Che cos'è la gestione dei segreti?

17 dicembre 2024

Autori

James Holdsworth

Content Writer

Matthew Kosinski

Enterprise Technology Writer

Che cos'è la gestione dei segreti?

La gestione dei segreti è la protezione delle credenziali, come certificati, chiavi, password e token, per utenti non umani, come app, server e workload.

Le organizzazioni di oggi automatizzano molti processi aziendali e flussi di lavoro chiave utilizzando strumenti come Robotic Process Automation (RPA) e, più di recente, agenti e assistenti AI. Proprio come gli utenti umani, queste entità non umane hanno bisogno di credenziali, spesso chiamate "segreti", per accedere alle risorse organizzative.

Gli utenti non umani spesso richiedono privilegi elevati per completare le loro attività. Un processo di backup automatico, ad esempio, potrebbe avere accesso a file riservati e impostazioni di sistema.

Questi account privilegiati non umani sono bersagli di alto valore per gli hacker, che possono abusare dei loro diritti di accesso per rubare dati e danneggiare sistemi critici eludendo il rilevamento. In effetti, l'hijacking di account validi è oggi il vettore di attacco informatico più comune, secondo l'IBM X-Force Threat Intelligence Index. Questi attacchi rappresentano il 30% di tutti gli incidenti a cui X-Force ha risposto di recente.

I sistemi e i processi di gestione dei segreti consentono alle organizzazioni di creare, controllare e proteggere i segreti utilizzati dalle entità non umane per accedere alle risorse IT. Utilizzando strumenti di gestione dei segreti per gestire e proteggere le credenziali non umane durante l'intero ciclo di vita end-to-end, le organizzazioni possono semplificare i workflow automatizzati prevenendo violazioni dei dati, manomissioni, furti e altri accessi non autorizzati.

Che cos'è un segreto?

Un segreto è una credenziale digitale contenuta in un'applicazione o in un servizio, e consente agli utenti non umani di comunicare ed eseguire azioni su un servizio, database, applicazione o altra risorsa IT. I segreti aiutano le organizzazioni a rafforzare il loro livello di sicurezza garantendo che solo gli utenti autorizzati abbiano accesso a dati e sistemi sensibili.

Alcuni esempi di segreti includono:

  • Credenziali degli account di servizio: gli account di servizio consentono alle app e ai workflow automatizzati di interagire con i sistemi operativi. Le credenziali degli account di servizio possono includere password, token di sicurezza, ticket Kerberos e altri segreti.

  • Chiavi API: le chiavi API consentono agli utenti, alle app e ai servizi di verificare se stessi utilizzando le interfaccia di programmazione delle applicazioni (API).

  • Chiavi crittografiche: le chiavi crittografiche consentono agli utenti di crittografare e decriptare i dati.

  • Token di autenticazione e autorizzazione: i token, come quelli utilizzati nel protocollo OAuth, sono informazioni in grado di verificare l'identità di un utente e di determinare le risorse specifiche a cui può accedere.

  • Chiavi SSH (Secure Shell): le chiavi SSH vengono utilizzate dai server SSH per identificare un utente o un dispositivo attraverso la crittografia a chiave pubblica.

  • Certificati SSL/TLS: un certificato digitale che può essere utilizzato per stabilire comunicazioni private tra un server e un client utilizzando il protocollo SSL (Secure Sockets Layer/Transport Layer Security).

  • Segreti arbitrari: dati sensibili, inclusi qualsiasi tipo di dati strutturati e non che possono essere utilizzati per accedere a un'applicazione o a una risorsa.

  • Altre chiavi private: possono includere certificati PKI (Public Key Infrastructure), chiavi HMAC (Hash-based Message Authentication Code) e chiavi di firma.
Uomo che guarda il computer

Rafforza la tua intelligence sulla sicurezza 


Rimani al passo con le minacce con notizie e insight su sicurezza, AI e altro ancora, ogni settimana con la newsletter Think. 


Perché la gestione dei segreti è importante

Gli strumenti di gestione dei segreti di livello enterprise aiutano le organizzazioni a rilevare, prevenire e porre rimedio agli accessi non autorizzati e all'uso improprio di dati e sistemi sensibili, come le informazioni di identificazione personale (PII). Le organizzazioni possono ridurre il rischio di violazioni e furto dei dati, evitando la perdita di dati preziosi, potenziali multe e danni alla reputazione.

La gestione dei segreti è uno dei pilastri della gestione degli accessi privilegiati (PAM), il sottoinsieme della gestione delle identità e degli accessi (IAM) che si concentra sulla protezione degli account e degli utenti privilegiati.

Gli altri 3 pilastri PAM includono:

  • Gestione degli account e delle sessioni privilegiate (PASM), che si occupa della gestione del ciclo di vita degli account, della gestione delle password e del monitoraggio delle sessioni.

  • Gestione dell'elevazione e della delega dei privilegi (PEDM), che prevede la valutazione, l'approvazione e il rifiuto automatici delle richieste di accesso privilegiato. 

  • Cloud Infrastructure Entitlement Management (CIEM), che supervisiona la gestione delle identità e degli accessi (IAM) negli ambienti di cloud computing.

La gestione dei segreti è importante per la metodologia DevOps, che enfatizza la distribuzione automatica e continua del software.

I team DevOps utilizzano spesso più strumenti di configurazione o orchestrazione per gestire interi ecosistemi digitali, workflow ed endpoint. Spesso gli strumenti utilizzano automazione e script che richiedono l'accesso a informazioni segrete per essere avviati. Senza un servizio di gestione delle chiavi segrete di livello aziendale, l'uso casuale delle chiavi segrete potrebbe aumentare la vulnerabilità del sistema.

Molte organizzazioni integrano le funzioni di gestione dei segreti nella pipeline di integrazione continua e distribuzione continua, o pipeline CI/CD. Questo aiuta a garantire che tutte le parti mobili, come sviluppatori, strumenti e processi automatizzati, abbiano un accesso sicuro ai sistemi sensibili di cui hanno bisogno, quando ne hanno bisogno.

La gestione dei segreti è considerata una componente fondamentale di DevSecOps, un'evoluzione della metodologia DevOps che integra e automatizza continuamente la sicurezza durante tutto il ciclo di vita DevOps.

Mixture of Experts | Podcast

Decoding AI: Weekly News Roundup

Unisciti al nostro gruppo di livello mondiale di ingegneri, ricercatori, leader di prodotto e molti altri mentre si fanno strada nell'enorme quantità di informazioni sull'AI per darti le ultime notizie e gli ultimi insight sull'argomento.

Come funziona la gestione dei segreti

Il processo di gestione dei segreti si basa in genere su strumenti appositi che possono essere distribuiti on-premise o come servizi forniti sul cloud, e aiutano a centralizzare, automatizzare e semplificare la creazione, l'uso, la rotazione e la protezione dei segreti.

Alcune funzionalità comuni degli strumenti di gestione dei segreti includono:

  • Gestione centralizzata e standardizzata dei segreti
  • Creazione dinamica e rotazione automatica dei segreti
  • Controllo degli accessi
  • Monitoraggio e verifica delle attività

Gestione centralizzata e standardizzata dei segreti

Con un servizio di gestione dei segreti di livello aziendale, le organizzazioni possono gestire diversi tipi di segreti in un unico pannello di controllo.

Invece di lasciare che i singoli utenti gestiscano i segreti in piccoli silos, le soluzioni di gestione dei segreti possono memorizzare i segreti in una posizione centrale e sicura chiamata "cassaforte dei segreti".

Quando un utente autorizzato ha bisogno di accedere a un sistema sensibile, può ottenere il segreto corrispondente dalla cassaforte. Lo strumento di gestione dei segreti può verificare, autorizzare e concedere automaticamente agli utenti le autorizzazioni necessarie per eseguire i loro workflow.

La standardizzazione aiuta a prevenire la dispersione dei segreti, che si verifica quando i segreti vengono memorizzati in vari punti dell'organizzazione, spesso codificati in applicazioni o come testo semplice in documenti condivisi. La dispersione dei segreti rende difficile proteggerli dai malintenzionati e tenere traccia del modo in cui vengono utilizzati.  

Creazione dinamica e rotazione automatica dei segreti

I segreti creati in un secrets manager possono essere statici o dinamici. Un segreto statico è un segreto che rimane valido per un lungo periodo di tempo, in genere fino a quando non viene modificato manualmente o raggiunge una data di scadenza predeterminata.

Un segreto dinamico viene invece creato dal secrets manager su richiesta, nel momento in cui serve. I segreti dinamici scadono abbastanza rapidamente o possono essere monouso.

Un caso d'uso per un segreto dinamico può essere proteggere una risorsa riservata generando dinamicamente chiavi API ogni volta che viene letta o che viene effettuato l'accesso. In questo modo si garantisce che gli aggressori non possano rubare e riutilizzare le chiavi API.

Molti secrets manager possono anche automatizzare la rotazione dei segreti, ossia l'atto di cambiare regolarmente i segreti. La rotazione può essere automatizzata su base programmatica o su richiesta, senza la necessità di riallocare o interrompere le applicazioni. Il time-to-live (TTL) o la durata del leasing possono essere definiti per un segreto al momento della sua creazione, per ridurre il tempo di esistenza del segreto.

Controllo degli accessi

I segreti possono essere concessi solo a entità o gruppi specifici per organizzare e limitare l'accesso. Questo viene spesso concesso utilizzando il principio del privilegio minimo, il che significa che a ogni processo viene concesso solo il set di privilegi più restrittivo necessario per eseguire un'attività. Gli utenti possono accedere solo ai segreti necessari per svolgere le attività autorizzate.

Monitoraggio e verifica delle attività

Molti secrets manager possono tenere traccia del modo in cui utenti e applicazioni interagiscono e utilizzare i segreti per verificare che i segreti vengano gestiti in modo appropriato durante il loro ciclo di vita. Ciò consente all'organizzazione di condurre un monitoraggio end-to-end in tempo reale di autenticazioni e autorizzazioni.

I secrets manager possono identificare rapidamente i tentativi non autorizzati di visualizzare o utilizzare i segreti e interrompere l'accesso, fermando così hacker, minacce interne e altri aggressori. 

Pratiche comuni di gestione dei segreti

Oltre all'utilizzo di soluzioni per la gestione dei segreti, molte organizzazioni seguono pratiche fondamentali comuni nei loro processi di gestione dei segreti, come:

  • I segreti vengono generati e memorizzati nell'ambiente in cui viene implementato un servizio, come ambienti di sviluppo, test e produzione. Alcune organizzazioni utilizzano diversi strumenti di gestione dei segreti per ogni ambiente. Altre utilizzano un'unica soluzione centrale e isolano i segreti di ogni ambiente in un segmento dedicato. I segreti non lasciano mai i loro ambienti e vengono protetti utilizzando misure di controllo degli accessi molto severe.

  • L'accesso ai segreti da parte degli utenti è concesso al livello minimo richiesto a qualsiasi utente per adempiere alle proprie responsabilità. L'overentitlement, intenzionale o meno, può portare a violazioni dei dati.

  • I segreti vengono ruotati regolarmente in base ai requisiti del sistema.

  • Gli utenti non memorizzano i segreti nel codice sorgente, nei file di configurazione o nella documentazione.

  • Le politiche di sicurezza possono essere migliorate richiedendo la crittografia di tutti i dati sensibili. Le chiavi crittografiche possono essere protette con un servizio di gestione chiavi (KMS).

  • L'organizzazione monitora continuamente i segreti e i registri di controllo che tracciano ogni richiesta: chi ha richiesto il segreto, per quale sistema, se la richiesta è andata a buon fine, quando è stata utilizzata, quando è scaduta e quando e se il segreto è stato aggiornato. Le anomalie vengono immediatamente indagate. 

Sfide nella gestione dei segreti

Man mano che gli ecosistemi IT diventano più complessi, la gestione dei segreti diventa sempre più difficile da controllare in modo efficace. Alcune sfide comuni per la gestione dei segreti possono includere:

Gestione decentralizzata dei segreti

Gli ecosistemi decentralizzati in cui amministratori, sviluppatori e utenti gestiscono i propri segreti separatamente possono introdurre rischi, poiché le lacune di sicurezza e l'uso dei segreti potrebbero non essere adeguatamente monitorati o verificati.

Le soluzioni centralizzate di gestione dei segreti possono offrire alle organizzazioni maggiore visibilità e controllo sui segreti.

Credenziali codificate

Quando le password o altri segreti sono incorporati come testo semplice nel codice sorgente o negli script, gli aggressori possono scoprirli facilmente e utilizzarli per accedere a informazioni sensibili.

I segreti codificati possono apparire in molti luoghi, tra cui toolchains CI/CD, dispositivi Internet of Things (IoT), piattaforme di orchestrazione di container come Kubernetes, server di applicazioni, scanner di vulnerabilità e piattaforme di Robotic Process Automation (RPA).

Rotazione poco frequente 

La rotazione regolare dei segreti aiuta a prevenire furti e abusi, ma senza un sistema di gestione dei segreti può essere incoerente o inefficace. Se un segreto rimane invariato per troppo tempo, un hacker potrebbe essere in grado di sbloccarlo andando per tentativi o con un attacco brute force.

Più a lungo viene utilizzata una password, più utenti hanno accesso, maggiore è la possibilità di una perdita involontaria.

Dispersione dei segreti

La crescita dei sistemi IT può portare a una dispersione in cui i segreti vengono diffusi in molte parti isolate del sistema. La dispersione dei segreti è particolarmente preoccupante negli ecosistemi multicloud ibridi, in cui le organizzazioni combinano ambienti cloud pubblici e privati forniti da più provider di cloud.

Le organizzazioni possono avere migliaia, se non addirittura milioni, di segreti in tutte le loro applicazioni cloud-native, contenitori, microservizi e altre risorse IT. Questa proliferazione crea un enorme carico di sicurezza e amplia la potenziale superficie di attacco.

Tra i servizi, la visibilità potrebbe essere limitata e la gestione dei segreti può diventare rapidamente ingombrante se tracciata manualmente o da sistemi eterogenei. La mancanza di un servizio centralizzato di gestione dei segreti rende più difficile, se non impossibile, l'applicazione di una corretta igiene dei segreti.

Condividere manualmente i segreti

Quando un'organizzazione non dispone di un sistema di gestione dei segreti, questi possono essere condivisi manualmente, ad esempio tramite e-mail o SMS, dove gli attori delle minacce possono intercettarli. 

Soluzioni correlate
IBM Verify: soluzioni IAM

Modernizza l'identità e integra gli strumenti di identità esistenti, fornendo al contempo un accesso sicuro e senza intoppi per qualsiasi identità all'AI, alle app e alle risorse on-premise, sul cloud o SaaS.

Scopri Verify
Soluzioni di sicurezza aziendale

Scopri soluzioni e servizi di sicurezza aziendale intelligenti per aiutare la tua azienda a prepararsi oggi alle minacce di cybersecurity di domani.

Esplora le soluzioni di cybersecurity
Servizi di gestione delle identità e degli accessi (IAM)

Instrada il tuo programma di gestione delle identità e degli accessi (IAM) per la forza lavoro e i consumatori verso il successo con competenze, strategia e supporto da parte di esperti di identità e sicurezza.

    Esplora i servizi IAM
    Fai il passo successivo

    Scopri IBM Verify, una piattaforma di gestione delle identità e degli accessi (IAM) leader del settore che offre funzionalità basate su AI per la gestione della forza lavoro e delle esigenze dei clienti. 

    Scopri Verify Scopri IBM Verify Identity Protection