Zero Trust: verifica accessi, sessioni e privilegi sospetti

Zero Trust funziona solo se la verifica non si ferma al login. Il punto è correlare accessi, sessioni e privilegi per capire se un account sta facendo ciò che dovrebbe fare, nel momento in cui dovrebbe farlo, dal posto in cui dovrebbe farlo.

Questa checklist serve proprio a intercettare tre classi di rischio prima che si trasformino in un incidente: credenziali già usate da terzi, sessioni ancora valide dopo un compromesso e permessi cresciuti nel tempo senza controllo. Se uno di questi elementi è incoerente, la fiducia va ridotta subito.

1. Verifica gli accessi recenti e cerca deviazioni dal profilo normale

Il primo controllo non è “chi è entrato”, ma quanto quell’accesso assomiglia al comportamento atteso. Un login riuscito da una nuova nazione, da un dispositivo mai visto o in un orario anomalo non prova da solo una compromissione, però merita una revisione immediata.

• Login fuori fascia rispetto alle abitudini dell’utente o del servizio
• Serie di tentativi falliti seguiti da un accesso riuscito
• Nuovi device, nuovi fingerprint o nuovi user agent
• IP insoliti, ASN inattesi o provenienza incoerente con la sede

Se hai un IdP o un sistema SSO, confronta i log di autenticazione con quelli di rete e con gli eventi di modifica dell’account. La sequenza temporale spesso vale più del singolo evento: un cambio password seguito da un accesso remoto e poi da una modifica ai metodi MFA è molto più sospetto di un login isolato.

Per ridurre il falso positivo, chiediti sempre se l’evento è compatibile con un cambio di turno, una VPN aziendale, un viaggio o un dispositivo appena sostituito. Se non lo è, alza il livello di attenzione e passa alla verifica delle sessioni.

2. Controlla sessioni attive, token e dispositivi autorizzati

Un accesso anomalo non termina con l’autenticazione iniziale. Spesso il problema continua grazie a sessioni già aperte, refresh token ancora validi, chiavi API non ruotate o dispositivi registrati che nessuno ha revocato.

Qui la domanda pratica è: cosa può ancora agire in nome dell’account? Se la risposta include browser, app mobili, integrazioni SaaS o script automatici, devi sapere esattamente quali elementi sono ancora attivi.

• Sessioni aperte su device non riconosciuti
• Token creati di recente senza motivo operativo chiaro
• App collegate che non risultano approvate
• Chiavi API vecchie ma ancora funzionanti

Se trovi un’anomalia, la priorità è tagliare l’accesso residuo: revoca token sospetti, chiudi le sessioni attive e rimuovi i dispositivi autorizzati che non sono più necessari. In molti casi questa sola azione interrompe l’uso improprio senza toccare il resto dell’ambiente.

Se la piattaforma espone una pagina di sicurezza dell’account, controlla anche i campi relativi a “dispositivi attendibili”, “app autorizzate”, “sessioni recenti” e “chiavi API”. Sono spesso i punti in cui si nasconde l’accesso persistente.

3. Rivedi i privilegi con logica di minimo privilegio

Il principio del minimo privilegio non è uno slogan: è il modo più semplice per limitare il danno quando un account viene compromesso. Un utente con diritti eccessivi può trasformare un phishing banale in una violazione estesa, soprattutto se ha accesso a dati, configurazioni o strumenti di amministrazione.

La verifica non deve fermarsi ai ruoli evidenti. Controlla anche gruppi ereditati, deleghe applicative, permessi su cartelle condivise, ruoli cloud e autorizzazioni concesse a servizi o account tecnici. In ambienti complessi, il privilegio “accidentale” è spesso quello più pericoloso perché nessuno lo guarda più.

Un privilegio non necessario non è solo un eccesso teorico: è una scorciatoia che riduce i passaggi necessari per arrivare a dati o funzioni sensibili.

Se trovi un account con più diritti del dovuto, correggilo prima di cercare altro. Un ticket vecchio, un ruolo provvisorio mai rimosso o un’eccezione nata per emergenza possono restare attivi per mesi e ampliare molto il blast radius di un compromesso.

Segnali che indicano privilegi sospetti

1. Creazione improvvisa di nuovi amministratori o ruoli equivalenti
2. Modifiche a policy di sicurezza, MFA o regole di accesso condizionale
3. Esportazioni massive di dati in un intervallo breve
4. Eccezioni temporanee mai rimosse dopo un intervento di supporto

Se il tuo ambiente usa gruppi annidati o policy ereditarie, verifica anche il percorso di assegnazione: a volte il problema non è il singolo account, ma il gruppo che gli conferisce privilegi troppo ampi senza che sia evidente nella schermata principale.

4. Proteggi il piano di autenticazione e i metodi di recupero

Se l’accesso è il primo bersaglio, il piano di autenticazione deve essere il più robusto e controllato possibile. MFA, password forti e gestione centralizzata delle identità riducono il rischio, ma non bastano se il recupero account o i canali legacy restano aperti.

Le misure che contano davvero sono quelle che impediscono a un attaccante di consolidare il controllo dopo il primo accesso. Per questo devi verificare non solo l’autenticazione primaria, ma anche il recupero e le eccezioni.

• MFA obbligatoria per account amministrativi e accessi remoti
• Blocco degli accessi legacy non compatibili con MFA
• Rotazione periodica delle credenziali sensibili
• Monitoraggio delle modifiche a email e numeri di recupero

Particolare attenzione a reset password, cambio dei metodi MFA e aggiornamento dei contatti di recupero. Sono passaggi legittimi in molti processi IT, ma sono anche i punti più usati per rafforzare un accesso non autorizzato. Se puoi, imposta alert specifici per queste modifiche e richiedi una conferma fuori banda per gli account più critici.

In ambienti con accesso privilegiato, conviene anche separare gli account amministrativi da quelli d’uso quotidiano. È una misura semplice, ma riduce molto la probabilità che una sessione compromessa abbia subito diritti elevati.

5. Automatizza i controlli ripetitivi e definisci una baseline

Molte verifiche diventano davvero utili solo se eseguite con continuità. Un controllo manuale fatto una volta al mese vede troppo poco; un alert ben tarato, invece, può intercettare in pochi minuti un comportamento che non rientra nella baseline.

Automatizza almeno questi punti: accessi anomali, revoca di token vecchi, confronto dei privilegi con il profilo atteso e controllo delle modifiche a MFA e recovery. L’obiettivo non è accumulare notifiche, ma ridurre il tempo tra anomalia e risposta.

checklist sicurezza rapida:
- accessi recenti
- sessioni attive
- token e chiavi API
- ruoli e privilegi
- MFA e recovery
- log di modifica account

Se vuoi rendere la checklist operativa, collega ogni voce a una fonte precisa: log IdP, audit trail del cloud, registro sessioni dell’applicazione, report dei ruoli e storico delle modifiche agli account. Senza un dato verificabile, la revisione resta solo una buona intenzione.

In pratica, il valore del controllo Zero Trust sta nella combinazione di tre domande: chi ha fatto l’accesso, quali sessioni restano aperte e quali privilegi sono davvero necessari. Se riesci a rispondere in modo rapido e documentato a queste tre domande, hai già abbassato molto la probabilità che un’anomalia diventi un incidente.

Se vuoi usare questa checklist in modo operativo, trasformala in una routine: revisione degli accessi critici, verifica delle sessioni residue, controllo dei ruoli privilegiati e correzione immediata delle eccezioni non giustificate. La sicurezza efficace non è solo blocco: è osservazione continua, riduzione della fiducia implicita e rimozione rapida di ciò che non serve più.