Che cos'è una policy per password debole? Rischi e come correggerla

Che cos'è una policy per password debole?

Una policy per password debole è una configurazione di autenticazione che non impone un'adeguata robustezza delle credenziali, lasciando i sistemi vulnerabili ad attacchi di forza bruta, credential stuffing e password spraying. Classificata formalmente come CWE-521 da MITRE, questa vulnerabilità esiste quando un'applicazione o un sistema consente password che un avversario può realisticamente indovinare, decifrare o testare su larga scala.

Una policy per password debole non richiede una singola riga di codice malevolo. All'attaccante serve semplicemente una credenziale valida. Una volta ottenuta, opera come un utente legittimo, invisibile agli strumenti di sicurezza basati su firme e spesso inosservato per mesi. Il 2025 Data Breach Investigations Report (DBIR) di Verizon ha rilevato che l'abuso di credenziali è il vettore di attacco iniziale più diffuso. Il report 2025 Cost of a Data Breach di IBM ha rilevato che le violazioni basate su credenziali richiedono fino a 186 giorni per essere identificate, una delle tempistiche di identificazione più lunghe tra le categorie di attacco. Si tratta di mezzo anno in cui un avversario accede come qualcuno di cui ti fidi.

Il danno va oltre i singoli account. Le policy per password deboli consentono movimento laterale, escalation dei privilegi e accesso persistente in interi ambienti. Ognuno di questi esiti deriva da una decisione di policy che qualcuno può modificare.

Come funziona una policy per password debole?

Una policy per password debole crea condizioni sfruttabili a più livelli del processo di autenticazione. La vulnerabilità non è un singolo errore, ma una catena di controlli insufficienti che gli attaccanti valutano e sfruttano in sequenza.

L'albero decisionale dell'attaccante

Prima di lanciare qualsiasi attacco alle credenziali, gli avversari eseguono ricognizione della policy. MITRE lo documenta come policy discovery, in cui gli attaccanti mappano le soglie di blocco, i requisiti di lunghezza minima e le regole di complessità per selezionare la tecnica di attacco ottimale evitando al contempo l'identificazione.

La catena di sfruttamento si sviluppa tipicamente in questo modo:

1. Ricognizione. L'attaccante identifica endpoint di autenticazione esposti esternamente, remote desktop protocol (RDP), virtual private network (VPN), Outlook Web Access (OWA) e portali single sign-on (SSO), e analizza le caratteristiche della policy.
2. Selezione della tecnica. In base alle debolezze della policy osservate, l'attaccante seleziona l'attacco con la massima efficienza, abbinando la tecnica allo specifico gap individuato.
3. Acquisizione delle credenziali. L'attaccante ottiene una combinazione valida di nome utente/password tramite la tecnica scelta.
4. Abuso post-compromissione. MITRE classifica questa fase sotto valid accounts, in cui l'avversario opera come un utente legittimo tra accesso iniziale, persistenza ed escalation dei privilegi.

Anche policy di blocco conservative da sole sono insufficienti. MITRE evidenzia la Quad7 campaign, in cui gli attaccanti hanno condotto password spraying usando un singolo tentativo per account nell'arco di 24 ore tramite router small office/home office (SOHO) compromessi. La sola limitazione della frequenza per account non può fermare un attacco modellato per eluderla.

I framework di sicurezza classificano quella catena di errori in tre modi diversi, e quello che citi determina come viene assegnata la priorità alla correzione.

Classificazione OWASP e MITRE

Le policy per password deboli si collocano all'intersezione di tre principali framework di sicurezza, ciascuno dei quali classifica la debolezza da una prospettiva diversa. Comprendere questa mappatura aiuta i team di sicurezza a collegare gli audit delle policy ai flussi di lavoro di gestione delle vulnerabilità e threat intelligence.

La classificazione CWE acquisisce la causa radice, Open Worldwide Application Security Project (OWASP) la raggruppa con i relativi errori di autenticazione, e MITRE ATT&CK mappa il comportamento dell'attaccante che segue. Questa vista stratificata rivela anche che CWE-521 raramente è l'unica debolezza presente.

La debolezza si colloca al livello di astrazione "Base" nella gerarchia CWE, rendendola la classificazione preferita per l'analisi della causa radice e la divulgazione delle vulnerabilità. La sua debolezza padre è CWE-287, collocandola nella più ampia famiglia degli errori di autenticazione che consentono l'accesso non autorizzato.

Debolezze co-mappate in OWASP A07

CWE-521 non appare in isolamento in OWASP A07. La categoria la raggruppa con diverse debolezze correlate che spesso coesistono nello stesso ambiente:

• CWE-307: Assenza di limitazione della frequenza o di blocco, che consente tentativi di forza bruta senza restrizioni
• CWE-640: Meccanismi deboli di recupero della password che aggirano una policy altrimenti solida
• CWE-262/263: Controlli di scadenza della password assenti o inefficaci
• CWE-798: Credenziali hard-coded che nessuna modifica della policy può correggere

Questa co-mappatura è importante perché correggere solo CWE-521, ad esempio imponendo una lunghezza minima maggiore, non risolve l'esposizione più ampia di A07 se le debolezze adiacenti rimangono aperte. Una remediation efficace richiede di affrontare l'intero cluster.

I framework danno un nome alla debolezza. Gli ambienti la producono, di solito attraverso otto lacune ricorrenti.

Cause delle policy di password deboli

Le policy di password deboli raramente derivano da una singola configurazione errata. La maggior parte degli ambienti vulnerabili combina diverse lacune nei controlli che si aggravano a vicenda, trasformando quella che potrebbe essere una debolezza minore se isolata in un percorso di attacco affidabile.

1. Nessuna applicazione della lunghezza minima

La mancata applicazione delle linee guida NIST sulla lunghezza minima, o dell'obiettivo operativo di 15 caratteri di CISA, abilita direttamente i modelli di attacco a forza bruta mappati su CWE-521. I criteri di conformità di NIST affermano che la lunghezza del segreto memorizzato è la metrica più affidabile per determinare la robustezza.

2. Consentire password note come deboli o comuni

Le applicazioni che consentono password come "Password1" o "admin/admin" senza verificarle rispetto a elenchi di password note come dannose sono vulnerabili indipendentemente dagli altri controlli della policy. Le linee guida di autenticazione di OWASP raccomandano di testare rispetto alle peggiori password più comuni come baseline minima.

3. Nessun meccanismo di limitazione della frequenza o di blocco

Senza throttling, brute force attacks hanno successo indipendentemente dai requisiti di complessità. La limitazione della frequenza e la robustezza della password sono controlli indipendenti, e i loro fallimenti si aggravano a vicenda.

4. Archiviazione delle password debole o non sicura

L'archiviazione in testo semplice, cifrata (reversibile) o con hash debole (MD5, SHA-1 senza salt, NTLM) converte una superficie di attacco solo online in una offline, rimuovendo dall'equazione qualsiasi limitazione dell'autenticazione.

5. Meccanismi inefficaci di recupero delle credenziali

Secondo OWASP, le domande di sicurezza basate sulla conoscenza "cannot be made safe". CWE-640, Weak Password Recovery Mechanism, significa che una policy di password robusta può essere completamente aggirata da un flusso di recupero debole.

6. MFA assente o inefficace

La classificazione A07 di OWASP elenca esplicitamente l'assenza dell'autenticazione a più fattori (MFA) come condizione diretta di vulnerabilità. NIST SP 800-63B stabilisce che le password da sole sono appropriate solo per contesti a bassa affidabilità.

7. Regole controproducenti di complessità e rotazione obbligatoria

OWASP osserva che la rotazione obbligatoria e la complessità della composizione dei caratteri incoraggiano gli utenti a riutilizzare password deboli e a creare schemi prevedibili. NIST SP 800-63-3 ha formalmente deprecato queste pratiche nel 2017.

8. Errori organizzativi e di gestione del ciclo di vita

Le carenze nell'igiene delle credenziali, gli account inattivi, le credenziali condivise e gli account di utenti non più presenti rappresentano debolezze operative che nessuna regola sulla complessità delle password affronta. CIS Control 5 le cataloga come debolezze distinte.

Otto lacune, ciascuna piccola di per sé. Insieme spiegano perché una singola credenziale debole diventa un rischio aziendale invece di un ticket per l'helpdesk.

Impatto e rischio delle policy sulle password deboli

L'impatto delle policy sulle password deboli si estende dalla compromissione di singoli account fino a violazioni complete dell'organizzazione, sanzioni normative e danni reputazionali.

Impatto finanziario

Un report IBM del 2024 ha rilevato che il costo medio globale di una violazione ha raggiunto 4,88 milioni di dollari.

Ritardi nell'identificazione

Le violazioni basate su credenziali comportano una delle tempistiche di identificazione più lunghe: fino a 186 giorni per essere identificate, secondo i dati IBM del 2025. Durante questa finestra, gli avversari che operano con credenziali valide si confondono con il traffico legittimo, un modello che SANS descrive come "living off the land." Nulla di ciò che fanno sembra un attacco, perché uno strumento basato su firme non ha alcuna firma per un accesso riuscito.

Esposizione normativa

I framework normativi ora trattano le policy sulle password deboli come carenze di conformità misurabili. PCI DSS FAQ ha stabilito una lunghezza minima obbligatoria della password per gli ambienti delle carte di pagamento a partire da  marzo 2025. Il Product Security and Telecommunications Infrastructure Act del Regno Unito vieta le password predefinite come "admin" per i dispositivi IoT, con sanzioni finanziarie in caso di non conformità.

Rischio aggravato dai dispositivi non gestiti

Il Verizon 2025 DBIR ha rilevato accessi aziendali presenti nei log degli infostealer raccolti da dispositivi che l'impresa non ha mai gestito. Tali credenziali vengono rubate al di fuori dei tuoi controlli e utilizzate al loro interno, lasciando a un modello incentrato sul perimetro nulla su cui operare.

Gli attaccanti non improvvisano nulla di tutto questo. Selezionano da un insieme documentato e ben collaudato di tecniche.

Come gli attaccanti sfruttano le policy sulle password deboli

Tutte le tecniche di attacco alle credenziali rientrano in MITRE ATT&CK, con la tecnica padre che è T1110, Brute Force. Ogni sotto-tecnica prende di mira una diversa lacuna della policy e gli attaccanti selezionano l'approccio che meglio corrisponde alle debolezze che scoprono durante la ricognizione.

Indovinare password (T1110.001)

Gli attaccanti provano sistematicamente password contro gli account target, concentrandosi su SSO, applicazioni cloud e endpoint di autenticazione federata. La voce T1110.001 di MITRE documenta che APT28 effettua tentativi ripetuti per account preso di mira nell'arco di ore o giorni.

• Debolezza della policy sfruttata: Nessuna policy di blocco, lunghezza minima ridotta, credenziali predefinite non modificate.

Password spraying (T1110.003)

Una password, o un piccolo elenco, viene testata su migliaia di account, restando al di sotto delle soglie di blocco per account. La voce T1110.003 di MITRE documenta più gruppi nominati che utilizzano questa tecnica, tra cui APT28, APT29 e Midnight Blizzard.

• Debolezza della policy sfruttata: Schemi di password prevedibili, Season+Year e CompanyName+Number, nessuna identificazione dei fallimenti distribuiti tra gli account, nessuna MFA sui servizi esposti esternamente.

Credential stuffing (T1110.004)

Le credenziali provenienti da dump di violazioni di terze parti vengono testate contro i servizi aziendali, sfruttando il riutilizzo delle password. La panoramica sul credential stuffing di OWASP osserva che gli attaccanti utilizzano anche i dati delle violazioni per aggirare i meccanismi di recupero delle credenziali usando numeri di telefono, indirizzi email e risposte alle domande di sicurezza esposti.

• Debolezza della policy sfruttata: Nessuna applicazione di controlli contro il riutilizzo delle password tra servizi, nessuna verifica delle credenziali compromesse al login, assenza di MFA.

Cracking delle password (T1110.002)

Si tratta di un attacco in due fasi. In primo luogo, gli attaccanti estraggono gli hash delle password dagli archivi delle credenziali, NTDS.dit e /etc/shadow. In secondo luogo, violano gli hash offline su infrastrutture accelerate da GPU utilizzando strumenti come Hashcat e John the Ripper, interamente al di fuori della portata della vittima. Il voce T1110.002 di MITRE documenta FIN6 che estrae gli hash delle password da ntds.dit per la violazione offline e Salt Typhoon che viola password con crittografia debole dai file di configurazione dei dispositivi di rete.

• Debolezza della policy sfruttata: Le password brevi riducono il tempo necessario per la violazione. Gli algoritmi di hashing legacy, MD5, NTLM e SHA-1 senza salt consentono attacchi precomputati.

Kerberoasting (T1558.003)

Qualsiasi utente di dominio autenticato può richiedere ticket di servizio Kerberos per account con Service Principal Names. Questi ticket sono crittografati con l'hash della password dell'account di servizio. Gli attaccanti esportano i ticket e li violano offline. Non sono richiesti privilegi elevati e non è necessaria alcuna ulteriore interazione di rete dopo la raccolta dei ticket.

• Debolezza della policy sfruttata: Account di servizio con password deboli, mancanza di monitoraggio per query SPN in blocco e account di servizio esentati dai requisiti di complessità a livello utente.

Cinque tecniche, un prerequisito: ognuna di esse richiede una password che una policy più rigorosa avrebbe rifiutato. Questo è il punto di leva. Dove viene applicato dipende da quali sistemi sono esposti.

Chi è interessato dalle policy per password deboli?

Le policy per password deboli interessano ogni organizzazione e sistema che utilizza l'autenticazione basata su password. Tuttavia, l'esposizione varia in base al settore, al tipo di sistema e al modello di distribuzione.

Tipi di applicazioni più vulnerabili

La documentazione MITRE ATT&CK identifica servizi e protocolli specifici che gli attaccanti prendono di mira abitualmente:

Settori a rischio più elevato

L'elemento comune tra i servizi sopra indicati è che espongono l'autenticazione direttamente a reti raggiungibili dagli attaccanti. Il rischio si concentra ulteriormente in determinati settori.

• Operatori di infrastrutture critiche affrontano un'esposizione normativa sia dai Cybersecurity Performance Goals (CPG) 2.0 di CISA sia dagli avvisi di threat intelligence operativa. 
• Sanità e servizi finanziari combinano dati di alto valore con ambienti legacy complessi. 
• Le agenzie governative sono soggette ai requisiti di monitoraggio continuo del Federal Information Security Modernization Act (FISMA) e alla conformità con NIST SP 800-63B-4.
• Gli ambienti IoT e di tecnologia operativa (OT) affrontano un problema strutturale: i dispositivi vengono spesso distribuiti con credenziali predefinite o codificate in modo statico che gli amministratori non possono modificare. CISA ha pubblicato un ICS advisory per un dispositivo GPS SinoTrack la cui password predefinita era pubblicamente nota, senza alcun meccanismo che imponesse una modifica.
• Le piccole e medie imprese in genere non dispongono di team di sicurezza dedicati per verificare le policy delle password, applicare l'MFA o monitorare gli attacchi alle credenziali, risultando sproporzionatamente vulnerabili nonostante superfici di attacco più ridotte.

Esempi reali di sfruttamento di policy delle password deboli

Nulla di tutto questo è teorico. Ciascuno dei seguenti incidenti è iniziato con una credenziale, mostrando come policy delle password deboli si traducano in danni operativi e finanziari in diversi settori e tipi di sistemi.

Attacco alla supply chain di SolarWinds (2020)

Una password debole sul server di aggiornamento SolarWinds, esposta da giugno 2018 a novembre 2019, ha concesso un accesso che ha consentito una compromissione della supply chain che ha colpito dipartimenti e agenzie federali degli Stati Uniti.

Attacco ransomware a Colonial Pipeline (2021)

Il più grande oleodotto di prodotti petroliferi raffinati degli Stati Uniti è stato chiuso dopo che gli attaccanti hanno compromesso una singola credenziale su un account VPN legacy senza MFA. L'azienda ha pagato $4.4 million di riscatto in Bitcoin.

Un contemporaneo DOI OIG audit ha rilevato che il Dipartimento degli Interni degli Stati Uniti non aveva implementato l'MFA sugli asset, consentiva il riutilizzo delle password su più account e non disabilitava tempestivamente gli account inattivi, confermando che il modello di fallimento di Colonial Pipeline era sistemico nelle organizzazioni federali.

Target Corporation (2013)

Questa violazione ha esposto decine di milioni di record di carte di pagamento. Una valutazione della sicurezza successiva alla violazione riportata da KrebsOnSecurity ha rilevato che la policy delle password di Target non veniva applicata, che file contenenti credenziali di rete valide erano archiviati su più server e che i sistemi utilizzavano password deboli o predefinite ovunque. I valutatori hanno ottenuto immediatamente l'accesso come amministratore di sistema utilizzando quelle password deboli.

Violazione dei dati di RockYou (2009)

Una vulnerabilità di SQL injection ha esposto password in testo semplice, più di tre decenni dopo l'invenzione dell'hashing delle password. La violazione ha prodotto la wordlist "rockyou.txt", che rimane un dizionario standard di cracking nei penetration test e negli attacchi reali.

Cronologia e storia delle vulnerabilità delle policy delle password

Le debolezze delle policy delle password sono state sfruttate fin dai primi giorni dell'informatica. La seguente cronologia ripercorre le tappe fondamentali dall'invenzione dell'autenticazione basata su password fino ai più recenti cambiamenti normativi e degli standard.

Gli standard sono corretti da anni. Il divario è nell'implementazione. Colmarlo inizia dal sapere dove risiedono effettivamente le policy deboli nel tuo ambiente.

Come rilevare policy password deboli

Individuare password deboli richiede sia l'auditing proattivo delle credenziali esistenti sia il monitoraggio in tempo reale dell'attività di autenticazione. Nessun singolo metodo è sufficiente.

Auditing proattivo degli hash delle password

Estrarre gli hash delle password da NTDS.dit o /etc/shadow ed eseguirli tramite strumenti di cracking per trovare password crackabili prima che lo facciano gli attaccanti. Questa è una tecnica di purple team, che esegue con cadenza pianificata gli stessi strumenti usati dagli avversari contro i propri archivi di credenziali. È particolarmente critica per gli account di servizio con SPN, che sono obiettivi di Kerberoasting. 

Monitorare l'uso della cifratura RC4 nelle richieste di ticket Kerberos ed eseguire l'audit di query SPN in blocco, entrambi indicatori di ricognizione Kerberoasting attiva. Un avviso CISA ha confermato questo rischio: il team ha crackato la password debole di un account di servizio privilegiato utilizzando una comune wordlist dopo aver trovato un /etc/shadow leggibile in un backup accessibile globalmente.

Correlazione delle anomalie di autenticazione basata su SIEM

Le firme chiave da correlare in una piattaforma SIEM includono:

• Credential stuffing: Autenticazioni multiple non riuscite che utilizzano coppie nome utente/password distinte da un singolo IP.
• Spraying: Raffiche di autenticazioni non riuscite con nomi utente a rotazione.
• Minaccia interna: Esecuzione di strumenti di auditing delle password all'interno dell'ambiente.

La correlazione di questi segnali richiede l'ingestione centralizzata dei log e una retention sufficiente a far emergere campagne a lenta evoluzione. Quando le soglie per account non riescono a rilevare attacchi distribuiti, gli approcci comportamentali colmano il divario.

Analisi comportamentale degli attacchi alle credenziali

I controlli basati sul lockout non possono affrontare spraying distribuito, un singolo tentativo per account al giorno o stuffing su larga scala. L'analisi comportamentale lavora sul pattern anziché sulla soglia. 

Segnala caratteristiche anomale del dispositivo, flussi di interazione non umani, posizioni di accesso insolite e accessi simultanei da un singolo account.

Screening del corpus delle violazioni

Metriche FISMA FY2025 di CISA richiedono alle agenzie di verificare su base continua se gli account possono essere compromessi utilizzando credenziali provenienti da violazioni precedenti e password note come deboli, incluse parole del dizionario e il nome utente stesso dell'utente. Questo inquadra lo screening del corpus delle violazioni come un controllo obbligatorio e continuo, non come una verifica puntuale.

Risposta alle minacce dell'identità

Il SANS analisi degli attacchi all'identità definisce Identity Threat Detection and Response (ITDR) come una raccolta di strumenti e best practice per difendere i sistemi di identità, rilevare le compromissioni e consentire una remediation efficiente. La sfida principale è che gli attaccanti che utilizzano credenziali valide si confondono con l'attività legittima. ITDR richiede visibilità dell'identità negli ambienti cloud, on-premises e ibridi, coprendo tutti gli utenti, tutti gli account, umani e di servizio, tutti i diritti di accesso e tutte le configurazioni.

Una volta che sai come individuare la debolezza, il passo successivo è implementare controlli preventivi.

Come prevenire policy di password deboli

La prevenzione richiede di allineare la policy delle password agli standard normativi correnti, affrontando al contempo ciascuna delle otto cause radice.

Applicare una lunghezza minima della password di 15 caratteri

Avviso 2025 di CISA mappa esplicitamente le policy inferiori a 15 caratteri all'abilitazione degli attacchi T1110.001, .002, .003 e .004. Questa è la soglia più fondata operativamente tra tutte quelle provenienti da fonti autorevoli. FAQ PCI DSS richiede una lunghezza minima della password per gli ambienti delle carte di pagamento.

Distribuire MFA resistente al phishing per tutti i punti di accesso

Le linee guida 2025 di CISA specificano MFA resistente al phishing, non semplicemente qualsiasi implementazione MFA. PCI DSS v4.0.1 richiede MFA per tutto l'accesso agli ambienti dei dati dei titolari di carta e accetta le passkey FIDO2 secondo la FAQ 1595. NIST SP 800-63B-4 richiede MFA al livello 2 di garanzia dell'autenticatore (AAL2) e AAL3, con AAL3 che richiede inoltre resistenza all'impersonificazione del verificatore e alla compromissione del verificatore.

Verificare le password rispetto a corpora di violazioni

Controlla tutte le password nuove e modificate rispetto a valori compromessi noti, parole del dizionario e lo stesso nome utente dell'utente. OWASP raccomanda come minimo il test rispetto alle peggiori password più comuni. Le metriche FISMA di CISA richiedono monitoraggio continuo, non controlli puntuali. Sostituisci gli obblighi di rotazione obbligatoria con questo approccio di verifica continua.

Eliminare l'archiviazione non sicura e stabilire la rotazione delle credenziali

Vieta l'archiviazione delle password in testo semplice e sottoponila regolarmente ad audit. Usa algoritmi di hashing robusti con salt: bcrypt, scrypt e Argon2. Un'analisi SANS sulla rotazione delle credenziali identifica che le organizzazioni devono essere in grado di ruotare le credenziali con cadenza settimanale. L'incapacità di farlo indica un'igiene operativa delle credenziali insufficiente. Tale capacità richiede un'infrastruttura dedicata per la gestione dei segreti.

Disabilitare gli account inattivi entro 45 giorni

CIS Controls richiedono l'eliminazione o la disabilitazione degli account inattivi dopo 45 giorni di inattività. SANS identifica la disabilitazione immediata degli account inattivi come un elemento fondamentale dell'igiene di identity and access management (IAM).

Implementare il privilegio minimo con account amministratore dedicati

Limita i privilegi di amministratore ad account admin dedicati. Esegui le attività informatiche generali, la navigazione, l'email e la produttività da account senza privilegi. CISA CPG fa riferimento a NIST SP 800-53 Rev 5 AC-5, Separation of Duties, e AC-6, Least Privilege, come controlli di riferimento.

Distribuire password manager aziendali

Le linee guida sulle password di CISA raccomandano di distribuire un password manager a livello aziendale per applicare credenziali univoche per ogni asset.

Questa è la policy. Gli strumenti sono ciò che la rende applicabile su diecimila account.

Strumenti per il rilevamento e la prevenzione

Affrontare su larga scala policy di password deboli richiede una combinazione di strumenti di audit proattivo, monitoraggio dell'autenticazione e infrastruttura di applicazione delle policy. Le seguenti categorie coprono il panorama principale degli strumenti.

Strumenti di audit e cracking delle password (proattivi)

• Hashcat: audit delle password accelerato da GPU e strumento principale per il cracking proattivo degli hash.
• John the Ripper: Audit delle password gratuito e open source con supporto per più formati di credenziali.

Questi strumenti rivelano quali credenziali nel tuo ambiente cederebbero alle stesse tecniche utilizzate dagli attaccanti. Una volta che sai cosa è crackabile, hai bisogno di visibilità sui tentativi di sfruttamento attivi.

Monitoraggio della rete e dell'autenticazione

• Piattaforme SIEM: Correlano gli eventi di autenticazione tra endpoint, archivi di identità e servizi cloud per rilevare pattern di spraying, stuffing e brute force.
• Soluzioni ITDR: Protezione dell'identità progettata appositamente per il caso in cui l'attaccante possieda già una credenziale valida e si confonda con l'attività normale.

Il monitoraggio fa emergere gli attacchi in corso, ma non li previene. Gli strumenti di enforcement colmano le lacune delle policy che il monitoraggio rivela.

Applicazione delle policy

• Criteri di gruppo di Active Directory: Applicare lunghezza minima della password, complessità e controlli della cronologia in tutti gli ambienti Windows.
• Privileged Access Management (PAM): Archiviare in vault e ruotare automaticamente le credenziali privilegiate, affrontando l'igiene delle password degli account di servizio e degli amministratori.

Queste categorie affrontano auditing, monitoraggio e applicazione in modo indipendente. SentinelOne unifica queste funzioni all'interno di un'unica piattaforma.

Come può aiutare SentinelOne

SentinelOne Singularity™ Platform copre la catena di attacco alle credenziali nell'archivio identità, sull'endpoint e nella risposta.

• Protezione dell'identità. Singularity Identity rileva l'uso improprio delle credenziali e attività di autenticazione anomale in Active Directory e negli archivi di identità cloud. Quando gli attaccanti usano credenziali valide ottenute tramite brute force o credential stuffing, l'AI comportamentale fa emergere l'anomalia senza richiedere una firma nota.
• AI comportamentale sull'endpoint. L'AI comportamentale basata su agent di SentinelOne analizza il comportamento dei processi a livello di dispositivo. Rileva il movimento laterale e l'escalation dei privilegi che seguono un attacco alle credenziali riuscito.
• Storyline technology. Storyline Active Response (STAR)™ ricostruisce l'intera catena di attacco dall'abuso iniziale delle credenziali fino al movimento laterale e all'accesso ai dati, fornendo agli analisti un contesto forense completo. Quando un avversario opera per settimane usando credenziali valide, Storyline collega l'attività in una narrazione unificata invece di lasciare agli analisti il compito di correlare manualmente gli eventi tra strumenti scollegati.
• Purple AI™ per l'indagine. Purple AI™ accelera l'indagine sugli incidenti basati su credenziali consentendo query in linguaggio naturale in Singularity Data Lake. La ricerca di IDC found mostra che i clienti di Purple AI ottengono un'identificazione delle minacce più rapida del 63% e una riduzione del 55% del tempo medio di risposta (MTTR). Gli analisti possono chiedere anomalie di autenticazione legate agli account di servizio e ricevere risultati correlati in pochi secondi invece di passare ore a interrogare più piattaforme.
• AI SIEM e Data Lake. Il data lake e l'AI SIEM di SentinelOne forniscono acquisizione in tempo reale da qualsiasi fonte con normalizzazione Open Cybersecurity Schema Framework (OCSF). AI SIEM opera 100 volte più velocemente delle soluzioni SIEM legacy, così puoi correlare segnali di brute force, spraying e credential stuffing tra telemetria di identità, endpoint e cloud mentre l'attacco è ancora in corso.
• Risposta autonoma. Quando gli attacchi basati su credenziali sono confermati, il motore di risposta autonoma di SentinelOne isola gli endpoint compromessi e arresta il movimento laterale senza attendere l'intervento umano. Nelle 2024 MITRE ATT&CK Evaluations, SentinelOne ha prodotto l'88% di avvisi in meno rispetto alle soluzioni concorrenti. Ciò significa molto meno rumore da analizzare mentre è in corso un incidente legato alle credenziali.

Richiedi una demo per vedere come la Singularity Platform rileva e blocca gli attacchi basati su credenziali nel tuo ambiente.

Ridurre il rischio di identità in tutta l'organizzazione

Rilevate e rispondete agli attacchi in tempo reale con soluzioni olistiche per Active Directory ed Entra ID.

Richiedi una demo

Vulnerabilità correlate

Le policy delle password deboli esistono all'interno di una più ampia famiglia di debolezze dell'autenticazione e della gestione delle credenziali. Comprendere le classi di vulnerabilità correlate ti indirizza verso le esposizioni adiacenti nel tuo ambiente.

• CWE-798: Uso di credenziali hard-coded. Il software contiene credenziali compilate nel codice sorgente, non modificabili dagli amministratori. Nessuna policy operativa sulle password può rimediare a una credenziale incorporata in un binario. CWE-798 deve essere affrontato a livello di ciclo di vita dello sviluppo software. La CWE-259 page riguarda specificamente le password hard-coded, dove le classi Java compilate possono essere decompilate per rivelare stringhe di credenziali.
• CWE-287: Autenticazione impropria. Copre i casi in cui il meccanismo di autenticazione stesso può essere aggirato. La CWE-287 page documenta CVE-2017-14623, in cui un pacchetto LDAP consente l'aggiramento dell'autenticazione usando una password vuota. Anche una policy delle password estremamente rigorosa fornisce protezione zero quando il meccanismo viene aggirato completamente.
• CWE-262: Mancato utilizzo della scadenza delle password. Descrive il mancato rispetto della scadenza delle password. In particolare, questo CWE occupa una posizione insolita: la sua mitigazione, la scadenza obbligatoria, è ora essa stessa messa in discussione come best practice ai sensi di NIST SP 800-63-4. La pagina CWE-262 cita una discussione della community del 2021 intitolata "Time to retire CWE-262 and CWE-263."
• CWE-263: Scadenza delle password con periodo di validità lungo. Il problema opposto rispetto a CWE-262: la policy è presente ma configurata in modo così permissivo da non fornire alcun vincolo significativo sulla durata delle credenziali.
• CWE-307: Restrizione impropria dei tentativi di autenticazione eccessivi. Co-mappato con CWE-521 in OWASP A07, copre l'assenza di meccanismi di limitazione della frequenza o di blocco.
• CWE-640: Meccanismo di recupero password debole. Una policy per password robuste completamente aggirata da un flusso di recupero debole che utilizza domande di sicurezza basate sulla conoscenza.

Se monitori le divulgazioni di vulnerabilità reali, puoi anche vedere quanto spesso questa debolezza compare nei CVE dei prodotti.

CVE correlati

La tabella seguente documenta i CVE legati a policy per password deboli, credenziali predefinite e vulnerabilità dovute a credenziali hardcoded. 

Tutte le voci rimandano a pagine verificate nel database delle vulnerabilità di SentinelOne e sono ordinate dalla più recente alla meno recente. Le CISA Known Exploited Vulnerabilities sono indicate ove applicabile.

Conclusione

Le policy per password deboli restano uno dei fallimenti di autenticazione sfruttati con maggiore costanza perché forniscono agli attaccanti un accesso legittimo. I controlli che le risolvono sono già documentati e già disponibili: lunghezze minime maggiori, MFA resistente al phishing, screening rispetto a corpus di violazioni, hashing con salt e analisi basata sul comportamento. 

Ogni elemento di quell'elenco è una decisione che qualcuno nella tua organizzazione può prendere questo trimestre. Prendetele, e una credenziale valida smetterà di essere una via di accesso all'intero ambiente.