementazione e nella gestione della MIM.
Le credenziali delle macchine sono raramente gestite attraverso un unico sistema o soluzione di sicurezza. I team di sicurezza potrebbero utilizzare uno strumento per i certificati PKI e un altro per la gestione dei segreti, mentre i team operativi mantengono interamente le proprie credenziali. Questa frammentazione degli strumenti può creare significative lacune in termini di visibilità e incoerenze nelle politiche.
Gli utenti umani generalmente hanno manager che periodicamente approvano le richieste di accesso e recensioni i permessi. Le identità delle macchine possono non essere soggette alla stessa supervisione. Ad esempio, quando l'ingegnere che ha fornito le credenziali cambia ruolo o lascia l'organizzazione, la responsabilità può scomparire con lui. Senza una proprietà esplicita, le credenziali possono rimanere non esaminate per anni.
La MIM si basa sull'automazione. Ma una rotazione completamente automatizzata può compromettere applicazioni e sistemi che si aspettano credenziali statiche, come chiavi incorporate nelle configurazioni, causando interruzioni quando un sistema improvvisamente non riesce più ad autenticarsi. Le organizzazioni devono trovare un equilibrio tra un livello di automazione sufficiente a raggiungere le proprie priorità e un livello di supervisione adeguato per individuare gli errori prima che raggiungano la produzione.