Dispositivo Non Autorizzato (Rogue Device)

Un dispositivo non autorizzato si definisce per una discrepanza, non per il suo tipo. Una tastiera, una chiavetta USB o uno switch di rete sono hardware comune. Diventa non autorizzato quando viene collegato a un computer o alla rete e non compare nella configurazione approvata registrata per quella macchina.

Il divario si riconosce più facilmente confrontandolo con il registro della gestione degli asset hardware. La maggior parte dei dispositivi non autorizzati non viene piazzata da un attaccante. Sono il sottoprodotto di attività quotidiane ordinarie che nessuno ha registrato, per questo il problema emerge di solito nella gestione degli asset IT e non in un singolo allarme di sicurezza.

I dispositivi non autorizzati entrano di solito nell'ambiente attraverso una di cinque vie, e nessuna di esse richiede un intento malevolo:

Un dispositivo non autorizzato è un divario tra ciò che l'IT ritiene in funzione e ciò che è effettivamente collegato. Questo divario ha conseguenze che vanno oltre un registro degli asset disordinato:

• Punto cieco per la sicurezza. Un dispositivo fuori dalla configurazione sfugge anche ai controlli applicati all'hardware gestito, come patch, politiche di crittografia e monitoraggio. Diventa un punto di ingresso facile o una via di uscita non monitorata per i dati.
• Rischio di esfiltrazione dei dati. Un dispositivo di archiviazione o un adattatore di rete non registrato può trasferire dati senza comparire in alcuna traccia di audit basata sull'inventario approvato.
• Esposizione alla conformità. Le normative e le policy interne che richiedono un inventario hardware completo e accurato vengono indebolite da ogni dispositivo che l'inventario non conosce.
• Costi operativi. L'hardware non tracciato falsa la pianificazione della capacità, complica le decisioni su garanzia e ciclo di vita e fa perdere tempo quando un guasto va ricondotto ad apparecchiature che nessuno ha registrato.

Il rilevamento confronta ciò che è collegato con ciò che dovrebbe esserlo. Quattro passaggi lo rendono continuo, e la scoperta è il passaggio che porta alla luce ciò che nessuno aveva registrato:

1. 1

   Confrontare la configurazione

   Ciò che è fisicamente collegato a un computer viene verificato rispetto alla sua configurazione approvata. Ogni discrepanza, in entrambe le direzioni, viene segnalata.

2. 2

   Scoprire nuovo hardware

   Gli agenti sugli endpoint gestiti riportano ciò che rilevano collegato. Le scansioni periodiche fanno emergere il nuovo hardware prima che qualcuno apra un ticket.

3. 3

   Verificare in modo continuo

   Le apparecchiature vengono sostituite tra un audit e l'altro. I conteggi una tantum perdono i dispositivi che compaiono e scompaiono nel frattempo, quindi il monitoraggio deve essere costante.

4. 4

   Avvisare le persone giuste

   Un dispositivo segnalato è utile solo se arriva al team IT o di sicurezza responsabile del computer o della sede interessata.

Un dispositivo non autorizzato non coincide con un dispositivo non gestito in generale. Non gestito significa solo che nessuno lo amministra, collegato o meno. Un dispositivo non autorizzato è invece specificamente uno che è collegato ora, in contraddizione con il registro.

Si sovrappone allo Shadow IT, ma è più ristretto, perché lo Shadow IT descrive più spesso software, servizi cloud o account non autorizzati che hardware fisico. Si distingue anche da un dispositivo malevolo o contraffatto piazzato da un attaccante. La maggior parte dei dispositivi non autorizzati sono apparecchiature comuni che semplicemente non sono mai state registrate.

In Anexet Inventory, la scheda di ogni computer ha una scheda Dispositivi che elenca l'hardware trovato dal rilevamento. Ogni dispositivo viene associato tramite il suo identificatore di dispositivo, quindi un componente collegato ma assente dalla configurazione riceve un'icona di avviso. Lo screenshot mostra la scheda di un server in cui i dispositivi collegati non inclusi sono segnalati in questo modo.

Parti da un elenco chiaro di ciò che conta come hardware configurato per ogni computer, poi lascia che il rilevamento segnali ogni differenza. Gli avvisi di rilevamento devono far scattare un aggiornamento dell'inventario, non solo la rimozione del dispositivo. Chi sostituisce un monitor o aggiunge una stampante ha bisogno di un modo semplice per registrare la modifica, non di un incentivo a saltarla.

Gli strumenti di rilevamento riducono il divario. Mantenere il registro aggiornato è ciò che lo mantiene ridotto.

Per approfondire: Come prevenire l'accesso non autorizzato al tuo computer.