Come rendere operativa la sicurezza Zero Trust

Zero Trust è un modello di sicurezza basato sul principio “non fidarti mai, verifica sempre”, che parte dal presupposto che le violazioni siano inevitabili. Di conseguenza, ogni richiesta di accesso deve essere verificata. Si tratta di un modello di sicurezza molto efficace, ma un’esecuzione approssimativa può creare attriti inutili per gli utenti. L’obiettivo è costruire protezioni condizionali e contestuali che lavorino in modo discreto in background, offrendo agli amministratori controllo e visibilità completi.

Questa guida illustra i metodi per rendere operativa la sicurezza Zero Trust, così da rafforzare supervisione e controllo. Per una spiegazione visiva dell’argomento, guarda Come rendere operativa la sicurezza Zero Trust.

Metodi per rendere operativa la sicurezza Zero Trust

Prima di iniziare, assicurati di avere a disposizione quanto segue.

📌 Prerequisiti generali:

• Microsoft Entra ID (in precedenza Azure AD) Premium P1 o P2 (P1 necessario per l’accesso condizionale, P2 per Identity Protection)
• Microsoft Defender for Endpoint (per la valutazione del rischio dei dispositivi)
• PowerShell 5.1+ (consigliata la versione 7+) con il modulo Microsoft.Graph
• Criteri di gruppo e accesso come amministratore locale
• Piattaforma RMM (ad esempio NinjaOne) per la distribuzione delle policy basata su tag e la convalida degli endpoint

Metodo 1 (controlli sull’identità): creare policy di accesso condizionale basate sul contesto

L’accesso condizionale (CA) è il motore centrale di Zero Trust. È una caratteristica chiave di Microsoft Entra ID che applica regole (consenti, limita, blocca) in base a segnali come livello di rischio, conformità del dispositivo, posizione e altro ancora. Questo metodo ti aiuta a costruire la prima linea di difesa della tua strategia Zero Trust.

📌 Casi d’uso: ideale quando devi bloccare l’accesso da dispositivi rischiosi o non gestiti e consentire invece un accesso senza interruzioni dagli endpoint attendibili e conformi.

📌 Prerequisiti:

• Licenza Microsoft Entra ID P1 o P2 (per l’accesso condizionale e Identity Protection)
• Dispositivi registrati o sincronizzati in Entra ID
• Accesso come amministratore all’interfaccia di amministrazione di Microsoft Entra
• Facoltativo: PowerShell 5.1+ (consigliata la versione 7+) con il modulo Microsoft.Graph per automazione e reporting

Passaggio per passaggio:

1. Vai all’interfaccia di amministrazione di Microsoft Entra.
2. Accedi con un account dotato dei diritti di amministratore per l’accesso condizionale.
3. Nel menu a sinistra, seleziona Entra ID > Accesso condizionale.
4. Fai clic su + Crea nuova policy.
5. Assegnale un nome chiaro e descrittivo.
6. In Assegnazioni, seleziona gli utenti o i gruppi da includere.
7. Fai clic su Risorse di destinazione (in precedenza App cloud) e seleziona le applicazioni o le risorse a cui vuoi applicare la policy.
8. Fai clic su Condizioni e imposta i segnali di contesto.

💡 Suggerimento: evita regole troppo ampie che bloccano tutti. Usa invece le opzioni disponibili in Condizioni (piattaforme dei dispositivi, posizioni, app client, filtri dei dispositivi o flussi di autenticazione) per applicare i controlli solo quando vengono rilevati rischi specifici.

9. Consenti o blocca tramite i controlli di accesso.
10. Imposta su Solo report > Crea > verifica in Informazioni dettagliate e reporting > quindi passa a Attivato. (Leggi il punto 1 in ⚠️ Aspetti a cui prestare attenzione.)

Facoltativo: usare PowerShell per individuare gli utenti a rischio

Se vuoi identificare gli utenti a rischio, usa PowerShell:

Connect-MgGraph -Scopes "IdentityRiskEvent.Read.All"

Get-MgRiskyUser | Where-Object { $_.RiskLevel -eq "high" } | Select-Object UserPrincipalName, RiskLevel

📌 Nota: questo comando individua solo gli utenti contrassegnati come ad alto rischio. Se necessario, puoi modificare il filtro per includere i livelli di rischio medio o basso.

Esempio di logica per una policy di accesso condizionale

• Blocca l’accesso ai dispositivi sconosciuti con livello di rischio = Alto.
• Richiedi l’MFA solo per gli accessi da IP non gestiti o non attendibili.
• Consenti l’accesso senza interruzioni dai dispositivi noti, conformi e con aggiunta ibrida.

Metodo 2 (controlli sull’identità): semplificare MFA, SSO e controlli di sessione

Questo metodo rafforza la sicurezza delle identità semplificando MFA, SSO e controlli di sessione, così da ridurre gli attriti senza indebolire la protezione. È l’equilibrio giusto per un approccio Zero Trust.

📌 Casi d’uso: da usare per richiedere l’MFA sulle app sensibili, abilitare l’SSO, calibrare la durata delle sessioni e migliorare l’esperienza complessiva sui dispositivi attendibili.

📌 Prerequisiti:

• Licenza Microsoft Entra ID P1 o P2 (per l’accesso condizionale e il rischio adattivo)
• Dispositivi registrati o sincronizzati in Entra ID
• Accesso come amministratore all’interfaccia di amministrazione di Microsoft Entra
• Facoltativo: PowerShell 5.1+ (consigliata la versione 7+) con il modulo Microsoft.Graph per l’automazione

Passaggio per passaggio:

Evita gli attriti allineando l’autenticazione all’accesso adattivo e al trust dei dispositivi:

1. Creare una policy di accesso condizionale che richieda l’MFA nei controlli di accesso

1. 1. Vai all’interfaccia di amministrazione di Microsoft Entra.
   2. Nel menu a sinistra, seleziona Entra ID > Accesso condizionale.
   3. Crea o modifica una policy.
   4. In Controlli di accesso, scegli Concedi accesso.
   5. Seleziona Richiedi l’autenticazione a più fattori.

2. Abilitare il Single Sign-On (SSO)

1. 1. Vai all’interfaccia di amministrazione di Microsoft Entra > Applicazioni enterprise.
   2. Seleziona l’applicazione.
   3. In Single Sign-On, scegli SAML oppure OIDC in base all’app.
   4. Configura le impostazioni dell’app.
   5. Assegna utenti o gruppi all’app.
   6. Testa la configurazione per verificare che l’accesso avvenga senza interruzioni.

📌 Nota: OIDC/OAuth2 viene spesso configurato tramite le registrazioni delle app (o le app della raccolta che supportano OIDC), non solo tramite Applicazioni enterprise.

3. Configurare i controlli di sessione

1. 1. Nella stessa policy di accesso condizionale, vai a Controlli di sessione.
   2. Configura: (leggi il punto 2 in ⚠️ Aspetti a cui prestare attenzione.)
      • Frequenza di accesso
      • Sessione del browser persistente

Configurare la durata delle sessioni aiuta a bilanciare sicurezza e usabilità.

Registro facoltativo: memorizzare la conferma MFA di utente o dispositivo

📌 Nota: esegui PowerShell come amministratore.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\TrustFlags" -Name "MFAApproved" -Value "True"

📌 Se il percorso del registro non esiste, usa il comando seguente per crearlo prima di impostare la proprietà:

New-Item -Path "HKLM:\SOFTWARE\Org" -Name "TrustFlags" -Force

Abbina questa configurazione ai filtri dell’accesso condizionale per limitare le richieste MFA ai dispositivi non contrassegnati o non gestiti.

Consiglio da esperti: implementa l’accesso Just-In-Time (JIT) Se usi Entra ID P2, vai oltre le assegnazioni statiche dei ruoli amministrativi. Usa Privileged Identity Management (PIM) per richiedere agli amministratori di “attivare” i propri ruoli con una motivazione e l’MFA. In questo modo, anche se un account amministrativo viene compromesso, il “trust” resta valido solo per una finestra limitata (ad esempio 4 ore).

Metodo 3 (baseline dei dispositivi): usare i criteri di gruppo per applicare una baseline senza disturbare gli utenti

Gli oggetti Criteri di gruppo (GPO) sono una soluzione affidabile per gestire in modo centralizzato le configurazioni dei dispositivi. Questo metodo utilizza i GPO per definire una baseline Zero Trust locale su tutti gli endpoint Windows, prevenendo la deriva della configurazione e colmando le lacune nelle policy a livello di dispositivo.

📌 Casi d’uso: garantire che tutti i dispositivi aggiunti al dominio rispettino gli standard minimi di sicurezza della baseline.

📌 Prerequisiti:

• I dispositivi devono essere aggiunti al dominio o avere un’aggiunta ibrida
• Privilegi di amministratore di dominio per creare o modificare i GPO

Passaggio per passaggio:

1. Premi Win + R, digita gpmc.msc e premi Invio per aprire la Console Gestione criteri di gruppo.
2. Fai clic con il pulsante destro sul dominio o su un’unità organizzativa (UO).
3. Seleziona Crea un oggetto Criteri di gruppo in questo dominio e crea un collegamento al contenitore. (Leggi il punto 3 in ⚠️ Aspetti a cui prestare attenzione.)
4. Assegnagli un nome.
5. Fai clic con il pulsante destro sul nuovo GPO e scegli Modifica.
6. Impostazioni GPO da configurare:

• • Abilitare Microsoft Defender Antivirus

Configurazione del computer > Criteri > Modelli amministrativi > Componenti di Windows > Microsoft Defender Antivirus

📌 Imposta Disattiva Microsoft Defender Antivirus su Disabilitato (in questo modo Defender resta attivo).

• • Abilitare SmartScreen

Configurazione del computer > Modelli amministrativi > Componenti di Windows > Esplora file

📌 Imposta Configura Windows Defender SmartScreen su Abilitato e seleziona Avvisa e impedisci l’elusione.

• • Richiedere la crittografia BitLocker

Configurazione del computer > Modelli amministrativi > Componenti di Windows > Crittografia unità BitLocker

• • Abilita le policy pertinenti per:
    • Unità dati fisse: richiedi BitLocker
    • Unità del sistema operativo: richiedi BitLocker
    • Unità dati rimovibili: richiedi BitLocker

• • Disabilitare le condivisioni anonime

Configurazione del computer > Impostazioni di Windows > Impostazioni sicurezza > Criteri locali > Opzioni di sicurezza

📌 Non applicabile alle edizioni moderne di Windows Server, dove è sostituita da impostazioni predefinite più restrittive.

• • Forzare il desktop protetto per le richieste di elevazione

Configurazione del computer > Impostazioni di Windows > Impostazioni sicurezza > Criteri locali > Opzioni di sicurezza

📌 Individua Controllo dell’account utente: passa al desktop protetto per la richiesta di elevazione e impostalo su Abilitato.

Facoltativo: forzare l’aggiornamento dei GPO

Per applicare subito la policy su un dispositivo client, esegui: gpupdate /force

Approccio moderno: passa al catalogo delle impostazioni di Intune Nelle organizzazioni cloud-first, puoi replicare le baseline dei GPO con i profili di configurazione di Microsoft Intune. In questo modo applichi la “baseline dei dispositivi” tramite internet, senza bisogno di una connessione VPN: un requisito fondamentale per un modello Zero Trust “senza perimetro”.

Metodo 4 (trust e applicazione sui dispositivi): assegnare tag ai dispositivi tramite registro per gestire lo stato di trust

Negli ambienti Zero Trust, l’assegnazione di tag tramite registro permette di definire e monitorare localmente lo stato di trust di un dispositivo. Questo metodo usa le voci di registro come base per la logica degli script, le attività di audit e la mappatura delle policy.

📌 Casi d’uso: ideale per contrassegnare i dispositivi come attendibili o gestiti ai fini dei filtri di accesso condizionale, per consentire al tuo RMM di eseguire la scansione e assegnare le policy in base ai contrassegni e per abilitare l’automazione tramite script.

📌 Prerequisiti:

• Privilegi di amministratore per modificare il registro
• RMM o strumento di gestione degli endpoint (facoltativo ma consigliato)
• Accesso a PowerShell o CMD per gli script e la convalida

Passaggio per passaggio:

1. Apri PowerShell come amministratore.
2. Crea il percorso del registro per i contrassegni di trust: New-Item -Path "HKLM:\SOFTWARE\Org\TrustFlags" -Force
3. Imposta i contrassegni di trust: (leggi il punto 4 in ⚠️ Aspetti a cui prestare attenzione.)

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\TrustFlags" -Name "DeviceTrusted" -Value "True"
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\TrustFlags" -Name "ManagedByRMM" -Value "NinjaOne"

4. Convalida le chiavi di registro:
   • Apri il Prompt dei comandi ed esegui: reg query HKLM\SOFTWARE\Org\TrustFlags

Dovresti ottenere un output simile a questo:

HKEY_LOCAL_MACHINE\SOFTWARE\Org\TrustFlags
DeviceTrusted REG_SZ True
ManagedByRMM REG_SZ NinjaOne

Usa l’RMM per cercare questi tag e assegnare di conseguenza script o policy.

📌 Nota: l’accesso condizionale non può leggere direttamente i valori del registro. Usa la conformità personalizzata di Intune per mappare il percorso registro > conformità del dispositivo > accesso condizionale e integrarlo con l’accesso condizionale.

📌 Nota per gli utenti NinjaOne: negli ambienti Windows privi di un RMM, l’assegnazione di tag nel registro può servire a contrassegnare i dispositivi attendibili. Se usi NinjaOne, questo passaggio non è necessario. NinjaOne include già l’assegnazione di tag ai dispositivi, il monitoraggio del registro e l’assegnazione delle policy, quindi gli stati di trust vengono applicati automaticamente senza modifiche manuali al registro.

Metodo 5 (trust e applicazione sui dispositivi): usare PowerShell per applicare le policy locali in tempo reale

Questo metodo usa PowerShell per applicare immediatamente le policy di sicurezza sui dispositivi Windows, senza la latenza tipica dei GPO. Rileva le impostazioni non conformi, le corregge in tempo reale e comunica lo stato al tuo RMM o alla CI per generare avvisi.

📌 Casi d’uso: ideale per applicare le impostazioni di sicurezza durante l’onboarding ed eseguire su richiesta controlli di conformità e script di remediation.

📌 Prerequisiti:

• PowerShell 5.1 o versione successiva
• Privilegi di amministratore per eseguire comandi a livello di sistema
• Facoltativo: RMM o strumento di gestione degli endpoint per l’esecuzione da remoto

Passaggio per passaggio:

1. Apri PowerShell come amministratore.
2. Abilita Windows Firewall:

Set-NetFirewallProfile -Profile Domain,Private,Public -Enabled True

3. Disabilita SMBv1 (protocollo legacy):

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart

4. Controlla l’ultimo accesso per ogni utente:

Get-LocalUser | ForEach-Object {
[PSCustomObject]@{
 User = $_.Name
LastLogon = $_.LastLogon
}
}

5. Integra questi controlli negli script di onboarding o di conformità.

⚠️ Aspetti a cui prestare attenzione

Considerazioni aggiuntive

Tieni conto dei seguenti fattori quando rendi operativa la sicurezza Zero Trust:

Non bloccare i comportamenti legittimi già noti

Le policy di accesso condizionale (CA) si applicano a tutti gli account, a meno che non vengano definite delle eccezioni. Senza le dovute eccezioni, alcuni flussi di lavoro critici possono interrompersi. Ad esempio, gli account di servizio spesso non supportano l’MFA e, se inclusi, non riescono ad autenticarsi. Allo stesso modo, gli IP sicuri potrebbero non aver bisogno di richieste di autenticazione ripetute.

Aggiungi account di servizio, IP sicuri e app critiche per il business alla logica delle eccezioni, così da evitare interruzioni. In questo modo mantieni controlli Zero Trust rigorosi senza interferire con le operazioni quotidiane.

Monitora gli accessi non riusciti e i blocchi delle policy

Zero Trust richiede un monitoraggio continuo. Usa i log di accesso di Microsoft 365 e le query Graph API per analizzare gli andamenti dell’autenticazione, verificare l’impatto delle policy sugli utenti e individuare i rischi emergenti. Così ottieni i dati necessari per perfezionare le regole di accesso e calibrare i livelli di applicazione.

Forma gli utenti finali alla risoluzione autonoma dei problemi

I dipendenti sono la prima linea della tua strategia Zero Trust. Formali a gestire in autonomia i problemi più comuni, come la nuova registrazione all’MFA o le procedure per i dispositivi smarriti. Questo riduce i ticket all’help desk, contiene i tempi di inattività e incoraggia gli utenti a proteggere attivamente account e dispositivi.

Usa l’RMM per testare le policy condizionali e annullare le modifiche

Prima di distribuire le policy di accesso condizionale a tutta l’organizzazione, usa il tuo strumento di monitoraggio e gestione da remoto (RMM) per testarle su un piccolo gruppo pilota. In questo modo puoi individuare in anticipo eventuali attriti, monitorare l’esperienza dell’utente e annullare rapidamente le modifiche se necessario.

Risoluzione dei problemi

Ecco i problemi più comuni che potresti incontrare nel rendere operativa la sicurezza Zero Trust e come affrontarli:

Utenti bloccati fuori dalle app

I filtri dell’accesso condizionale (CA) possono bloccare utenti legittimi che non soddisfano le condizioni definite. Controlla sia le assegnazioni della policy sia i filtri (ad esempio conformità del dispositivo, posizione, rischio dell’utente) per capire perché l’accesso è stato negato.

Dispositivo contrassegnato come non conforme

Un dispositivo può risultare non conforme se mancano funzionalità di sicurezza o se sono configurate male. Le cause più frequenti riguardano Microsoft Defender Antivirus, il TPM, BitLocker o la deriva delle policy di baseline. Verifica che Defender Antivirus sia in esecuzione, che il TPM sia disponibile, che BitLocker sia abilitato e che le policy di baseline siano applicate correttamente.

GPO non applicato

Un GPO potrebbe non venire applicato se non è collegato correttamente o se le impostazioni dell’ambito non coincidono. Esegui: gpresult /h report.html per generare un report delle policy applicate e negate.

📌 Nota:

Start-Process .\report.html

Questo comando apre il file report.html nel browser predefinito e ti permette di esaminare i GPO applicati e negati in un formato chiaro e leggibile.

Verifica poi che il GPO sia collegato alla UO corretta, che l’ambito sia accurato e che le impostazioni di elaborazione loopback siano corrette.

Loop delle richieste MFA

I loop di MFA derivano spesso da configurazioni di sessione errate o da problemi di aggiornamento dei token. Controlla le impostazioni di sessione dell’accesso condizionale (ad esempio frequenza di accesso e sessione del browser persistente) e il comportamento di aggiornamento dei token per le app interessate. Assicurati che le app supportino l’autenticazione moderna, così da evitare richieste MFA ripetute.

Servizi NinjaOne

NinjaOne aiuta a rendere operativo Zero Trust grazie a:

Con NinjaOne, gli MSP possono centralizzare la convalida del trust dei dispositivi e automatizzare l’applicazione di Zero Trust su tutti i tenant, senza creare attriti per amministratori e utenti.

Rendi operativa la sicurezza Zero Trust per rafforzare la protezione di identità ed endpoint

Puoi costruire un ambiente Zero Trust senza frustrare gli utenti né sovraccaricare i tecnici. Accesso condizionale, PowerShell, criteri di gruppo e tag nel registro, uniti a un’automazione intelligente, permettono agli MSP di applicare controlli di sicurezza rigorosi con un impatto minimo sugli utenti.

Questa guida ha illustrato i metodi principali per rendere operativa la sicurezza Zero Trust: creare policy di accesso condizionale adattive, applicare GPO e impostazioni di registro per gli endpoint attendibili e usare PowerShell per applicare e verificare le misure Zero Trust. Ha inoltre evidenziato come NinjaOne semplifichi l’assegnazione dei tag di trust, l’applicazione delle policy e l’automazione tra tenant, rafforzando l’approccio Zero Trust.

Argomenti correlati:

• Come implementare Zero Trust per una cybersecurity più solida: guida pratica
• Come configurare le policy di accesso condizionale in Azure AD
• Che cos’è l’architettura Zero Trust: il principale modello di sicurezza IT spiegato