La migrazione verso il cloud sposta il baricentro della sicurezza dal perimetro fisico al singolo workload: la macchina virtuale, il container o il processo che eroga una funzione applicativa. In un data center moderno la maggior parte del traffico è est-ovest (server-to-server), invisibile al firewall perimetrale nord-sud. Proteggere questo traffico interno è l’obiettivo della workload protection.
Micro-segmentazione con Cisco Secure Workload (Tetration)
Cisco Secure Workload (l’evoluzione di Tetration) implementa la micro-segmentazione: anziché fidarsi implicitamente di tutto ciò che gira nella stessa subnet o VLAN, si costruisce una policy granulare per singolo workload che consente solo i flussi legittimi e nega tutto il resto (default-deny). L’enforcement avviene tramite software agent installati sull’host, che programmano il firewall locale del sistema operativo (iptables su Linux, Windows Firewall), oppure tramite integrazione con l’infrastruttura di rete e i security group cloud.
Il vantaggio decisivo è il contenimento del movimento laterale: se un attaccante compromette un web server, la micro-segmentazione impedisce che raggiunga il database o gli altri tier applicativi, perché quei flussi non sono esplicitamente permessi dalla policy.
Application Dependency Mapping (ADM)
Costruire manualmente migliaia di regole è impraticabile. Secure Workload risolve il problema con l’Application Dependency Mapping: gli agent raccolgono telemetria completa sui flussi reali (chi parla con chi, su quali porte, con quali processi). Un motore di analisi comportamentale clusterizza i workload per ruolo e deduce automaticamente le dipendenze tra applicazioni, generando una policy whitelist proposta.
Questo abilita un modello zero-trust tra applicazioni: la policy è basata su ciò che l’applicazione fa realmente, non su indirizzi IP o topologia di rete. Le regole seguono il workload anche quando cambia IP o migra tra host e cloud (policy portabile, basata su label/annotation anziché su indirizzi statici).
| Aspetto | Segmentazione classica (VLAN/ACL) | Micro-segmentazione (Secure Workload) |
|---|---|---|
| Granularità | Subnet / VLAN | Singolo workload / processo |
| Base della policy | Indirizzo IP, topologia | Identità, label, comportamento |
| Traffico controllato | Prevalentemente nord-sud | Est-ovest (lateral movement) |
| Portabilità | Legata all’IP/rete | Segue il workload |
Logging, monitoring e visibility nel cloud
La visibility è il presupposto di ogni policy. Secure Workload conserva la telemetria dei flussi per flow search forense e rilevamento di anomalie comportamentali (processi che deviano dal baseline, connessioni non previste). Nel cloud pubblico la telemetria di rete arriva anche dai log di flusso della piattaforma, correlabili in una piattaforma centrale. Sul fronte SecureX/threat, i log dei workload si integrano con il resto dello stack di sicurezza per una investigation unificata. Principio chiave: senza raccolta continua di log e flussi non è possibile né costruire whitelist accurate né dimostrare la compliance.
Data security: cifratura at-rest e in-transit
La protezione del dato ha due dimensioni complementari:
- In-transit: cifratura del traffico tra workload e verso l’utente con TLS (e IPsec per i tunnel site-to-site o tra VPC/VNet). Protegge da sniffing e man-in-the-middle sui segmenti di rete condivisi del cloud.
- At-rest: cifratura dei volumi, dei database e degli storage bucket. Il punto critico è la gestione delle chiavi tramite un KMS/HSM: chi controlla le chiavi controlla il dato. Best practice: rotazione periodica delle chiavi e separazione dei ruoli tra chi gestisce i dati e chi gestisce le chiavi.
La cifratura in-transit non sostituisce quella at-rest, e viceversa: coprono minacce diverse (intercettazione sul filo vs. furto del supporto/snapshot).
Trappole tipiche d’esame
- Workload protection vs endpoint protection → Se lo scenario parla di segmentare il traffico est-ovest tra server/applicazioni o contenere il movimento laterale nel data center/cloud, la risposta è Secure Workload (micro-segmentazione). Se parla di proteggere il dispositivo dell’utente finale (laptop, malware, prevenzione/EDR), la risposta è endpoint protection (Secure Endpoint/AMP). Non confondere i due domini.
- “Come generare policy zero-trust senza scrivere migliaia di regole a mano?” → Application Dependency Mapping, non ACL statiche costruite manualmente.
- Policy che deve seguire il workload che migra e cambia IP → policy basata su label/identità (Secure Workload), non ACL legate all’indirizzo IP.
- Proteggere i dati archiviati negli snapshot/volumi cloud → cifratura at-rest con gestione chiavi (KMS/HSM); TLS protegge il transito, non il dato a riposo.
- Il firewall perimetrale nord-sud vede il traffico interno? → No. Il traffico est-ovest tra workload non attraversa il perimetro: serve micro-segmentazione con enforcement sull’host.