Come scegliere tra SFTP e FTPS

Gli attacchi informatici non sono destinati a sparire e le minacce diventano sempre più sofisticate. Per questo i trasferimenti di file sicuri sono essenziali nelle operazioni IT, soprattutto per i managed service provider (MSP) che ogni giorno gestiscono dati sensibili dei clienti. La condivisione protetta delle informazioni si riduce a due protocolli che spiccano spesso sugli altri: SFTP e FTPS.

Sia il Secure File Transfer Protocol (SFTP) sia il File Transfer Protocol Secure (FTPS) offrono canali sicuri per lo scambio di dati. Si differenziano però per architettura, autenticazione e comportamento rispetto al firewall. Gli MSP devono tenere conto di questi fattori quando scelgono tra i due protocolli di condivisione dei file, e per alcuni la scelta può rivelarsi complicata.

In questa guida ti proponiamo un metodo pratico per scegliere tra SFTP e FTPS, configurarli correttamente e costruire operazioni documentate che semplificano gli audit e riducono i rischi.

Riepilogo delle best practice

Attività 1: decidere con una matrice semplice

📌 Situazione d’uso:

Questa attività garantisce che il protocollo di trasferimento file scelto sia coerente con le esigenze di business e con la realtà della rete. Favorisce inoltre una scelta basata su una policy, con motivazioni ed eccezioni documentate.

Parti dalla raccolta di queste informazioni:

• Quale tecnologia e quale configurazione di firewall utilizza il tuo cliente?
• Quali sono i vincoli di rete dei tuoi clienti?
• Quale livello di conformità devono rispettare i tuoi clienti?
• Quali sono i requisiti dei partner o dei sistemi legacy?

A questo punto, la scelta tra SFTP e FTPS dipende dalle informazioni raccolte. Ecco i parametri da valutare:

• SFTP è una scelta predefinita valida quando:
  • Servono modifiche minime al firewall e una sola porta in ascolto
  • I partner supportano le chiavi SSH e vuoi un’autenticazione basata su chiavi o rafforzata da MFA.
  • Preferisci jail in stile chroot e un isolamento semplice delle cartelle.
• FTPS è una scelta predefinita valida quando:
  • Gli auditor o i partner richiedono TLS con certificati X.509
  • Devi integrarti con strumenti FTP legacy che già supportano FTPS
  • Puoi riservare e documentare nei firewall un intervallo ristretto di porte passive

Documenta come policy la scelta del protocollo per ciascun profilo di cliente (vedi Attività 5).

Attività 2: configurare SFTP in modo sicuro (Windows e appliance)

📌 Situazione d’uso:

Questa attività garantisce un servizio SFTP compatibile con il firewall (una sola porta), usa le chiavi, limita l’esposizione e produce log adatti agli audit, attivando SFTP con privilegio minimo e una tracciabilità chiara.

Se scegli SFTP, devi configurarlo correttamente. Ecco le azioni da compiere:

1. Installa e configura un server SSH, limitalo a una porta fissa, disabilita l’accesso con password e richiedi le chiavi SSH.
2. Crea un account per ogni partner o cliente, con directory in chroot e privilegi OS minimi.
3. Limita cifrari e MAC alle opzioni moderne e disabilita l’agent SSH e il port forwarding, se non necessari.
4. Inoltra i log di autenticazione SSH e l’attività sui file a un collector centrale.

Attività 3: configurare FTPS in modo sicuro (Windows e appliance)

📌 Situazione d’uso:

Questa attività garantisce un servizio FTPS incentrato sui certificati, che si integra con i requisiti di audit, supporta i client legacy e usa regole documentate sulle porte passive per rendere prevedibili le regole del firewall.

Come per SFTP, se scegli FTPS devi prima assicurarti che sul sistema sia installato e attivo un server FTP con supporto SSL/TLS (ad esempio IIS FTP su Windows o un servizio FTP basato su appliance). Una volta predisposto il servizio con supporto FTPS, configuralo in modo sicuro seguendo questi passaggi:

1. Installa un certificato server attendibile, disabilita l’accesso FTP non cifrato e richiedi TLS per il canale di controllo e per quello dati.
2. Definisci un intervallo ristretto di porte dati passive e comunicalo ai firewall e ai partner.
3. Imponi una versione minima di TLS e cipher suite moderne, preferisci FTPS esplicito e richiedi un’autenticazione client robusta dove possibile.
4. Registra gli eventi del canale di controllo e del canale dati, inclusi nomi utente, IP di origine, attività di trasferimento file e dettagli delle sessioni TLS.

Attività 4: hardening di accessi, chiavi e certificati

📌 Situazione d’uso:

Questa attività mantiene l’autenticazione solida e gestibile grazie a un controllo degli accessi rigoroso e a opzioni di ripristino rapide.

Ridurre il rischio di minacce è un compito centrale nella gestione dell’autenticazione e delle credenziali, sia che tu scelga SFTP sia che tu scelga FTPS. Ecco le azioni da compiere:

• Ruota regolarmente chiavi e certificati: ruota le chiavi SSH e i certificati client FTPS secondo una pianificazione; fai scadere le credenziali obsolete.
• Applica il privilegio minimo: usa account di servizio di breve durata e directory delimitate per ciascun partner.
• Imposta restrizioni sulle connessioni: applica allowlist di IP e limiti di banda per i partner con SLA stringenti.
• Definisci procedure di emergenza: documenta i passaggi per la disabilitazione e la revoca d’emergenza.

Attività 5: monitorare, indagare e dimostrare la conformità

📌 Situazione d’uso:

Questa attività deve trasformare i trasferimenti di file in registrazioni affidabili, che favoriscono la visibilità operativa e forniscono prove pronte per gli audit.

Quando eroghi un servizio MSP critico, come le operazioni che coinvolgono SFTP e FTPS, le prove dei controlli adottati sono fondamentali. È importante costruire un registro di monitoraggio che regga audit e indagini. Ecco le attività da portare a termine:

• Segnala le anomalie: genera alert su login falliti, picchi improvvisi di volume e trasferimenti provenienti da aree geografiche inattese.
• Confronta i log: correla i log dei trasferimenti con gli eventi di antivirus o EDR sugli endpoint e di DLP per i clienti ad alto rischio.
• Stabilisci la conservazione delle registrazioni: definisci, applica e documenta i criteri di conservazione dei log, collegandoli agli obblighi normativi dei clienti, come HIPAA o PCI DSS.
• Pubblica report con regolarità: produci un report mensile con l’elenco dei partner attivi, il numero di trasferimenti, gli errori e le eccezioni.

Piano di rollout

Come MSP, dovresti avere un piano di rollout standard e snello per applicare queste operazioni su più partner o clienti. Ecco cosa deve prevedere:

1. Avvia un progetto pilota con due partner sul protocollo scelto, verifica trasferimenti e logging e affina le regole del firewall.
2. Documenta l’intervallo di porte passive o la porta SFTP, i processi di gestione di chiavi o certificati e i flussi di lavoro per le eccezioni.
3. Estendi l’adozione ai partner restanti e pianifica revisioni trimestrali di chiavi, certificati e log.

Integrazioni NinjaOne

NinjaOne offre strumenti e caratteristiche che aiutano a semplificare la complessità dell’implementazione di SFTP e FTPS.

Scegliere e implementare SFTP e FTPS

Implementare trasferimenti di file sicuri in un ambiente gestito è un’operazione fondamentale per gli MSP. Tutto comincia dalla scelta tra SFTP e FTPS, in base a quale sia il protocollo predefinito migliore per i requisiti di conformità, il design della rete e le preferenze di autenticazione di ciascun cliente.

Punti chiave:

• Scegli SFTP per la semplicità della porta singola e il controllo basato su chiavi, oppure FTPS per la conformità basata sui certificati e gli strumenti legacy.
• Blinda cifrari, porte e directory e centralizza i log prima di andare in produzione.
• Ruota chiavi e certificati secondo una pianificazione e documenta le revoche.
• Riporta ogni mese un numero ridotto di metriche su trasferimenti ed errori per dimostrare il controllo.

Seguire queste pratiche non solo aiuta i clienti ad avere un’infrastruttura sicura per lo spostamento dei file, ma garantisce anche conformità continuativa, coerenza operativa e un controllo verificabile su ogni trasferimento di dati nei loro ambienti gestiti.

Argomenti correlati:

• Che cos’è un server FTP? Definizione e vantaggi
• Che cos’è il protocollo MFT?
• L’importanza della sicurezza IoT: consigli per MSP e team IT
• 28 esempi essenziali di automazione IT per monitoraggio, alert e remediation proattivi degli MSP
• Che cos’è una chiave SSH?