La sicurezza di un accesso di rete moderno non si esaurisce nel “chi sei” (autenticazione) e nel “cosa puoi fare” (autorizzazione): aggiunge una terza domanda decisiva — “in che stato sei?”. È il regno del posture assessment, dove Cisco ISE verifica la salute dell’endpoint prima e durante l’accesso, mentre Duo rafforza l’identità dell’utente e la fiducia nel dispositivo.

Posture assessment con Cisco ISE

Il posture valuta la conformità di un endpoint a una policy aziendale: antivirus/anti-malware attivo e aggiornato, patch di sistema installate, firewall locale abilitato, disco cifrato, presenza di file/registry/processi attesi. ISE non fa questa verifica da solo: si appoggia a un agent sull’endpoint.

Le due modalità principali sono:

Modalità Agent Caratteristiche
Persistente AnyConnect ISE Posture module (oggi Cisco Secure Client) Installato stabilmente, ideale per asset gestiti; check ricchi
Temporale Temporal Agent (dissolvibile) Eseguibile scaricato al volo, nessuna installazione permanente, utile per BYOD/ospiti

Il flusso tipico: l’utente supera l’802.1X/MAB, ma finché il posture non è completato ISE tratta l’endpoint come Unknown e applica una posizione di quarantena — accesso ridotto a una remediation VLAN o vincolato da una dACL/Security Group Tag che consente solo i server di remediation (update AV, WSUS/repo patch, portale).

Stati di conformità

  • Unknown → posture non ancora valutato: accesso limitato in attesa dell’agent.
  • Non-Compliant → uno o più requisiti falliti: quarantena + azioni di remediation (aggiornare l’AV, avviare il firewall, forzare l’update).
  • Compliant → tutti i requisiti soddisfatti: ISE promuove l’endpoint al profilo di accesso pieno.

Remediation e Change of Authorization (CoA)

Il punto chiave d’esame: quando lo stato cambia (da Unknown/Non-Compliant a Compliant, o viceversa), ISE non fa riautenticare l’utente da zero né aspetta la scadenza della sessione. Invia un RADIUS Change of Authorization (CoA) allo switch/WLC (Network Access Device), che riprogramma al volo l’autorizzazione della sessione già attiva: nuova dACL, nuovo SGT, cambio VLAN. Così un endpoint appena rimediato ottiene subito l’accesso completo, e uno che diventa non conforme (es. AV disattivato) viene isolato dinamicamente senza intervento manuale. La remediation può essere automatica (l’agent lancia l’aggiornamento) o manuale/guidata (istruzioni all’utente).

MFA con Duo: fattore utente e device trust

Il posture certifica lo stato del dispositivo; Duo certifica l’utente e la fiducia nel dispositivo, aggiungendo un fattore prima di concedere l’accesso ad applicazioni e VPN.

  • Duo Push: notifica push all’app Duo Mobile, approvazione con un tap (più sicura di OTP/SMS, resistente al phishing rispetto ai codici).
  • Device Trust / Trusted Endpoints: Duo distingue dispositivi gestiti e affidabili da quelli sconosciuti, verificando salute e certificato del dispositivo, e può bloccare l’accesso da endpoint non conformi.
  • Zero Trust Access: nessuna fiducia implicita basata sulla rete; ogni accesso è valutato su identità più contesto del dispositivo, coerente con l’approccio “never trust, always verify”.

Duo si integra come layer MFA su VPN (Secure Client), applicazioni web (SSO/SAML), RDP e accesso amministrativo, complementando — non sostituendo — il posture di ISE.

Valore di MDM/UEM

Una soluzione MDM/UEM alimenta la strategia di sicurezza con dati che né posture né MFA producono da soli:

  • Asset inventory: censimento completo di dispositivi, OS, versioni, proprietà (corporate vs BYOD).
  • Strategia di patching: enforcement centralizzato di aggiornamenti e configurazioni.
  • Attributi per le policy: ISE interroga l’MDM (via API) per condizioni come is_registered, is_compliant, disk_encryption, pin_lock, arricchendo le regole di autorizzazione con lo stato di gestione del dispositivo.

Trappole tipiche d’esame

  • Endpoint non conforme rilevato dopo l’accesso → risposta giusta: ISE lo mette in quarantena e forza la remediation via CoA, non tramite una nuova sessione 802.1X.
  • Serve cambiare l’autorizzazione di una sessione già attiva senza disconnettere l’utente → CoA (RADIUS), non riautenticazione né timeout di sessione.
  • BYOD/ospite senza agent installabile → Temporal Agent (dissolvibile); l’ISE Posture module persistente è per asset gestiti.
  • Aggiungere un fattore che verifichi utente e fiducia del dispositivo prima dell’accesso → Duo (Push + Device Trust); il posture di ISE verifica lo stato dell’endpoint, non l’identità dell’utente.
  • Serve inventario asset e enforcement di patching a livello di dispositivo → MDM/UEM; ISE ne consuma gli attributi di compliance, ma non svolge asset management.