Rientro dai finding di sicurezza per un gruppo di laboratori.
Per la sede italiana di un gruppo internazionale di laboratori di analisi abbiamo chiuso i rilievi di rating esterno e penetration test, e semplificato l'infrastruttura che li generava.
Un gruppo internazionale misura la sicurezza delle sue sedi con un rating esterno e con penetration test periodici. Sulla sede italiana abbiamo corretto configurazioni TLS e certificati secondo la policy del gruppo, aggiornato server e CMS, aggiunto gli header di sicurezza, migrato il gateway email su Microsoft 365 e razionalizzato i domini. Poi abbiamo pianificato la sostituzione di tre server ereditati con due nuovi, gestiti direttamente.
Contesto
La sede italiana aveva siti, servizi e domini cresciuti negli anni su hosting e server diversi, gestiti da più fornitori. Il gruppo applica policy comuni: certificati da una specifica autorità, scansioni periodiche, rating esterno da tenere sopra soglia.
Il problema
I rilievi arrivavano da fonti diverse e toccavano sistemi diversi: un sito con TLS non conforme, server Windows senza patch e protezione aggiornata, DNS gestiti su server interni del gruppo, una copia di un servizio non funzionante sul server nuovo. Chiudere un finding senza toglierne la causa voleva dire rivederlo alla scansione successiva.
Cosa abbiamo fatto
- 01
Un elenco, un responsabile per voce
Ogni rilievo associato al sistema, a chi può intervenire e alla verifica di chiusura. I DNS gestiti dal gruppo passano dai loro tecnici, il resto lo facciamo noi.
- 02
TLS e certificati
Configurazioni TLS corrette e certificati emessi dall'autorità prevista dalla policy del gruppo, non da quella gratuita.
- 03
Server, CMS e header
Patch e protezione endpoint sui server Windows, aggiornamento .NET e del CMS, header di sicurezza sulle risposte web. Il lavoro sul penetration test si è chiuso con il report consegnato.
- 04
Email e domini
Migrazione del gateway email su Microsoft 365, coordinata con il gruppo. Razionalizzazione dei domini con redirect verso il sito principale.
- 05
Togliere la causa
Piano di consolidamento: dismettere tre server ereditati e crearne due nuovi, uno Linux e uno Windows, gestiti direttamente, su cui rimigrare tutto.
Com'è andata
Il lavoro sul penetration test è chiuso con report consegnato. Per il rating esterno, chiusi i rilievi tecnici, si chiede al gruppo la verifica formale di chiusura. Il consolidamento dei server riduce i punti da sorvegliare e i fornitori coinvolti.
Strumenti
Domande frequenti
Perché non usare certificati gratuiti?
Funzionano bene, ma alcuni gruppi richiedono per policy certificati di una specifica autorità. Conta la policy del cliente, non la nostra preferenza.
Cos'è un rating di sicurezza esterno?
Un punteggio calcolato dall'esterno osservando domini, certificati, configurazioni e segnali pubblici. Lo usano grandi aziende e assicurazioni per valutare il rischio di una sede o di un fornitore.