L'interfaccia di gestione su internet: la scorciatoia più cara che possiate prendere

La nota in fondo all'advisory

Se leggete abbastanza bollettini di sicurezza, comincerete a notare una frase ricorrente, quasi sempre relegata a una nota: se l'interfaccia di gestione non ha accesso pubblico a internet, la superficie d'attacco associata a questa vulnerabilità si riduce. È una postilla, tipograficamente. Nella pratica è spesso la misura che conta di più fra tutte quelle elencate, perché agisce prima della patch, vale per la falla di oggi e per quella che non è ancora stata scoperta.

La CISA ha preso quella nota e ne ha fatto una direttiva vincolante: la Binding Operational Directive 23-02, Mitigating the Risk from Internet-Exposed Management Interfaces, emanata il 13 giugno 2023. Vincola le agenzie federali civili statunitensi, non le aziende europee. Ma la logica che contiene è trasferibile ovunque, e ha il pregio raro di essere scritta in modo abbastanza preciso da poterla applicare senza interpretazioni.

Il ragionamento della CISA

Il presupposto della direttiva è un'osservazione sul comportamento degli attaccanti. Man mano che le organizzazioni hanno migliorato la visibilità sulle proprie reti e la capacità di rilevare e rispondere sugli endpoint, gli attori ostili hanno spostato il bersaglio: dagli endpoint agli apparati di rete che sostengono l'infrastruttura sottostante. Su quelli, spesso, non c'è un agente, il software è vecchio e le configurazioni sono quelle di anni fa.

1. 01
   Gli endpoint si difendono meglio

   EDR, visibilità, risposta
2. 02
   Gli attaccanti cambiano bersaglio

   gli apparati che tengono in piedi la rete
3. 03
   Il rischio si moltiplica

   se la console di quegli apparati è raggiungibile da internet

E la CISA aggiunge il punto che chiude il ragionamento: la maggior parte delle interfacce di gestione è progettata per essere raggiunta da interfacce fisiche dedicate o da reti di gestione, non direttamente dalla rete pubblica. Non sono nate per stare lì. Quando ci stanno, è quasi sempre per comodità: un accesso rapido da casa, una manutenzione notturna, una configurazione fatta di corsa e mai più rivista.

Cosa conta come "interfaccia di gestione"

La definizione è utile perché è stretta e verificabile: un'interfaccia dedicata del dispositivo, accessibile tramite protocolli di rete, destinata esclusivamente a utenti autorizzati per svolgere attività amministrative sul dispositivo, su un gruppo di dispositivi o sulla rete stessa.

I protocolli elencati coprono praticamente tutto ciò che si usa per amministrare qualcosa da remoto: HTTP e HTTPS, FTP, SNMP, Telnet, TFTP, RDP, rlogin, RSH, SSH, SMB, VNC e X11. Vale la pena notare cosa la direttiva esclude esplicitamente: le applicazioni e le interfacce web usate per gestire le offerte dei fornitori di servizi cloud, comprese le API e i portali di gestione. Quelle seguono un'altra logica.

Le due sole strade

La parte più utile della direttiva è che non offre un ventaglio di opzioni. Ne offre due, e dice quale preferisce.

La prima è togliere l'interfaccia da internet, rendendola raggiungibile solo da una rete aziendale interna. La CISA raccomanda in particolare una rete di gestione isolata: non semplicemente "dentro il firewall", ma un segmento dedicato all'amministrazione, separato dal traffico ordinario.

La seconda — e la direttiva la indica come azione preferita — è mediare l'accesso: implementare capacità, nell'ambito di un'architettura Zero Trust, che applichino il controllo degli accessi all'interfaccia attraverso un punto di applicazione delle politiche separato dall'interfaccia stessa. Il riferimento normativo è a OMB M-22-09, alla NIST SP 800-207, al TIC 3.0 Capability Catalog e allo Zero Trust Maturity Model della CISA.

La differenza fra le due è più profonda di quanto sembri. Nel primo caso si toglie il dispositivo dalla vista. Nel secondo lo si lascia raggiungibile, ma chi decide se lasciar passare non è più il dispositivo stesso: è un componente esterno, aggiornato, monitorato, che applica una politica. È esattamente il motivo per cui la CISA la preferisce: se la falla è nell'autenticazione dell'interfaccia — come accade nei casi di credenziali statiche o di bypass — un punto di controllo separato continua a fare il suo lavoro anche mentre il dispositivo sta cedendo.

Come applicarlo se non siete un'agenzia federale

I 14 giorni della direttiva non vi vincolano. Il metodo sì, e si riduce a tre passaggi.

Primo: sapere cosa avete esposto. Non "cosa pensate di aver esposto". La direttiva prevede che sia la CISA a scansionare e a notificare le agenzie; fuori da quel perimetro il lavoro tocca a voi, e va fatto dall'esterno, dal punto di vista di chi guarda la vostra rete da internet, non dalla console interna che vi mostra la configurazione che credete di avere.

Secondo: decidere quale delle due strade, per ciascun apparato. Molte organizzazioni si bloccano cercando la soluzione perfetta per tutto. Non serve: la rete di gestione isolata è la risposta giusta per la maggior parte degli apparati, il punto di applicazione mediato per quelli che devono davvero restare raggiungibili.

Terzo: renderlo un controllo permanente, non un progetto. La direttiva non chiede solo di rimediare a ciò che c'è oggi, ma di implementare controlli tecnici e gestionali perché ogni apparato esistente e ogni nuovo apparato nasca già con una delle due protezioni. È la differenza fra una bonifica e un'abitudine: la prima si sfalda al primo apparato installato di fretta.

Non è una misura brillante e non entrerà in nessuna presentazione entusiasmante. È però la contromisura che, il giorno in cui esce l'advisory su un prodotto che avete in casa, trasforma una notte in bianco in una patch da programmare con calma.