Nel precedente articolo “Capire la propria postazione aziendale: verifiche locali per lavorare con maggiore consapevolezza” abbiamo osservato una postazione di lavoro gestita dal punto di vista dell’utente: quali elementi fosse possibile rilevare senza privilegi amministrativi, senza modificare il sistema e senza attribuire alle evidenze significati non tecnicamente dimostrabili.
Quel lavoro portava a una constatazione semplice: una postazione aziendale può ricevere configurazioni, criteri di sicurezza, aggiornamenti e componenti di gestione definiti centralmente dall’organizzazione. Questo non ci dice che cosa l’organizzazione faccia in ogni momento e non autorizza a immaginare comportamenti non documentati. Ci dice però una cosa certa: quel dispositivo non è amministrato interamente da chi lo utilizza.
Quando lo usiamo da casa, quel dispositivo entra in una rete che invece appartiene a noi e alla nostra famiglia.
È da qui che nasce la domanda successiva: che cosa significa ospitare nella propria LAN un dispositivo che appartiene a un dominio amministrativo diverso dal nostro?
La risposta non richiede diffidenza ma attenzione. Possiamo avere piena fiducia nell’organizzazione, nel suo reparto IT e negli strumenti di sicurezza installati sul notebook. La fiducia, però, non elimina il problema architetturale: il proprietario della rete domestica non controlla completamente configurazione, software, criteri e possibili modifiche future di quel dispositivo.
Il tema, quindi, non è “difendersi” dal computer aziendale. È decidere quale accesso alla rete domestica gli sia realmente necessario e concedere soltanto quello.
Prevenire non significa accusare. Significa ridurre un’esposizione che non serve.
Due domini amministrativi nella stessa casa
Quando colleghiamo un notebook di lavoro al Wi-Fi di casa tendiamo a considerarlo un dispositivo come gli altri: riceve un indirizzo IP dal router, accede a Internet e svolge le proprie funzioni.
Dal punto di vista della rete, però, esiste una differenza sostanziale.
Il notebook è amministrato dall’organizzazione. La LAN domestica è amministrata da noi.
Sul notebook possono essere presenti EDR, DLP, certificati, proxy, browser gestiti, agent di amministrazione e altri criteri di sicurezza. Tutto questo può essere perfettamente legittimo e avere lo scopo di proteggere dati e infrastruttura aziendale.
La rete domestica, nello stesso momento, può contenere computer personali, smartphone, server o NAS, stampanti, sistemi multimediali, cartelle condivise, dispositivi di domotica e documenti che non hanno alcuna relazione con l’attività lavorativa.
Il punto non è stabilire quale dei due domini sia “più sicuro”. Il punto è riconoscere che sono domini diversi.
Una rete piatta, nella quale tutti i dispositivi possono comunicare liberamente tra loro, trasforma la semplice appartenenza alla stessa LAN in una forma di fiducia implicita. È una fiducia che può essere più ampia del necessario.
Cosa significa “rischio potenziale”
Prima di parlare di contromisure serve una distinzione fondamentale:
• una capacità tecnica non prova che quella capacità venga utilizzata;
• un comportamento possibile non è un comportamento osservato;
• un rischio non è un’accusa.
Per rischio potenziale intendiamo una combinazione di capacità, esposizione e possibile impatto che merita di essere considerata anche quando non sappiamo se si tradurrà mai in un evento reale.
Nel caso di un dispositivo gestito non possiamo conoscere o controllare tutto ciò che accade lato organizzazione. Possiamo però controllare molto bene un altro elemento: quanto della nostra rete domestica gli rendiamo raggiungibile.
Per questo non è necessario dimostrare che un notebook aziendale stia facendo qualcosa di indesiderato prima di segmentarlo. La segmentazione non è una sanzione: è una misura preventiva.
La mappa dei “rischi potenziali”
I rischi che ci interessano non sono tutti uguali. Per il notebook aziendale possiamo ricondurli a cinque categorie principali.
– Visibilità della rete
Un dispositivo collegato alla stessa rete locale può, a seconda della configurazione e dei servizi presenti, rilevare altri host, indirizzi, nomi, servizi pubblicizzati e protocolli locali.
Meccanismi come ARP, mDNS, SSDP o NetBIOS esistono per facilitare la comunicazione tra dispositivi vicini. Sono utili, ma hanno una conseguenza: una LAN piatta rende più visibile ciò che contiene.
Questo non significa che il notebook aziendale effettui scansioni della rete domestica. Significa soltanto che, se si trova nello stesso segmento, alcune informazioni possono essere tecnicamente disponibili.
Rischio potenziale: esposizione non necessaria della topologia e dei servizi locali.
– Accesso ai servizi domestici
Visibilità e accesso non sono la stessa cosa, ma spesso sono collegati.
NAS, condivisioni SMB, pannelli di amministrazione, stampanti, media server e servizi web locali possono essere raggiungibili da altri dispositivi della stessa LAN, salvo protezioni applicative o firewall locali.
Anche quando un servizio richiede autenticazione, il solo fatto che sia raggiungibile amplia la superficie esposta.
Rischio potenziale: un dispositivo che per lavorare necessita soprattutto di Internet può raggiungere risorse locali che non sono necessarie alla sua funzione.
– Gestione esterna e cambiamento nel tempo
Un dispositivo gestito non è statico. L’organizzazione può distribuire aggiornamenti, applicare nuove policy, modificare configurazioni, installare o rimuovere componenti e cambiare DNS, proxy o altre funzioni di sicurezza e gestione.
Non c’è nulla di anomalo: è precisamente ciò che significa amministrare centralmente una postazione.
Dal punto di vista della LAN domestica, però, questo introduce una variabile importante: il profilo tecnico del dispositivo può cambiare senza che il proprietario della rete intervenga.
Rischio potenziale: una valutazione fatta oggi non garantisce che capacità e configurazione del dispositivo restino identiche domani.
– Compromissione e movimento laterale
Una postazione aziendale può essere molto protetta, ma nessun endpoint è invulnerabile. Lo stesso vale per un computer personale.
Se un dispositivo viene compromesso, la possibilità di raggiungere liberamente altri sistemi della LAN può facilitare il movimento laterale, la ricerca di servizi vulnerabili o ulteriori tentativi di accesso.
Qui l’organizzazione non è parte del problema: il rischio deriva dall’eventuale compromissione del dispositivo, indipendentemente da chi lo gestisce.
Rischio potenziale: un incidente circoscritto a un endpoint può avere un perimetro più ampio se la rete non impone confini.
– Metadati e informazioni sull’ambiente domestico
Anche senza accedere ai contenuti dei dispositivi, una rete può rivelare informazioni indirette: nomi host, indirizzi, produttori, servizi attivi, presenza di stampanti, server, sistemi multimediali o dispositivi smart.
Questi dati non equivalgono ai documenti conservati sui sistemi, ma descrivono comunque parte dell’ambiente domestico.
Rischio potenziale: semplice disponibilità — o eventuale raccolta — di informazioni che non sono necessarie per svolgere l’attività lavorativa.
Fiducia e confini
A questo punto la domanda è inevitabile: se mi fido della mia organizzazione, perché dovrei isolare il notebook?
Perché fiducia e architettura sono due piani diversi.
Possiamo ritenere corretta la gestione del notebook e, nello stesso tempo, stabilire che quel dispositivo non abbia alcuna necessità di raggiungere il server domestico, le cartelle personali o l’interfaccia di amministrazione del router.
Il principio del minimo privilegio, applicato alla rete, è semplice: ogni dispositivo dovrebbe poter raggiungere soltanto le risorse necessarie alla propria funzione.
Per un notebook aziendale utilizzato da casa questo significa, nella maggior parte dei casi:
• accesso a Internet;
• DNS;
• servizi necessari agli strumenti aziendali;
• solo le eventuali risorse locali realmente indispensabili.
Tutto il resto può essere negato per impostazione predefinita.
È un principio vicino, pur in un contesto domestico molto più semplice, all’idea alla base dei modelli Zero Trust: la sola posizione nella rete non dovrebbe costituire una ragione sufficiente per concedere fiducia implicita.
Segmentazione della rete
Questa impostazione ha un vantaggio importante: non richiede di intervenire sulla postazione aziendale.
Non si disattivano agent, non si cambiano policy, non si aggirano controlli e non si tenta di amministrare ciò che appartiene all’organizzazione.
Si agisce esclusivamente sul proprio perimetro: la LAN domestica.
L’obiettivo minimo è creare due zone realmente separate: una rete domestica per i dispositivi personali e i servizi locali e una rete dedicata al dispositivo di lavoro, con accesso a Internet ma senza accesso generalizzato alla LAN privata.
Un SSID diverso, da solo, non basta. Due reti Wi-Fi con nomi differenti possono essere collegate allo stesso segmento e continuare a permettere comunicazioni laterali. La separazione deve quindi essere reale: subnet o segmenti distinti e regole firewall che stabiliscano quali flussi possano attraversare il confine.
In termini concettuali:
• WORK → Internet: consentito;
• WORK → HOME: negato per impostazione predefinita;
• eccezioni locali: consentite solo quando motivate e circoscritte.
Se IPv6 è attivo, la stessa logica deve essere applicata anche al traffico IPv6. Inoltre il dispositivo di lavoro non dovrebbe ottenere automaticamente accesso al piano di amministrazione dell’apparato di rete.
Non serve un prodotto specifico. Serve una funzione: la capacità di creare reti realmente separate e applicare regole coerenti tra di esse. Alcuni router domestici offrono una rete guest con isolamento sufficiente; altri permettono subnet o VLAN; in altri casi può essere necessario aggiungere un apparato dedicato. La scelta del prodotto viene dopo. Prima viene il requisito.
Gli “utensili” della segmentazione
Indirizzi IP. Ogni zona usa una rete distinta. Per esempio, HOME può essere 192.168.10.0/24, WORK 192.168.20.0/24 e IoT 192.168.30.0/24. Gli indirizzi sono puramente esemplificativi: ciò che conta è che le reti siano realmente separate.
Routing. Il router conosce le diverse reti e sa dove inoltrare i pacchetti. Il routing rende possibile raggiungere una rete diversa dalla propria; non decide, da solo, se quella comunicazione debba essere autorizzata.
Firewall. È il punto di controllo tra le zone. Può consentire WORK → Internet, negare WORK → HOME e aprire soltanto eccezioni motivate secondo una regola semplice: sorgente → destinazione → servizio.
NAT. Quando un dispositivo con un indirizzo privato accede a Internet, il router traduce quell’indirizzo nell’indirizzo pubblico della connessione. Il NAT facilita l’uscita verso Internet, ma non sostituisce il firewall e non crea da solo la separazione tra HOME, WORK e IoT.
VPN privata. Crea un ingresso autenticato e cifrato verso la rete domestica quando siamo fuori casa. Il firewall può poi limitarne l’accesso alle sole destinazioni e ai servizi necessari.
Sono questi gli utensili che permettono di interpretare l’architettura: indirizzi per separare, routing per instradare, firewall per decidere, NAT per uscire verso Internet e VPN per rientrare dall’esterno in modo controllato.
Le eccezioni: apriamo solo ciò che serve
L’isolamento assoluto è semplice da descrivere, ma nella vita reale possono esserci esigenze legittime. La più comune è la stampa.
Se il notebook di lavoro deve utilizzare una stampante di rete domestica, non è necessario riaprire l’intera LAN. Si può autorizzare soltanto quel percorso: il dispositivo di lavoro verso la stampante, limitatamente al servizio necessario.
La logica è sempre la stessa:
sorgente → destinazione → servizio.
Un firewall stateful consente inoltre di distinguere una nuova connessione dal traffico di risposta appartenente a una sessione già autorizzata. Questo permette di costruire regole direzionali precise senza interrompere inutilmente i servizi.
L’obiettivo non è creare il maggior numero possibile di regole. È poter spiegare ogni eccezione con una necessità concreta.
Il collaudo – la prova finale
Una rete non è isolata soltanto perché l’interfaccia del router la chiama “guest”, “work” o in altro modo. È isolata rispetto al requisito che ci interessa quando quel requisito viene verificato.
Un collaudo minimo dovrebbe controllare che:
– il notebook riceva effettivamente un indirizzo della rete prevista;
– Internet funzioni normalmente;
– gli strumenti di lavoro continuino a funzionare;
– un servizio noto della LAN domestica non sia raggiungibile dalla rete di lavoro;
– le eventuali eccezioni autorizzate funzionino;
– gli altri servizi locali restino bloccati;
– l’isolamento sia coerente anche su IPv6, se utilizzato.
Quando l’apparato lo permette, log e contatori firewall possono fornire una verifica ulteriore: non soltanto “la pagina non si apre”, ma “il tentativo è stato intercettato dalla regola prevista”.
Il collaudo deve avvenire dal lato della nostra rete. Non richiede scansioni invasive del notebook aziendale e non richiede di aggirarne le protezioni.
E i dispositivi IoT?
Il centro di questo ragionamento resta la postazione aziendale gestita. Una volta chiarito il principio, però, è difficile non vedere una conseguenza più generale.
Una presa intelligente, una smart TV, un elettrodomestico connesso e soprattutto un dispositivo di videosorveglianza dipendono in misura significativa dal firmware del produttore, dal relativo ciclo di aggiornamento e spesso da servizi cloud esterni.
Non sono equivalenti a un notebook aziendale e non vanno trattati come se lo fossero. Condividono però una caratteristica importante dal punto di vista del proprietario della rete: una parte del loro comportamento è determinata da soggetti terzi.
Molti dispositivi IoT hanno bisogno soprattutto di raggiungere Internet e i servizi del produttore; non hanno necessariamente bisogno di iniziare connessioni verso PC personali, NAS o server domestici. Per questo, quando l’infrastruttura lo consente, una zona IoT separata può ridurre la superficie di esposizione e limitare l’impatto di una vulnerabilità.
L’isolamento non significa rinunciare all’accesso remoto. Se, quando siamo fuori casa, dobbiamo consultare un sistema di videosorveglianza raggiungibile localmente o accedere a una libreria musicale ospitata nella rete domestica, una VPN privata gestita dalla nostra infrastruttura può offrire un punto di ingresso autenticato e cifrato. Il dispositivo remoto entra prima nella VPN e il firewall gli consente poi soltanto le destinazioni e i servizi necessari.
In questo modo non è necessario esporre direttamente su Internet telecamere, server o pannelli di amministrazione. Anche l’accesso remoto segue quindi lo stesso principio: non aprire tutta la LAN, ma autorizzare soltanto ciò che serve.
Anche qui non esistono ricette universali. Stampanti, televisori, sistemi audio o dispositivi di casting possono avere esigenze reali di comunicazione locale e utilizzare protocolli di discovery come mDNS o SSDP. La soluzione non è “isolare tutto”, ma capire quali relazioni servono davvero e autorizzarle in modo consapevole.
La segmentazione efficace non è quella con il maggior numero di reti. È quella nella quale ogni relazione tra zone ha una ragione comprensibile.
Consapevolezza e prevenzione
Nel primo articolo avevamo cercato di comprendere una postazione gestita senza alterarla e senza formulare conclusioni oltre le evidenze disponibili.
Il passo successivo è coerente con lo stesso metodo.
Non sappiamo tutto ciò che un’organizzazione può fare lato infrastruttura e non abbiamo bisogno di saperlo per progettare correttamente la nostra LAN. Non dobbiamo presumere comportamenti malevoli, né dimostrare che esista un problema in corso.
Dobbiamo soltanto riconoscere un fatto: il notebook aziendale appartiene a un dominio amministrativo differente dal nostro.
Da quel momento la domanda utile non è “mi fido?”, ma “di quale accesso ha realmente bisogno?”.
Internet, strumenti di lavoro e le poche eccezioni locali necessarie possono essere sufficienti. Il resto può rimanere fuori dal suo perimetro.
È una scelta di prudenza, non di sospetto.
Non possiamo governare completamente un dispositivo amministrato da altri. Possiamo però governare la rete nella quale decidiamo di ospitarlo.
Ed è spesso lì che prevenire diventa più semplice che curare.
Riferimenti
NIST SP 800-207 – Zero Trust Architecture
CISA – Federal Mobile Workplace Security, sezione B.3 “Network Segmentation”
NIST IR 8425 – Profile of the IoT Core Baseline for Consumer IoT Products
NIST IR 8425A – Recommended Cybersecurity Requirements for Consumer-Grade Router Products