Come implementare le Privileged Access Workstations (PAW) per i tecnici

Le Privileged Access Workstations (PAW) sono postazioni dedicate alle attività amministrative sensibili. Offrono un ambiente sicuro e isolato pensato per gli utenti con privilegi elevati, proteggendoli da minacce e vettori di attacco.

Separare i dispositivi d’uso quotidiano dalle PAW riduce la superficie di attacco e limita i rischi di movimento laterale legati a phishing, malware o minacce veicolate dal browser.

Per una spiegazione visiva dell’argomento, guarda Come implementare le Privileged Access Workstations (PAW) per i tecnici.

Implementare le PAW: guida passo dopo passo

La distribuzione delle PAW richiede diversi passaggi, la maggior parte dei quali si basa sulle funzionalità di sicurezza native di Windows, sui criteri di gruppo e su PowerShell. I passaggi seguenti ti permettono di creare endpoint amministrativi protetti con hardening e governati da policy.

Prerequisiti:

• Una versione supportata di Windows 11 Enterprise o Pro
• Accesso a Gestione Criteri di gruppo e a PowerShell
• Facoltativo: accesso a NinjaOne per il monitoraggio successivo alla distribuzione

Passaggio 1: definisci le situazioni d’uso delle PAW e la segmentazione

Definire le situazioni d’uso delle PAW aiuta a costruire un modello zero trust per l’accesso amministrativo. Questo passaggio crea un confine netto tra i dispositivi destinati all’uso quotidiano e le workstation usate per le operazioni con privilegi elevati.

Situazione d’uso: separa i dispositivi d’uso quotidiano dalle workstation usate per le operazioni privilegiate

(A) Individua i ruoli privilegiati

Individua gli utenti che necessitano di accessi privilegiati e classifica le loro responsabilità amministrative in base al livello di sicurezza delle risorse che gestiscono:

• Livello 0
  • Comprende Active Directory, i domain controller e l’infrastruttura critica delle identità. Rappresenta il livello più alto di privilegi amministrativi e richiede i controlli di sicurezza più rigorosi
• Primo livello
  • Riguarda server e applicazioni.
• Livello 2
  • Riguarda le workstation e gli endpoint degli utenti.

(B) Definisci le finalità delle PAW

Assegna le PAW in base ai livelli, così da isolare e proteggere le operazioni privilegiate.

• Livello 0: gestione delle identità
  • Gli amministratori che operano al livello 0 si occupano dell’amministrazione di Active Directory (AD), dei domain controller (DC) e di altri componenti di sistema. Gli utenti di livello 0 hanno i privilegi di accesso più elevati e possono creare o modificare account utente, gestire le policy di sicurezza e controllare le impostazioni di rete.

• Primo livello: amministrazione dei server

• • Gli amministratori di primo livello gestiscono server e applicazioni, inclusa la distribuzione del software, gli aggiornamenti e la manutenzione. Possono amministrare questi sistemi, ma non dovrebbero avere accesso amministrativo alle risorse di livello 0, come i domain controller di Active Directory.

• Livello 2: supporto agli utenti finali
  • Gli amministratori che operano al livello 2 forniscono supporto agli utenti finali e svolgono la manutenzione ordinaria, comprese le installazioni di software e la risoluzione dei problemi. Questi privilegi sono limitati per evitare ripercussioni sui server o sull’intera rete.

Suggerimento: non deve esserci alcun movimento laterale tra i livelli. Ciò significa che gli amministratori che gestiscono risorse di livello 0 non dovrebbero mai accedere ai sistemi di livello 1 o 2 dalla stessa PAW.

(C) Limita l’utilizzo per rafforzare la sicurezza

È opportuno applicare l’hardening alle PAW per prevenirne la compromissione, aggiungendo restrizioni software e policy di utilizzo:

• Nessuna navigazione in internet
  • Blocca il traffico HTTP e HTTPS, oppure limitalo ai servizi di aggiornamento interni approvati, perché l’accesso a internet rappresenta un vettore di attacco rilevante.

• Nessun client di posta
  • Le email sono vettori ad alto rischio per phishing e malware. Utilizza invece una workstation separata o una sessione VDI (Virtual Desktop Infrastructure) per accedere alla posta.

• Nessuna applicazione personale
  • Vieta le app non approvate, come applicazioni di chat, software di produttività, lettori multimediali, browser e simili.

Passaggio 2: applica i criteri di gruppo per hardening e restrizioni delle app

Gli oggetti Criteri di gruppo (GPO) sono un metodo scalabile e vincolante per applicare impostazioni di sicurezza coerenti su tutte le PAW. Questo passaggio garantisce che i comportamenti di sistema siano bloccati, che le funzionalità ad alto rischio siano disabilitate e che i meccanismi di controllo degli accessi siano applicati in modo uniforme.

Situazione d’uso: standardizza l’hardening delle workstation tramite impostazioni GPO vincolanti

Prerequisito: privilegi di amministratore

1. Premi Win + R, digita gpedit.msc e premi Invio.
2. Vai ai percorsi seguenti e configura le impostazioni come indicato
   • Per bloccare l’accesso alle unità rimovibili:
     • Vai a Configurazione del computer > Modelli amministrativi > Sistema > Accesso agli archivi rimovibili
     • Apri Tutte le classi di archiviazione rimovibile: nega tutti gli accessi,
     • Seleziona Abilitato
       • fai clic su Applica
   • Per disabilitare l’account amministratore locale:
     • Vai a Configurazione del computer > Impostazioni di Windows > Impostazioni sicurezza > Criteri locali > Opzioni di sicurezza
     • Apri Account: stato dell’account Administrator
     • Seleziona Disabilitato
       • fai clic su Applica
   • Per abilitare Credential Guard e Device Guard:
     • Vai a Configurazione del computer > Modelli amministrativi > Sistema > Device Guard
     • Apri Attiva sicurezza basata su virtualizzazione e seleziona
     • In Configurazione di Credential Guard, seleziona Abilitato senza blocco o Abilitato con blocco UEFI, in base ai requisiti della tua organizzazione.
     • Fai clic su Applica e riavvia il dispositivo dopo l’applicazione della policy.

Passaggio 3: abilita BitLocker e la crittografia del dispositivo

Questo passaggio abilita e impone BitLocker con standard di crittografia avanzati, in linea con le policy di sicurezza aziendali.

Situazione d’uso: cripta le unità di sistema delle PAW con una crittografia avanzata per impedire accessi non autorizzati ai dati su disco e alle credenziali

Prerequisito: privilegi di amministratore

Per abilitare BitLocker con PowerShell, segui i passaggi seguenti:

1. Premi Win, digita PowerShell e fai clic su Esegui come amministratore.
2. Verifica lo stato attuale di BitLocker eseguendo questo comando:

Get-BitLockerVolume -MountPoint "C:"

Nota: se BitLocker è già abilitato e la protezione è attiva, salta i passaggi di attivazione rimanenti e verifica che la chiave di ripristino sia salvata in un backup sicuro.

Se BitLocker non è abilitato, verifica che il dispositivo soddisfi i requisiti necessari, inclusa la disponibilità del TPM, ed esegui questo comando:

Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

3. Se non è già configurato un protettore con password di ripristino, aggiungine uno con questo comando:

Add-BitLockerKeyProtector -MountPoint "C:" -RecoveryPasswordProtector

4. Esegui il backup della chiave di ripristino di BitLocker in una posizione sicura e approvata, poi verifica che sia recuperabile.
5. Conferma che la crittografia e la protezione di BitLocker siano attive eseguendo:

Get-BitLockerVolume -MountPoint "C:"

Nota: crea un backup della chiave di ripristino, nel caso ti servisse in futuro. Per farlo, segui i passaggi seguenti:

1. Premi Start, digita BitLocker e seleziona Gestisci BitLocker nell’elenco dei risultati.
2. Seleziona Esegui backup della chiave di ripristino accanto all’unità di cui vuoi fare il backup.
3. Scegli dove salvare il backup della chiave.
4. Premi Fine.

Attenzione: una configurazione errata del TPM può causare errori di avvio o una crittografia non recuperabile (per maggiori informazioni, consulta: Aspetti a cui prestare attenzione.)

Passaggio 4: configura l’isolamento di rete e il firewall

Controlla in modo rigoroso le comunicazioni di rete di una PAW per ridurne al minimo la superficie di attacco.

Situazione d’uso: impedisce alle PAW di accedere a internet pubblico, consentendo al contempo la connettività verso i server di gestione interni e l’infrastruttura di aggiornamento

Prerequisito: privilegi di amministratore

1. Premi Win, digita PowerShell e fai clic su Esegui come amministratore.
2. Copia e incolla lo script seguente nel prompt, poi premi Invio:

Set-NetFirewallProfile -Profile Domain -DefaultOutboundAction Block

Nota: prima di applicare questo comando, assicurati che le regole di autorizzazione in uscita necessarie siano configurate e verificate, per non interrompere la connettività essenziale. Conferma che il profilo firewall Dominio si applichi alla PAW.

Prima di bloccare il traffico in uscita, crea e verifica regole di autorizzazione specifiche per l’infrastruttura critica.

• Endpoint di aggiornamento
• Server RMM o di gestione
• Sistemi di logging o monitoraggio
• Server DNS e risoluzione dei nomi interna

Valuta inoltre di collocare le PAW in una VLAN (Virtual Local Area Network) dedicata. Consenti il traffico solo verso:

• Servizi amministrativi interni
• Infrastruttura di aggiornamento controllata

Le VLAN offrono confini applicabili a livello di rete.

Passaggio 5: limita l’accesso alle applicazioni

Questo passaggio garantisce che possano essere eseguiti solo gli strumenti amministrativi affidabili, bloccando app potenzialmente pericolose e non necessarie che potrebbero diventare vettori di attacco.

Situazione d’uso: impedisce l’esecuzione di software non essenziale o ad alto rischio sulle PAW

Prerequisito: privilegi di amministratore

Consiglio pratico: non bloccarti fuori

Prima di impostare AppLocker su “Applica regole”, lascialo in modalità “Solo controllo” per 3-5 giorni.

• Controlla il Visualizzatore eventi: vai a Registri applicazioni e servizi > Microsoft > Windows > AppLocker.
• Individua i blocchi: cerca le voci che segnalano strumenti amministrativi critici (come specifici plugin RMM, agenti NinjaOne o strumenti diagnostici specializzati) che sarebbero stati bloccati.
• Modifica le regole: aggiungi eccezioni per questi strumenti prima di attivare la restrizione vera e propria, così da non paralizzare il tuo stesso flusso di lavoro.

Per configurare AppLocker:

1. Premi Win + R, digita gpmc.msc e premi Invio.
2. Segui questo percorso:

Configurazione del computer > Impostazioni di Windows > Impostazioni sicurezza > Criteri di controllo delle applicazioni > AppLocker

• • Consenti:
    • MMC
    • PowerShell
    • Console amministrative
  • Nega:
    • Browser, client di posta, social media e app di messaggistica

Passaggio 6: configura l’accesso remoto e l’obbligo di MFA

Imporre l’MFA (Multi-Factor Authentication), l’accesso tramite VPN e una gestione controllata delle sessioni garantisce che le connessioni amministrative remote siano sicure e riservate agli utenti autorizzati.

Situazione d’uso: abilita un accesso RDP sicuro e governato da policy agli host privilegiati, imponendo VPN, MFA, limiti di sessione e controllo degli accessi basato sull’endpoint

Prerequisito: privilegi di amministratore

(A) Richiedere la VPN per l’accesso RDP remoto (Remote Desktop Protocol)

• Imponi che tutti gli accessi amministrativi remoti passino attraverso un tunnel VPN sicuro.
• Limita l’RDP sul perimetro di rete tramite firewall.

Questo aggiunge un livello di sicurezza e garantisce che il client si trovi su un segmento di rete attendibile. Questa configurazione evita che le porte RDP siano esposte direttamente a internet.

Nota: per le PAW di livello 0, affidati all’autenticazione basata su certificati tramite la tua VPN. In questo modo solo quello specifico dispositivo PAW fisico può anche solo tentare una connessione alla rete di gestione, impedendo di fatto ai dispositivi non autorizzati persino di visualizzare la schermata di accesso.

(B) Creare una regola firewall in entrata per l’RDP

1. Premi Win, digita cmd e seleziona Esegui come amministratore.
2. Copia e incolla lo script seguente nel prompt, poi premi Invio:
   • netsh advfirewall firewall add rule name="Allow Admin RDP" dir=in action=allow protocol=TCP localport=3389

Risoluzione dei problemi e aspetti a cui prestare attenzione

Sintomi o rischi	Cause probabili o possibili conseguenze	Soluzioni o ripristini
Gli strumenti amministrativi non si avviano	Una policy AppLocker configurata male blocca le applicazioni necessarie per mancanza di regole di autorizzazione.	Apri i registri eventi di AppLocker in Visualizzatore eventi > Registri applicazioni e servizi > Microsoft > Windows > AppLocker e individua le regole che bloccano l’esecuzione.
Le impostazioni GPO “spariscono” (policy drift)	Override locali o GPO di dominio in conflitto stanno sovrascrivendo le tue impostazioni.	Esegui gpresult /h report.html in CMD per capire quale policy prevale nel conflitto.
Errore di Credential Guard	La sicurezza basata su virtualizzazione (VBS) è disabilitata nel BIOS.	Accedi al BIOS/UEFI e verifica che “Virtualization Technology” e “VT-d” siano abilitati.
Rete disconnessa	Le regole firewall in uscita sono troppo restrittive. Il traffico verso i server di aggiornamento interni, il DNS o i domain controller è bloccato.	Rivedi il set di regole del firewall e crea regole di autorizzazione esplicite per gli intervalli IP di gestione interni, i server WSUS, il DNS e i sistemi di autenticazione.
Chiave di ripristino di BitLocker senza backup	Non è stato eseguito il backup della chiave di ripristino di BitLocker in una posizione sicura e approvata.	Apri Gestisci BitLocker e seleziona Esegui backup della chiave di ripristino per conservare in sicurezza le informazioni di ripristino.
RDP bloccato in modo imprevisto	Le impostazioni GPO o del registro hanno disabilitato l’accesso remoto o lo hanno limitato alle sole reti autorizzate.	Controlla la configurazione di Desktop remoto in Proprietà del sistema > Impostazioni di connessione remota.
Rischi	Possibili conseguenze	Ripristini
Una configurazione errata del TPM o GPO non corretti possono attivare il ripristino di BitLocker o impedire il normale avvio.	Potresti perdere l’accesso ai dati criptati se la chiave di ripristino necessaria non è disponibile.	Verifica le impostazioni del TPM e delle policy BitLocker e assicurati che il backup delle chiavi di ripristino sia salvato in modo sicuro in Active Directory o Microsoft Entra ID.

I servizi NinjaOne per scalare la distribuzione delle PAW

Con NinjaOne, gli MSP possono scalare la distribuzione delle PAW, mantenere la standardizzazione e ridurre i rischi senza sacrificare la produttività. Nello specifico, NinjaOne potenzia la strategia PAW consentendo di:

• Distribuire baseline con hardening tramite script PowerShell
• Eseguire script PowerShell da remoto per verificare firewall, BitLocker o restrizioni sulle app
• Monitorare lo stato di salute delle workstation amministrative e lo stato delle patch
• Taggare le PAW separatamente nell’inventario per reporting, audit e conformità
• Ricevere avvisi su installazioni di software non autorizzate e monitorare le modifiche alla configurazione di sicurezza su tutti gli endpoint PAW tramite script personalizzati

Abilita un’amministrazione remota sicura implementando le PAW

Le Privileged Access Workstations separano le attività amministrative sensibili dall’informatica di uso generale. Isolando le credenziali e proteggendo gli endpoint usati per l’amministrazione del dominio o dei sistemi, gli MSP e i team IT riducono il rischio di escalation di una violazione o di compromissione delle identità.

Argomenti correlati:

• Che cos’è il Privileged Access Management (PAM)?
• Che cos’è l’Identity & Access Management (IAM)?
• Che cos’è una workstation?
• Come abilitare o disabilitare la rete in Windows Sandbox
• Semplifica sicurezza e autorizzazioni con il controllo degli accessi basato sui ruoli