Cos’è la sicurezza delle applicazioni?

Per “sicurezza delle applicazioni” (appsec) intendiamo i processi, le tecnologie e gli strumenti preposti a proteggere le applicazioni, comprese quelle web, cloud e SaaS, dalle minacce interne ed esterne. Poiché le applicazioni web spesso contengono dati sensibili e sono disponibili su più reti, la sicurezza delle applicazioni web è diventata una parte essenziale della strategia di sicurezza informatica. Le soluzioni per la sicurezza delle applicazioni web possono includere componenti hardware, come un router crittografato, e software, come analytics della sicurezza, oltre a strumenti come un application delivery controller (ADC) con un web application firewall (WAF) e funzionalità di runtime per proteggere le API.

Cos’è la sicurezza delle applicazioni cloud?

La sicurezza delle applicazioni cloud consiste nelle soluzioni e nelle strategie per proteggere lo scambio di dati all’interno di ambienti cloud collaborativi come Slack, MS Office 365 e Sharefile. Le misure comunemente adottate per la sicurezza delle applicazioni cloud includono i test di sicurezza delle applicazioni e i Secure Web Gateway per proteggere gli utenti delle filiali. Considerata la crescita nell’adozione delle applicazioni cloud e SaaS, dei dispositivi IoT e delle applicazioni di hosting nel cloud, la sicurezza delle applicazioni cloud è una parte importante di qualsiasi soluzione di sicurezza delle applicazioni.

Un altro elemento importante della sicurezza delle applicazioni cloud è la sua architettura. In un contesto in cui l’infrastruttura tecnologica aziendale continua ad evolversi verso distribuzioni cloud ibride e ambienti multi-cloud, è importante che le aziende dispongano di una visione olistica sulla configurazione della sicurezza delle loro applicazioni cloud. Questa è anche nota come architettura di sicurezza delle applicazioni cloud. Valutando la sicurezza delle applicazioni cloud nel contesto delle connessioni cloud (comprese distribuzioni di datacenter aziendali, gateway di applicazioni, servizi cloud e sistemi di verifica delle identità), le aziende possono progettare un’architettura di sicurezza delle applicazioni cloud in grado di proteggere i dati sensibili all’interno delle applicazioni cloud.

  • Perché la sicurezza delle applicazioni aziendali è importante?
  • Quali sono gli strumenti per la sicurezza delle applicazioni comunemente utilizzati?
  • Best practice per la sicurezza delle applicazioni

Perché la sicurezza delle applicazioni aziendali è importante?

Le aziende si affidano alle applicazioni da decenni, tuttavia la maggior parte delle applicazioni aziendali attualmente richieste dagli utenti finali sono applicazioni web o cloud. Per le aziende è anche diffuso l’utilizzo di storage sul cloud e la distribuzione sul cloud delle proprie applicazioni. Tutto ciò aumenta il rischio di attacchi, poiché la tecnologia del server web, i contenitori di dati e le tecnologie a supporto dei siti web come CGI, Java, JavaScript, PERL e PHP hanno tutti vulnerabilità di sicurezza sottostanti. Anche i browser e le altre applicazioni client che comunicano con le applicazioni abilitate per il web presentano punti deboli che possono essere sfruttati dai malintenzionati. Poiché tutte queste applicazioni web sono connesse a più reti e/o cloud, una violazione di un’applicazione web può comportare facilmente la compromissione di un’intera azienda.

Il 43% delle violazioni include attacchi alle applicazioni web1. Inoltre, in un contesto in cui le aziende si affidano maggiormente ai servizi cloud, è probabile che i malintenzionati aumenteranno gli attacchi alle applicazioni cloud, alle applicazioni ospitate tramite un’infrastruttura cloud e alle altre risorse cloud. La maggioranza delle violazioni della sicurezza delle applicazioni cloud sono motivate dal desiderio di denaro, spesso tramite la cattura di dati sensibili e informazioni private per poi richiedere un riscatto, oppure ottenendo l’accesso e il controllo non autorizzati di un sito web o di un server web. Per ridurre i rischi per la sicurezza, le aziende necessitano di soluzioni di sicurezza software in grado di proteggere l’intera infrastruttura applicativa, comprese le applicazioni cloud, mobile e SaaS.

Quali sono gli strumenti per la sicurezza delle applicazioni comunemente utilizzati?

L’83% delle applicazioni presenta punti deboli in termini di sicurezza, e 1 applicazione su 5 ha almeno un difetto di gravità elevata2. Alla luce di questo, la migliore sicurezza delle applicazioni web consiste in un approccio a più livelli per proteggere le applicazioni web e cloud da vari vettori di attacco. Gli strumenti di sicurezza delle applicazioni sono molti, e possono essere suddivisi in quelli per la sicurezza a livello di sviluppo e per la sicurezza a livello IT.

Sicurezza delle applicazioni a livello di sviluppo

La protezione delle applicazioni parte dal ciclo di vita dello sviluppo del software tramite la creazione di codice sorgente utilizzando pratiche di sviluppo sicure (questo argomento è correlato a DevSecOps). La codifica sicura richiede la consapevolezza delle minacce comuni per le applicazioni web, come sql injection, DDoS, malware, denial of service e broken authentication. L’OWASP Top 103  è un noto elenco delle minacce alla sicurezza delle applicazioni web che gli sviluppatori dovrebbero tenere in considerazione per il loro codice sorgente. Poiché gli aggiornamenti software possono introdurre nuove vulnerabilità delle applicazioni, è importante che gli sviluppatori utilizzino i test di sicurezza delle applicazioni per trovare i punti deboli di un’applicazione ad ogni fase. Questo vale in particolare per le applicazioni open source, perché per i malintenzionati è più facile trovare delle vulnerabilità.

Gartner afferma che i manager IT devono garantire la protezione dai metodi di attacco comuni piuttosto che limitarsi a identificare gli errori di sicurezza nello sviluppo delle applicazioni4. Tanto più quando le organizzazioni si affidano ad applicazioni web non realizzate da loro. La sicurezza del software richiede una difesa in grado di bloccare sia gli attacchi noti, con caratteristiche e precedenti identificabili, sia gli attacchi sconosciuti, che spesso vengono rilevati perché presentano anomalie rispetto al normale traffico sui siti web e nei servizi web di un’organizzazione.

Scoprite come la sicurezza delle applicazioni Citrix può aiutare a mantenere un comportamento di sicurezza ottimizzato.

Semplificando il processo di protezione dell’ecosistema di applicazioni e API, la sicurezza delle applicazioni Citrix offre al reparto IT una visibilità olistica che consente di bloccare le minacce prima che si verifichino violazioni.

Sicurezza delle applicazioni a livello IT

  1. Distribuzione sicura delle applicazioni
    Poiché sempre più organizzazioni adottano un’infrastruttura multi-cloud, queste necessitano di un comportamento di sicurezza delle applicazioni particolarmente affidabile e in grado di proteggere le API e le applicazioni monolitiche e basate su microservizi. La soluzione migliore consiste in una sicurezza per la distribuzione delle applicazioni estremamente affidabile, con un application delivery controller (ADC) dotato di un unico codice di base per tutti i formati ADC. In questo modo, per il reparto IT è più semplice applicare policy di sicurezza ottimizzate in ambienti multi-cloud, come l’inserimento di determinati indirizzi IP in whitelist o blacklist, o l’utilizzo di TLS per crittografare le API in transito tra il client e il server API.
  2. Application delivery management
    Un’altra soluzione di sicurezza della distribuzione delle applicazioni comunemente adottata consiste nell’associare un ADC a una piattaforma di application delivery management (ADM). Le soluzioni ADM offrono visibilità sulla distribuzione di applicazioni monolitiche e basate su microservizi in ambienti distribuiti. In questo modo gli amministratori IT ottengono insight sulle prestazioni e sull’utilizzo di applicazioni e API per evidenziare attività sospette o prestazioni ridotte.
  3. Sicurezza dei dati delle applicazioni
    Poiché le applicazioni accedono ai dati in tutta l’azienda, la sicurezza dei dati delle applicazioni è fondamentale. I metodi più comuni per la sicurezza dei dati delle applicazioni includono la centralizzazione e l’hosting dei dati sensibili all’interno del datacenter aziendale, l’adozione della condivisione sicura dei file per ridurre la perdita di dati e la containerizzazione dei dati in transito e a riposo. Queste misure aiutano a garantire che le applicazioni accedano solo ai dati necessari e che tale accesso sia protetto dagli attacchi informatici.
  4. Web application firewall (WAF)
    In un contesto che vede emergere costantemente nuove minacce alle applicazioni web, è importante che queste vengano protette da attacchi noti e sconosciuti. I web application firewall (WAF) sono una soluzione comprovata, soprattutto quando impiegano un modello di sicurezza positivo che utilizza l’AI e il machine learning per monitorare le interazioni degli utenti e il comportamento delle applicazioni. Ciò consente alle organizzazioni di ridurre gli attacchi sconosciuti, fornisce insight per una remediation più rapida e aiuta a garantire la conformità a standard come PCI-DSS. I web application firewall (WAF) sono spesso integrati negli application delivery controller, ma sono anche disponibili come servizi in modalità hosted o standalone.
  5. Sicurezza degli accessi e policy di sicurezza delle applicazioni
    I lavoratori remoti possono accedere alle applicazioni cloud praticamente ovunque. Questo è il motivo per cui è importante che le organizzazioni adottino strumenti di policy di sicurezza delle applicazioni che garantiscano un accesso contestuale e sicuro a tali applicazioni web e cloud, in modo da allontanare i malintenzionati. Il controllo degli accessi è strettamente legato alla sicurezza Zero Trust, in quanto obbliga gli utenti remoti a verificare la propria identità tramite l’autenticazione multi-fattore prima di concedere l’accesso alle applicazioni cloud. Per semplificare l’esperienza utente degli strumenti di policy di sicurezza delle applicazioni, le soluzioni Single Sign-On (SSO) rappresentano un metodo diffuso per abbinare l’accesso sicuro alla facilità d’uso.
  6. Workspace digitale sicuro
    I dipendenti desiderano accedere alle applicazioni cloud e alle applicazioni ospitate nel cloud da tutti i tipi di dispositivi mobile, anche da quelli personali. Per supportare policy bring your own device (BYOD), garantendo al contempo la protezione delle applicazioni, è utile che i lavoratori remoti accedano a un workspace digitale sicuro per utilizzare tutte le loro applicazioni cloud. Ciò migliora la sicurezza dei dati e delle applicazioni cloud, fornendo ai dipendenti tutto il necessario per lavorare in un unico workspace e consentendo al reparto IT di applicare protocolli di sicurezza aggiuntivi a tale workspace, come un firewall del datacenter in locale.
  7. Sicurezza della rete
    Quando i lavoratori remoti e i dipendenti delle filiali devono accedere alle applicazioni cloud, è possibile che utilizzino connessioni Internet locali prive di una sicurezza informatica affidabile. Per proteggere questa superficie di attacco dal breakout locale di Internet, le organizzazioni dovrebbero adottare una soluzione SD-WAN consolidata con una sicurezza affidabile nella WAN Edge. Ciò dovrebbe includere un firewall stateful che consenta ai reparti IT di definire centralmente le policy di traffico che limitano o respingono il traffico da parte di determinate applicazioni e zone.
  8. Analytics e monitoraggio
    Anche in presenza di regolari test di sicurezza delle applicazioni e di altre misure di sicurezza delle applicazioni cloud, è importante che le organizzazioni abbiano visibilità su tutte le applicazioni SaaS, cloud e mobile e sul modo in cui vengono utilizzate. A tale scopo, il monitoraggio e gli analytics delle applicazioni sono un valido ausilio. Questi strumenti forniscono un assessment continuo dei rischi tra tutti gli utenti e le applicazioni, segnalando comportamenti insoliti per rilevare una minaccia esterna o interna prima che comporti una violazione. Comunemente, gli strumenti di monitoraggio e analytics delle applicazioni sono integrati nelle soluzioni di gestione della distribuzione delle applicazioni per fornire visibilità su tutti gli ambienti dell’infrastruttura di distribuzione delle applicazioni di un’organizzazione.

Best practice per la sicurezza delle applicazioni

Le grandi organizzazioni si affidano in media a 129 applicazioni diverse5, pertanto iniziare dalla sicurezza delle applicazioni può sembrare un’enorme sfida. Tuttavia, ogni organizzazione può iniziare a migliorare la sicurezza della propria infrastruttura applicativa seguendo queste best practice per la sicurezza delle applicazioni:

  1. Assessment della sicurezza delle applicazioni
    La prima best practice per la sicurezza delle applicazioni consiste nell’effettuare un assessment della loro sicurezza. L’obiettivo è mostrare quali applicazioni utilizzate, chi le usa e quali obblighi di conformità o normativi è necessario seguire. Il primo punto vi offre un assessment accurato di quali applicazioni dovete testare e proteggere, mentre il secondo punto vi aiuterà a creare un approccio Zero Trust e ad accedere ai protocolli di sicurezza adatti alla vostra organizzazione. Infine, la domanda sulla conformità vi aiuterà a sapere come garantire al meglio la sicurezza dei dati per qualsiasi informazione privata a cui le applicazioni possono accedere. I requisiti come PCI DSS e HIPAA dispongono di regole proprie per la protezione dei dati nelle applicazioni web.
  2. Test della sicurezza delle applicazioni
    Una volta che avete una visione chiara di tutte le applicazioni e gli utenti, è il momento di testare la sicurezza delle applicazioni web e cloud. Questa best practice per la sicurezza delle applicazioni vi aiuterà a identificare potenziali vulnerabilità e problemi di sicurezza in queste applicazioni, in modo da prevenire future violazioni. Al fine di evitare potenziali pregiudizi o zone d’ombra interne, è utile utilizzare strumenti di terze parti per i test di sicurezza oppure servizi di test di penetrazione.
  3. Affrontare le vulnerabilità
    Ora che i test hanno rivelato potenziali vulnerabilità nelle applicazioni, la best practice successiva per la sicurezza delle applicazioni consiste nell’adozione di un programma di sicurezza per affrontare questi punti deboli. Ciò potrebbe comportare l’implementazione di una rigorosa pianificazione di aggiornamento del software per garantire che tutti i componenti dell’organizzazione utilizzino le patch di sicurezza più recenti. Inoltre, è una buona idea coinvolgere i fornitori di tecnologia esterni o i team responsabili della sicurezza. Infatti, possono aiutarvi a garantire la sicurezza degli accessi, la sicurezza mobile e l’information security. Questo vi aiuterà ad adottare gli strumenti di sicurezza delle applicazioni più adatti al vostro portafoglio di applicazioni, anziché pagare per ciò che non vi serve.

Risorse aggiuntive

Passo successivo