La gestione degli accessi risponde a una domanda semplice ma centrale nelle security operations: chi può fare cosa, su quale risorsa e a quali condizioni? Un analista SOC deve saper leggere gli eventi di autorizzazione riconoscendo il modello sottostante, perché ogni modello genera log, fallimenti e pattern di abuso differenti.
I quattro modelli di access control
Prima di confrontarli, due principi trasversali che valgono per tutti:
- Least privilege: a un soggetto si concedono solo i permessi strettamente necessari a svolgere il proprio compito, nulla di più.
- Need-to-know: l’accesso all’informazione è limitato a chi ha una reale esigenza operativa di conoscerla, anche a parità di clearance.
| Modello | Chi decide i permessi | Base della decisione | Esempio tipico |
|---|---|---|---|
| DAC (Discretionary) | Il proprietario della risorsa | Identità del soggetto (ACL sull’oggetto) | Permessi file NTFS/Unix decisi dall’owner |
| MAC (Mandatory) | Il sistema / policy centrale | Label di sensibilità (es. Confidential, Secret) | Ambienti militari, SELinux |
| RBAC (Role-Based) | L’amministratore | Ruolo assegnato all’utente | “Network-Admin” vs “Helpdesk” |
| ABAC (Attribute-Based) | Policy engine | Attributi combinati (utente, risorsa, contesto, ora, device posture) | Accesso concesso se dipartimento=Finance AND device=compliant AND orario=lavorativo |
DAC è flessibile ma fragile: il proprietario può concedere accessi con leggerezza, e questa discrezionalità è il vettore di molti data leak. MAC è rigido e non aggirabile: le label sono imposte centralmente e l’utente non può modificarle né elevare la propria clearance. RBAC è oggi il più diffuso in azienda perché scala bene: si gestiscono ruoli, non singoli utenti. ABAC è il più granulare e dinamico, valuta il contesto in tempo reale ed è il modello concettuale che alimenta le architetture Zero Trust.
Dal perimetro allo Zero Trust
Il modello tradizionale “castello e fossato” assume che tutto ciò che è dentro la rete sia fidato e tutto ciò che è fuori sia ostile. Questa assunzione crolla di fronte a lateral movement, credenziali rubate e insider threat: una volta superato il perimetro, l’attaccante si muove liberamente.
Zero Trust ribalta il paradigma con il mantra “never trust, always verify”. Il NIST SP 800-207 ne definisce i principi cardine:
- Nessuna fiducia implicita basata sulla posizione di rete: essere “interni” non concede alcun privilegio.
- Verifica continua di ogni richiesta di accesso, non solo al login iniziale.
- Decisioni prese da un Policy Decision Point (PDP) ed applicate da un Policy Enforcement Point (PEP), valutando identità, stato del device e contesto per ogni singola sessione.
- Accesso concesso per-risorsa e con la minima estensione temporale e di privilegio possibile.
Microsegmentazione
È l’evoluzione tecnica del perimetro in ottica Zero Trust: invece di un unico grande dominio di fiducia, la rete viene suddivisa in segmenti minimi (fino al singolo workload) con policy che regolano il traffico est-ovest. Così, anche se un host è compromesso, il raggio d’azione dell’attaccante resta confinato.
802.1X e Cisco ISE per il NAC
Sul piano dell’accesso alla rete (NAC, Network Access Control), lo standard 802.1X autentica il dispositivo/utente prima di ammetterlo alla porta dello switch o all’SSID Wi-Fi. Gli attori sono tre: il supplicant (client), l’authenticator (switch/WLC) e l’authentication server (tipicamente Cisco ISE via RADIUS). ISE agisce da PDP: valuta identità, profilo del device e posture di sicurezza, poi assegna dinamicamente una VLAN, una dACL o una SGT (Security Group Tag) — traducendo in pratica i principi di least privilege e microsegmentazione.
Trappole tipiche d’esame
- Scenario: “L’accesso a un documento dipende da una classificazione di sensibilità che l’utente NON può cambiare” → è MAC (label-based), non RBAC. La parola chiave è classificazione/label imposta dal sistema.
- Scenario: “Gli utenti ricevono permessi in base alla funzione lavorativa (es. ‘Auditor’)” → è RBAC, decisione basata sul ruolo, non sull’etichetta della risorsa.
- Scenario: “Il proprietario di un file decide chi può leggerlo” → è DAC; la discrezionalità dell’owner è il segnale distintivo.
- Scenario: “L’accesso è concesso solo se il device è compliant, l’utente è nel gruppo giusto e sono orari lavorativi” → è ABAC (combinazione di attributi/contesto), il motore concettuale dello Zero Trust.
- Scenario: “Essere connessi alla LAN interna dà automaticamente accesso ai server” → viola lo Zero Trust: NIST SP 800-207 elimina la fiducia implicita basata sulla posizione di rete; serve verifica esplicita per-risorsa.