Condividi tramite

Aumentare la sicurezza delle applicazioni usando i principi Zero Trust

  • Articolo

Non è possibile presupporre un perimetro di rete sicuro intorno alle applicazioni sviluppate. Quasi tutte le applicazioni sviluppate, per progettazione, saranno accessibili dall'esterno del perimetro di rete. Le applicazioni non possono essere garantite come sicure quando vengono sviluppate o che rimarranno così dopo la distribuzione. È responsabilità dello sviluppatore dell'applicazione non solo massimizzare la sicurezza di quest'ultima, ma anche ridurre al minimo il danno che l'applicazione può causare in caso di compromissione.

Inoltre, la responsabilità include il supporto delle esigenze in continua evoluzione dei clienti e degli utenti, che si aspettano che l'applicazione soddisfi i requisiti di sicurezza Zero Trust. Informazioni sui principi del modello Zero Trust e sull'adozione delle procedure. Imparando e adottando i principi, è possibile sviluppare applicazioni più sicure e che riducono al minimo i danni che potrebbero causare in caso di interruzione della sicurezza.

Il modello Zero Trust prevede impostazioni cultura di verifica esplicita anziché attendibilità implicita. Il modello è ancorato su tre principi guida chiave:

  • Verificare esplicita
  • Usare l'accesso con privilegi minimi
  • Presunzione di violazione

Procedure consigliate per Zero Trust

Seguire queste procedure consigliate per creare applicazioni pronte per Zero Trust con Microsoft Identity Platform e i relativi strumenti.

Verificare esplicita

Microsoft Identity Platform offre meccanismi di autenticazione per verificare l'identità della persona o del servizio che accede a una risorsa. Applicare le procedure consigliate descritte di seguito per verificare in modo esplicito le entità che devono accedere ai dati o alle risorse.

Procedura consigliata Vantaggi della sicurezza delle applicazioni
Usare Microsoft Authentication Libraries (MSAL). MSAL è un set di librerie di autenticazione Microsoft per gli sviluppatori. Con MSAL, gli utenti e le applicazioni possono essere autenticati e i token possono essere acquisiti per accedere alle risorse aziendali usando solo poche righe di codice. MSAL usa protocolli moderni (OpenID Connect e OAuth 2.0) che eliminano la necessità per le applicazioni di gestire direttamente le credenziali di un utente. Questa gestione delle credenziali migliora notevolmente la sicurezza sia per gli utenti che per le applicazioni poiché il provider di identità diventa il perimetro di sicurezza. Inoltre, questi protocolli si evolvono continuamente per affrontare nuovi paradigmi, opportunità e sfide nella sicurezza delle identità.
Adottare estensioni di sicurezza avanzate come Valutazione continua dell'accesso (CAE) e contesto di autenticazione dell'accesso condizionale quando appropriato. In Microsoft Entra ID alcune delle estensioni più usate includono Accesso condizionale, Contesto di autenticazione dell'accesso condizionale e CAE. Le applicazioni che usano funzionalità di sicurezza avanzate, ad esempio CAE e il contesto di autenticazione dell'accesso condizionale, devono essere codificate per gestire le richieste di attestazioni. I protocolli aperti consentono di usare le richieste di attestazioni per richiamare funzionalità client aggiuntive. Le funzionalità potrebbero, ad esempio, continuare l'interazione con Microsoft Entra ID, come quando si verifica un'anomalia o se le condizioni di autenticazione dell'utente cambiano. Queste estensioni possono essere codificate in un'applicazione senza disturbare i flussi di codice primario per l'autenticazione.
Usare il flusso di autenticazione corretto in base al tipo di applicazione. Per le applicazioni Web, provare sempre a usare flussi client riservati. Per le applicazioni per dispositivi mobili, provare a usare broker o il browser di sistema per l'autenticazione. I flussi per le applicazioni Web che possono contenere un segreto (client riservati) sono considerati più sicuri dei client pubblici (ad esempio applicazioni desktop e console). Quando il Web browser di sistema viene usato per autenticare un'applicazione per dispositivi mobili, un'esperienza di accesso Single Sign-On (SSO) sicura consente l'uso dei criteri di protezione delle applicazioni.

Usare l'accesso con privilegi minimi

Uno sviluppatore usa Microsoft Identity Platform per concedere autorizzazioni (ambiti) e verificare che a un chiamante sia stata concessa l'autorizzazione appropriata prima di consentire l'accesso. Applicare l'accesso con privilegi minimi nelle applicazioni abilitando autorizzazioni con granularità fine che consentono di concedere la minima quantità di accesso necessaria. Considerare le procedure seguenti per assicurarsi di rispettare il principio dei privilegi minimi:

  • Valutare le autorizzazioni richieste per assicurarsi che il livello di privilegi assoluto sia impostato per eseguire il processo. Non creare autorizzazioni "catch-all" con accesso all'intera superficie API.
  • Quando si progettano API, fornire autorizzazioni granulari per consentire l'accesso con privilegi minimi. Iniziare dividendo le funzionalità e l'accesso ai dati in sezioni che possano essere controllate usando ambiti e ruoli app. Non aggiungere API alle autorizzazioni esistenti in modo da modificare la semantica dell'autorizzazione.
  • Offrire autorizzazioni di sola lettura. Accesso Write, include privilegi per le operazioni di creazione, aggiornamento ed eliminazione. Un client non deve mai richiedere l'accesso in scrittura ai dati di sola lettura.
  • Offrire sia autorizzazioni delegate che dell'applicazione. Ignorare le autorizzazioni dell'applicazione può creare requisiti rigidi per i client per ottenere scenari comuni come l'automazione, i microservizi e altro ancora.
  • Prendere in considerazione le autorizzazioni di accesso "standard" e "completo" se si lavora con dati sensibili. Limitare le proprietà sensibili in modo che non sia possibile accedervi usando un'autorizzazione di accesso "standard", ad esempio Resource.Read. Implementare quindi un'autorizzazione di accesso "completa", ad esempio Resource.ReadFull, che restituisce tutte le proprietà disponibili, incluse le informazioni riservate.

Presunzione di violazione

Il portale di registrazione delle applicazioni di Microsoft Identity Platform è il punto di ingresso principale per le applicazioni che intendono usare la piattaforma per l'autenticazione e le esigenze associate. Durante la registrazione e la configurazione delle applicazioni, seguire le procedure descritte di seguito per ridurre al minimo i danni che potrebbero verificarsi in caso di violazione della sicurezza. Per altre informazioni, vedere Procedure consigliate per la sicurezza della registrazione dell'applicazione Microsoft Entra.

Prendere in considerazione le azioni seguenti per evitare violazioni della sicurezza:

  • Definire correttamente gli URI di reindirizzamento per l'applicazione. Non usare la stessa registrazione dell'applicazione per più applicazioni.
  • Verificare gli URI di reindirizzamento usati nella registrazione dell'applicazione per la proprietà ed evitare acquisizioni di dominio. Non creare l'applicazione come multi-tenant a meno che l'operazione non sia prevista. |
  • Assicurarsi che i proprietari dell'applicazione e dell'entità servizio siano sempre definiti e mantenuti per le applicazioni registrate nel tenant.

Vedi anche