Strumenti di rete e sicurezza per server e sito aziendale

Prima di tentare un accesso, chi attacca raccoglie ciò che è visibile da Internet: porte aperte, servizi in ascolto, versioni dei software, certificati. È la cosiddetta superficie di attacco, e ogni servizio esposto senza motivo la allarga.

Il port scanner mostra lo stesso punto di vista dall'esterno. La guida sulle porte aperte spiega quali servizi non dovrebbero mai essere raggiungibili da Internet.

Le esposizioni non nascono quasi mai da scelte consapevoli. Più spesso sono il risultato di interventi temporanei mai chiusi: un'apertura per un fornitore, un test, un accesso di emergenza rimasto attivo dopo l'emergenza.

Ridurre la superficie di attacco è la misura più efficace e meno costosa: un servizio che non è raggiungibile da Internet non può essere attaccato da Internet. Tutto ciò che resta esposto, come il sito o la posta, va tenuto aggiornato e protetto da un certificato valido.

Un certificato scaduto o non valido fa comparire un avviso di sicurezza nel browser: per un cliente è un segnale di trascuratezza, e molti abbandonano la pagina. Lo stesso vale per i servizi di posta e i portali interni.

I protocolli moderni incidono invece sulla velocità: HTTP/2 e HTTP/3 caricano le pagine più rapidamente, soprattutto da mobile. Puoi verificare il certificato SSL e controllare il supporto a HTTP/2 e HTTP/3.

I certificati non riguardano solo il sito. Anche server di posta, firewall, VPN, NAS e portali dei gestionali usano certificati con una scadenza, e spesso sono quelli che nessuno ricorda di rinnovare. La guida sul certificato SSL scaduto spiega come tenerli sotto controllo.

La durata massima dei certificati si sta riducendo per decisione degli enti che ne fissano le regole: rinnovi sempre più frequenti rendono indispensabile l'automazione. Un rinnovo automatico che fallisce senza avvisare è oggi una delle cause più comuni di siti e servizi bloccati.

Un calendario semplice aiuta a non dimenticare i controlli che contano.

Sono verifiche esterne: mostrano ciò che vede chiunque su Internet, non sostituiscono un controllo interno di configurazioni e aggiornamenti, ma ne sono il primo filtro.

Il lavoro da remoto ha spinto molte aziende ad aprire in fretta il desktop remoto o le cartelle condivise direttamente su Internet. Sono tra gli accessi più cercati da chi attacca.

La soluzione è far passare gli accessi da canali protetti: una VPN aziendale o un gateway con autenticazione a più fattori, lasciando chiuse le porte dei servizi interni. Dopo ogni modifica, un nuovo controllo delle porte aperte conferma che nulla sia rimasto esposto.

Le stesse regole valgono per i fornitori che fanno assistenza da remoto: accessi nominativi, attivati solo per il tempo necessario e registrati. Un accesso permanente aperto a un fornitore è una porta in più che l'azienda non controlla.

Infine, un inventario aggiornato di cosa è esposto e perché permette di rispondere in fretta quando viene pubblicata una vulnerabilità su un prodotto in uso: si sa subito se l'azienda è coinvolta.

Nei log di firewall, posta e servizi cloud compaiono spesso indirizzi IP sconosciuti: tentativi di accesso, connessioni rifiutate, login da posizioni insolite. Capire chi c'è dietro è il primo passo per decidere se intervenire.

L'IP lookup mostra provider, rete di appartenenza e reverse DNS dell'indirizzo. Un accesso riuscito da una rete che l'azienda non usa merita sempre una verifica: cambio della password, controllo delle sessioni attive e, se manca, attivazione dell'autenticazione a più fattori.

Se lo stesso indirizzo compare anche nelle blacklist, è probabile che sia già noto per attività malevole.