Nell'evoluzione della sicurezza informatica, le politiche di accesso condizionale rappresentano uno strumento fondamentale per garantire la protezione degli ambienti digitali. In questo articolo, esploreremo a fondo come sfruttare al massimo le potenzialità delle politiche di accesso condizionale in Microsoft Entra ID, focalizzandoci in particolare sulle localizzazioni.
Localizzazioni Nominative
Le localizzazioni nominative sono il cuore delle politiche di accesso condizionale. Possono includere range di indirizzi IPv4 e IPv6, paesi o regioni specifiche e addirittura locazioni basate su coordinate GPS. La corretta definizione di queste localizzazioni è cruciale per ottimizzare la sicurezza dell'organizzazione.
Limitazioni e Considerazioni
Prima di procedere, è importante comprendere alcune limitazioni:
- È possibile configurare fino a 195 localizzazioni nominative.
- Per ogni localizzazione, è possibile definire fino a 2000 range di indirizzi IP.
- Solo le maschere CIDR superiori a /8 sono consentite.
- È possibile contrassegnare alcune localizzazioni come "affidabili", influenzando così diverse funzionalità.
Localizzazioni Affidabili
Le localizzazioni marcate come "affidabili" svolgono un ruolo cruciale in diverse situazioni:
- Le politiche di accesso condizionale possono includere o escludere queste localizzazioni.
- Gli accessi da localizzazioni affidabili contribuiscono a calcolare il rischio di accesso in Microsoft Entra ID Protection.
- Tali localizzazioni non possono essere eliminate, ma è possibile rimuovere la designazione di "affidabile" prima di tentare la rimozione.
Avviso Importante
Nonostante una localizzazione sia conosciuta e considerata affidabile, è essenziale verificarne esplicitamente l'applicazione nelle politiche. Questo principio è fondamentale in un'architettura di Zero Trust.
Paesi/Regioni e Metodi di Determinazione della Localizzazione
È possibile determinare la localizzazione di un utente in base all'indirizzo IP o alle coordinate GPS. Questa flessibilità consente di adattare le politiche alle esigenze specifiche dell'organizzazione.
Determinazione per Indirizzo IP
Se si sceglie di determinare la localizzazione tramite indirizzo IP, il sistema raccoglie l'indirizzo IP del dispositivo dell'utente al momento dell'accesso. Microsoft Entra ID converte l'indirizzo IPv4 o IPv6 in un paese o regione.
Determinazione per Coordinate GPS
Optando per la determinazione tramite coordinate GPS, l'utente deve avere l'app Microsoft Authenticator installata sul proprio dispositivo mobile. Il sistema contatta l'app ogni ora per raccogliere le coordinate GPS. La sicurezza è ulteriormente garantita con il rilevamento di eventuali tentativi di modifica della posizione da parte dell'utente.
Nota Importante
La localizzazione basata su GPS non funziona con metodi di autenticazione senza password.
Denegare Richieste con Localizzazione Modificata
Per garantire un ulteriore livello di sicurezza, Microsoft Authenticator blocca le autenticazioni in cui l'utente modifica la posizione del proprio dispositivo. Questo costituisce un ostacolo significativo per gli utenti che cercano di eludere le politiche basate sulla localizzazione.
Configurazione di Localizzazioni di Fiducia per l'Autenticazione Multifattore (MFA)
Un altro aspetto chiave della sicurezza è la configurazione degli intervalli di indirizzi IP che rappresentano la rete intranet dell'organizzazione nelle impostazioni del servizio di autenticazione multifattore. Questa funzionalità consente di definire fino a 50 intervalli di indirizzi IP e migliora l'efficienza delle politiche di accesso condizionale.
Conclusioni
In conclusione, la corretta configurazione delle politiche di accesso condizionale in Microsoft Entra ID, con particolare attenzione alle localizzazioni, è essenziale per garantire un ambiente digitale sicuro. Adottando le best practices e comprendendo a fondo le opzioni disponibili, le organizzazioni possono massimizzare la sicurezza e adattarsi alle sfide sempre crescenti del panorama digitale.
Per ulteriori dettagli e istruzioni sulla configurazione di una politica di accesso condizionale utilizzando la localizzazione, consulta l'articolo .