Punti chiave
- Che cos’è Microsoft LAPS?
Microsoft Local Administrator Password Solution (LAPS) è una caratteristica di Windows che gestisce in modo sicuro le password di amministratore locale dei dispositivi aggiunti al dominio, riducendo i rischi di movimento laterale e migliorando la conformità. - Perché usare Microsoft LAPS?
Automatizza la gestione sicura delle password, centralizza l’archiviazione delle credenziali in Active Directory o Azure AD e soddisfa gli standard enterprise di sicurezza e audit. - Prerequisiti per la distribuzione
Richiede Windows 10/11 Pro o Enterprise, Windows Server 2019 o successivo, Active Directory o Azure AD e l’installazione degli strumenti di gestione dei Criteri di gruppo di LAPS. - Microsoft LAPS e il vecchio LAPS a confronto
Il LAPS moderno (dal 2023) è integrato nativamente in Windows, supporta Azure AD e offre funzionalità di controllo e registrazione migliori rispetto alla versione precedente. - Best practice per la configurazione di LAPS
- Usa impostazioni dei Criteri di gruppo sicure per limitare l’accesso alle password archiviate.
- Abilita la crittografia per gli attributi delle password.
- Controlla e monitora regolarmente i log di accesso alle password.
- Ruota le password con cicli di vita più brevi per ridurre al minimo l’esposizione
La protezione degli account con privilegi è una delle principali preoccupazioni dei professionisti della cybersecurity, ed Entra ID, il servizio Microsoft per la gestione delle identità e degli accessi, costituisce la struttura portante della maggior parte delle organizzazioni.
Microsoft Entra ID centralizza account utente, computer e risorse garantendo il controllo degli accessi, mentre gli account di amministratore locale dispongono di poteri molto ampi all’interno dei sistemi Windows. Una gestione inadeguata di queste password può causare gravi violazioni della sicurezza: si tratta quindi di password che richiedono una protezione scrupolosa per impedire accessi non autorizzati.
Se preferisci una spiegazione in formato video di questa guida, guarda Come distribuire Windows LAPS.
Che cos’è Windows LAPS?
Windows Local Administrator Password Solution (LAPS) è una caratteristica integrata in Windows che punta a risolvere la vulnerabilità delle password di amministratore locale rendendole sicure, casuali e univoche. Le password vengono generate automaticamente e sono complesse e univoche per gli account di amministratore locale di ogni computer, il che ne aumenta la sicurezza.
L’obiettivo di questa guida è fornirti le conoscenze e le competenze pratiche necessarie per distribuire e utilizzare Windows LAPS in modo efficace. Al termine del percorso capirai l’importanza di una gestione sicura delle password negli ambienti Active Directory e saprai implementare LAPS come soluzione affidabile.
Windows LAPS e Microsoft LAPS a confronto
Windows LAPS prende il posto del vecchio Microsoft LAPS, che ora è bloccato sulle versioni più recenti degli OS. Al momento in cui scriviamo Microsoft LAPS è ancora supportato, ma lo sarà solo per un periodo limitato.
Perché usare Windows LAPS?
LAPS consente di gestire in modo centralizzato le password di amministratore locale, e questo porta tre vantaggi principali:
La sicurezza di LAPS
Il valore principale di LAPS sta nel modo in cui cambia la gestione delle password di amministratore locale. Questo cambiamento di fondo rafforza la postura di sicurezza delle organizzazioni perché elimina il rischio di riutilizzo delle password e riduce al minimo l’impatto di una password compromessa, nei modi seguenti:
- Password di amministratore locale casuali e univoche: LAPS fa sì che ogni account di amministratore locale su ogni computer della tua organizzazione abbia una password univoca e complessa. Queste password vengono ruotate con regolarità, riducendo il rischio di accessi non autorizzati.
- Postura di sicurezza più solida: eliminando la prevedibilità delle password di amministratore locale, LAPS attenua le minacce legate al riutilizzo e al furto delle password. Offre un livello di difesa fondamentale in caso di attacchi finalizzati al furto di credenziali.
Conformità normativa
Molti quadri normativi impongono alle organizzazioni di adottare pratiche sicure di gestione delle password e di gestione della conformità. LAPS risponde a questi requisiti e garantisce la conformità a standard come HIPAA, GDPR e PCI DSS.
Gestione delle password semplificata negli ambienti Active Directory
Gestire le password di amministratore locale su un numero molto elevato di computer è un’attività imponente, che tradizionalmente richiedeva un impegno considerevole. LAPS semplifica questo processo applicando l’automazione IT a diversi processi, tra cui la generazione, la rotazione e l’archiviazione sicura di queste password all’interno di Active Directory.
Prerequisiti e requisiti di sistema per LAPS
Prima di passare all’installazione e alla configurazione di LAPS è importante verificare che il tuo ambiente sia adatto a una distribuzione. Gli aspetti da considerare sono:
- Versioni di Windows supportate: LAPS è compatibile con i client e i server Windows; le versioni minime supportate sono Windows 11 e Windows Server 2019.
- Compatibilità con Microsoft Entra ID: LAPS si appoggia a Microsoft Entra ID per l’archiviazione e il recupero delle password, quindi i client che vuoi gestire devono essere collegati a un dominio Active Directory.
- Autorizzazioni e ruoli necessari per la distribuzione di LAPS: per distribuire LAPS devi disporre in Active Directory delle autorizzazioni per modificare le impostazioni dei Criteri di gruppo, oltre all’autorizzazione per aggiornare gli oggetti AD.
- Livello di funzionalità del dominio: se la versione del livello di funzionalità del dominio (DFL) è precedente al 2016, non potrai abilitare la crittografia delle password di Windows LAPS. Mantieni aggiornato l’OS per far funzionare tutto senza intoppi.
Come distribuire LAPS
Se utilizzi Windows 11 o versioni successive, LAPS dovrebbe già essere una parte nativa di Windows e non dovrai installarlo manualmente. Segui le fasi descritte di seguito per distribuire correttamente LAPS nel tuo ambiente:
Scarica il software LAPS
Puoi scaricare il software LAPS dal sito ufficiale Microsoft per essere certo di ottenere la versione più aggiornata. Verifica sempre la provenienza del software LAPS per evitare download da fonti non attendibili o dannose, ed esegui una scansione antivirus del file scaricato prima di avviarlo.
Verifica dell’installazione
È una best practice confermare che LAPS funzioni correttamente e che le estensioni dello schema di Active Directory richieste siano state applicate. Prova a recuperare le password di amministratore locale per verificare che siano disponibili.
Abilitare Windows LAPS con Microsoft Entra ID
Puoi gestire Windows LAPS con Microsoft Intune per abilitarlo più facilmente tramite Entra ID. In alternativa puoi distribuire LAPS manualmente. Per farlo:
- Accedi all’interfaccia di amministrazione di Microsoft Entra come Amministratore dispositivi cloud o con un ruolo superiore.
- Vai su Entra ID > Dispositivi > Panoramica > Impostazioni dispositivo.
- Individua l’impostazione Enable Local Administrator Password Solution (LAPS) e fai clic su Sì. In alternativa puoi usare il comando Update deviceRegistrationPolicy della Microsoft Graph API.
- Imposta una policy lato client e configura la BackUpDirectory.
- Se utilizzi Microsoft Intune, gestisci le policy di Windows LAPS tramite Intune.
- Se utilizzi i Criteri di gruppo (GPO), puoi configurare le impostazioni di LAPS tramite Criteri di gruppo.
Distribuire LAPS in Active Directory
💡NOTA: se prevedi di eseguire il backup delle password solo su Microsoft Entra ID, non dovrai configurare Active Directory.
Configurare LAPS nel tuo ambiente Active Directory richiede di definire le impostazioni dei Criteri di gruppo, indicare dove verranno archiviate le password e stabilire le policy relative alle password. I Criteri di gruppo servono a distribuire lo strumento di gestione LAPS ai computer e a definire con quale frequenza ruotare le password.
Per configurare LAPS in Active Directory:
- Se usi il Central Store dei Criteri di gruppo, copia manualmente i file template dei Criteri di gruppo nel central store.
- Configura le impostazioni dei Criteri di gruppo per:
- Indicare la posizione di archiviazione delle password
- Impostare la frequenza di rotazione delle password
- Distribuire lo strumento di gestione LAPS ai dispositivi
- Crea una nuova policy di Windows LAPS destinata ai dispositivi gestiti.
Best practice per l’uso di LAPS
Segui le best practice riportate di seguito per una distribuzione di LAPS sicura ed efficace:
- Imposta policy e monitoraggio: implementa policy di controllo per tracciare il recupero e l’utilizzo delle password. In questo modo puoi monitorare e analizzare l’attività di LAPS, un aspetto essenziale ai fini della sicurezza e della conformità.
- Configura i controlli di accesso: le password di amministratore locale archiviate sono un bersaglio molto appetibile per gli aggressori. Implementa controlli di accesso e meccanismi di crittografia per proteggerle da accessi non autorizzati.
- Pianifica manutenzione e aggiornamenti: mantieni LAPS aggiornato con le release più recenti e le patch di sicurezza. Rivedi e aggiorna regolarmente la configurazione di LAPS per allinearla all’evoluzione dei requisiti di sicurezza.
- Risolvi i problemi più comuni: impara a conoscere i problemi che possono presentarsi durante la distribuzione e l’uso di LAPS. Risolverli ti permette di mantenere LAPS sempre operativo.
Proteggi gli ambienti Windows con LAPS
LAPS non si limita a proteggere le password di amministratore locale: rafforza la sicurezza dell’intera organizzazione. Implementa Windows LAPS e proteggi il tuo ambiente Windows dagli accessi non autorizzati, mantenendo al contempo la conformità agli standard normativi.
