Punti chiave
- Molti attacchi basati sui browser vanno a buon fine a causa di browser non gestiti, che lasciano esposte credenziali, estensioni e dati di sessione.
- Cinque vulnerabilità comuni nella sicurezza dei browser sono: estensioni non gestite, sincronizzazione dei profili non controllata, gestione inadeguata delle password, aggiornamenti non regolari e visibilità limitata del browser.
- Una politica di gestione dei browser garantisce controlli uniformi in tutto l’ambiente, tra cui la gestione delle estensioni, le regole relative ai profili, l’archiviazione delle password, l’applicazione degli aggiornamenti e il monitoraggio dei browser.
- Le politiche relative al browser funzionano al meglio quando sono allineate all’infrastruttura di sicurezza esistente, in modo che i controlli si rafforzino a vicenda anziché entrare in conflitto tra loro.
- Dare priorità alla gestione degli utenti con privilegi, dei team ad alto rischio e dei dispositivi non gestiti, prima di estendere la copertura ai sistemi a rischio inferiore.
I browser sono lo strumento attraverso cui i dipendenti accedono agli strumenti, ai sistemi e alle piattaforme necessari per svolgere il proprio lavoro, un lavoratore medio trascorre l’85% della propria giornata su uno di essi. Tuttavia, nonostante la loro importanza per le operazioni quotidiane, i browser rappresentano anche potenziali punti di accesso per attacchi di dirottamento di sessione, estensioni dannose e attacchi finalizzati al furto di credenziali.
La maggior parte degli attacchi basati sul browser va a buon fine non a causa di un exploit sofisticato e ben congegnato, ma semplicemente perché il browser non è stato gestito correttamente. Questa guida illustrerà le best practice per la gestione dei browser, per aiutarti a colmare le lacune che gli hacker cercano attivamente di sfruttare.
Perché è importante gestire la sicurezza durante la navigazione sul web
Molte organizzazioni dispongono di controlli ben consolidati in materia di endpoint, identità e accesso alla rete, ma lasciano che sia l’utente a decidere come utilizzare il browser, dove di fatto si svolge la maggior parte del lavoro. I browser conservano le credenziali, accedono alle applicazioni SaaS e interagiscono con servizi di terze parti nel corso di un’unica sessione, rendendoli un bersaglio facile per gli hacker.
Se non vengono gestiti, è difficile monitorare i browser e controllare cosa viene installato, come vengono trasferiti i dati e a quali risorse si accede durante le sessioni. Una strategia di gestione dei browser ti aiuta ad applicare le politiche aziendali in tutta l’organizzazione, garantendo che estensioni, profili, password, aggiornamenti e monitoraggio funzionino tutti in base alle tue esigenze.
Consiglio n.1: applicare criteri di gestione dei browser per il controllo delle estensioni
Le estensioni sono facili da installare e migliorano la produttività degli utenti finali; tuttavia, raramente vengono controllate dopo l’installazione. Un’estensione con privilegi di accesso significativi può leggere di nascosto i contenuti delle pagine, intercettare le credenziali, accedere alla cronologia di navigazione e reindirizzare l’attività verso server esterni.
Ecco alcuni suggerimenti per gestire correttamente le estensioni:
- Gestisci e applica in modo centralizzato un elenco di estensioni approvate e bloccate
- Richiedi ai team IT di esaminare e approvare le richieste di installazione di estensioni
- Applica restrizioni più severe in materia di proroghe alle squadre e ai dipartimenti ad alto rischio
- Verifica regolarmente l’elenco delle estensioni e rimuovi quelle inutilizzate
Una gestione efficace delle estensioni non è una strategia che si può impostare una volta per tutte e poi dimenticare; dovrebbe invece far parte di un flusso di lavoro continuo di gestione dei criteri del browser.
Consiglio n.2: definire le regole di sicurezza del browser relative ai profili e alla sincronizzazione
La maggior parte dei browser moderni consente agli utenti di accedere utilizzando più account, sincronizzando automaticamente i dati di navigazione, tra cui password, estensioni, segnalibri e compilazione automatica, su tutti i dispositivi. Sebbene ciò sia comodo per gli utenti finali, crea una notevole lacuna in termini di controllo per i team IT.
Negli ambienti BYOD (Bring Your Own Device), i dati di navigazione di un account aziendale possono sincronizzarsi accidentalmente con un profilo personale, sfuggendo così al controllo e alla supervisione dell’organizzazione. Ciò può comportare che le password finiscano su dispositivi personali o che le estensioni vengano replicate su dispositivi non gestiti.
Per evitare che ciò accada, la politica del browser deve definire:
- Se sui dispositivi aziendali siano consentiti i profili personali
- Se gli utenti debbano effettuare l’autenticazione tramite account aziendali
- Quali tipi di dati, se ce ne sono, è possibile sincronizzare tra i dispositivi?
- Come vengono gestiti e rimossi i dati del browser durante l’offboarding
Stabilire confini chiari tra l’attività lavorativa e quella di navigazione personale è ciò che garantisce che i dati aziendali rimangano entro i limiti della politica di gestione dei browser.
Consiglio n.3: migliora la sicurezza durante la navigazione sul web grazie ai controlli sulle password e alla compilazione automatica
I browser offrono funzionalità integrate di salvataggio delle password e compilazione automatica, in modo da evitare di dover reinserire le credenziali. Tuttavia, questa pratica può entrare in conflitto con le best practice relative alle politiche sulle password, specialmente in ambienti in cui si utilizza un gestore di password approvato.
Quando i dipendenti salvano le credenziali nei propri browser, si perde il controllo e la supervisione sulla loro archiviazione, sicurezza e conservazione. La funzionalità di compilazione automatica aggrava il problema inserendo automaticamente credenziali e dati sensibili, che potrebbero finire su pagine di phishing o siti non autorizzati.
Tra le best practice relative alle password e alla compilazione automatica figurano:
- Stabilire chiaramente se utilizzare la funzionalità di archiviazione delle password del browser o un gestore di password aziendale dedicato
- Disattiva la memorizzazione delle password per gli account con privilegi
- Limita la compilazione automatica per i campi sensibili e ad alto rischio
- Richiedi l’autenticazione a più fattori (MFA) per le applicazioni critiche per l’azienda
Sebbene la formazione contribuisca a migliorare le best practice relative alle password, è comunque necessario applicare i criteri ovunque possibile, poiché anche gli utenti ben istruiti sono inclini a commettere errori.
Consiglio n.4: considerare gli aggiornamenti del browser come un processo di manutenzione imprescindibile
Gli utenti visitano ogni giorno siti web non affidabili e un browser non aggiornato aumenta questo rischio. Le vulnerabilità note nei browser privi di patch vengono attivamente catalogate, il che significa che gli hacker non hanno bisogno di mettere a punto nuove tecniche, soprattutto quando quelle vecchie funzionano ancora.
Le lacune negli aggiornamenti si verificano solitamente perché gli utenti rimandano il riavvio del browser dopo l’installazione di una patch e perché sui sistemi obsoleti possono rimanere in uso browser non aggiornati. Senza un monitoraggio centralizzato, non avrai idea di quali versioni dei browser sono in uso nei sistemi dell’intero ambiente.
Detto questo, i criteri di gestione del browser dovrebbero:
- Attivare gli aggiornamenti automatici
- Definire i requisiti minimi relativi alla versione del browser
- Includere informazioni sui dispositivi non conformi
- Standardizzare le impostazioni relative alla navigazione sicura e alla protezione anti-phishing in tutto l’ambiente
Oltre alle versioni obsolete del browser, anche impostazioni di sicurezza incoerenti, come autorizzazioni troppo generiche relative alla fotocamera o al microfono, e comportamenti di download non controllati possono mettere a rischio anche un browser completamente aggiornato.
Consiglio n. 5: migliora la visibilità sulla tua strategia di sicurezza del browser
Il browser gestisce quotidianamente credenziali, caricamenti di file e accessi SaaS, eppure la maggior parte delle organizzazioni non dispone di alcuna traccia di audit relativa a tali operazioni. Eppure, nonostante questa mancanza di controllo, gestisce comunque credenziali, caricamento di file, accesso alle applicazioni SaaS e dati sensibili.
Questo punto cieco incide in modo significativo sulla tua capacità di reagire agli incidenti legati al browser. Ad esempio, dopo aver segnalato un evento di sicurezza, spesso non ci sono tracce da seguire né un contesto su cui basare un intervento.
Per migliorare la visibilità del browser nel tuo ambiente, è importante:
- Gestire l’inventario dei browser e delle estensioni sui dispositivi gestiti
- Monitorare le versioni dei browser e segnalare i dispositivi non conformi
- Collegare gli avvisi alle piattaforme di gestione dei servizi IT (ITSM) o ai flussi di lavoro relativi alla sicurezza
- Definire procedure operative chiare per le minacce basate su browser
La visibilità ti offre un quadro chiaro dell’attività del tuo browser in tutto l’ambiente, aiutandoti a individuare tempestivamente i problemi, a reagire in modo mirato e a colmare le lacune prima che vengano sfruttate.
In che modo le politiche di gestione del browser contribuiscono alla sicurezza aziendale
Nel loro insieme, le cinque best practice illustrate in questa guida costituiscono la base della tua politica relativa ai browser. La creazione di una politica relativa ai browser gestiti contribuisce a garantire che tali controlli vengano applicati in modo coerente su tutti i dispositivi gestiti.
Centralizzando l’applicazione di questi controlli, si passa da una configurazione a livello di dispositivo a una baseline standard, in cui le deviazioni, le eccezioni e le lacune vengono gestite prima che si trasformino in incidenti.
Inoltre, la politica relativa al browser funziona al meglio quando è concepita per integrare gli strumenti e le regole di sicurezza già in atto, in modo che nulla sfugga al controllo. Ad esempio, un’organizzazione che dispone di un gestore di password approvato ma non ha una politica di archiviazione delle password presenta comunque una lacuna, poiché i dipendenti possono comunque salvare le credenziali utilizzando i propri browser.
L’obiettivo è quello di creare un ambiente browser che sia sicuro per impostazione predefinita, applicato in modo coerente e omogeneo, in modo che gli utenti non debbano ricorrere a soluzioni alternative che potrebbero comportare nuovi rischi.
Stabilire le priorità relative alle vulnerabilità di sicurezza dei browser
Non è consigliabile correggere tutte le vulnerabilità del browser individuate in una sola volta, poiché non tutte comportano lo stesso livello di rischio. Dovresti invece dare priorità alle aree con il rischio di esposizione più elevato.
Ciò significa dare la priorità innanzitutto agli utenti che gestiscono dati sensibili o che operano al di fuori dei controlli esistenti sugli endpoint. Ciò include gli amministratori con privilegi, i team ad alto rischio e gli utenti BYOD.
Successivamente, punta a una copertura più ampia, che includa le applicazioni web legacy e i flussi di lavoro di trasferimento file ad alto volume, per poi passare ai segmenti dell’ambiente a minor rischio.
Garantisci la sicurezza del browser gestendolo
I browser sono il luogo in cui si svolge il lavoro, eppure rimangono un punto cieco in molti ambienti, rappresentando una porta non controllata per potenziali attacchi. Le cinque best practice illustrate in questa guida ti aiutano a evitare che ciò accada, definendo delle politiche, applicandole in modo coerente e considerando il browser come una superficie di sicurezza gestita.
Un approccio strutturato alla gestione delle vulnerabilità dei browser consiste nell’iniziare a gestire gli utenti a più alto rischio e a colmare per primi le vulnerabilità più gravi, per poi passare a quelli a rischio minore.
Argomenti correlati:
- Come funziona il blocco dei siti web sui dispositivi Android
- Come utilizzare PowerShell per elencare tutte le estensioni del browser su Windows
- Guida completa alla pubblicazione delle estensioni del browser su macOS
- Nascondere o mostrare il controllo delle app e del browser nelle impostazioni di sicurezza di Windows 10
