Web Isolation: un controllo della navigazione disruptive

Siamo ormai ben consapevoli che i due principali vettori d’attacco che ben sfruttano l’attack kill chain per raggiungere il client sono mail e web.

L’azienda ha bisogno di implementare policy che possano garantire di raggiungere e mantenere nel tempo il livello di sicurezza dei dati aziendali desiderato, evidentemente definito a seguito di un Risk Assessment.

Il controllo della navigazione web gioca un ruolo fondamentale nel prevenire le infezioni dei client ed il fatto che gli utenti navighino con una moltitudine di dispositivi con vulnerabilità e criticità differenti rende complesso per l’azienda mantenere sotto controllo il perimetro del rischio.

Ma quando si parla di web security si ha a che fare da un lato con gli utenti, ciascuno con la propria sensibilità al problema security ed abitudini differenti e dall’altro il web, dinamico, “nuovo tutti i giorni” e ricco di insidie.

Restringere il perimetro delle web category e delle web application ammesse o delle operazioni ammesse su di esse… destabilizza ed infastidisce l’utente, abituato ad una navigazione generalmente libera, più o meno consapevole dei rischi che corre. Richiede peraltro da parte dell’IT un’attività di fine tuning sugli strumenti di policy e controllo che non sempre riconoscono alla perfezione i contenuti dei siti web, soprattutto nuovi. Può capitare di dover applicare policy all’accesso a siti web “dubbi” con il rischio di “chiudere più del dovuto” piuttosto che “rischiare oltre il necessario”.

Il confine tra sicurezza e fruibilità è sempre molto delicato, raggiungendo complessità difficili da governare soprattutto quando l’utente in questione riveste ruoli apicali in azienda.

E se esistesse una tecnologia disruptive in grado di stravolgere il modo con cui accediamo ai contenuti web? Potremmo permetterci di smettere di fare web security policy?

… non esageriamo…

Avete mai sentito parlare di Web Isolation o di Remote Browsing?

Immaginiamo di disporre di un browser “remoto” installato su un client virtuale nel DC di un vendor amico che fa “il lavoro sporco” al posto nostro e che ha piena libertà di accedere a qualsiasi contenuto web e che il contenuto a cui gli utenti chiedono accesso venga scaricato, interpretato ed eseguito remotamente e che il risultato dell’elaborazione arrivi al client sottoforma di uno “streaming interattivo”... un eventuale malware o exploit scaricato durante la navigazione su siti compromessi danneggerebbe la virtual machine che di fatto a fine sessione verrebbe comunque cancellata. In pratica il cosiddetto “air gap” tra il browser dell’utente ed il sito web richiesto dall’utente riuscirebbe a prevenire qualsiasi genere di attacco convenzionale, interrompendo di fatto l’Attack Kill Chain più conosciuta. L’utente potrebbe navigare su qualsiasi sito web, sicuro ed insicuro, compliant o meno, con qualsiasi dispositivo e da qualsiasi location senza però compromettere la sicurezza della rete aziendale né tantomeno dei dati disponibili sul suo device.

E quando lo “streaming” non basta? State pensando al download di un file?

Nessun problema.

Le logiche tradizionali valgono sempre ed in quel caso il browser dell’utente aprirà sessioni “parallele” e tradizionali per accedere ai contenuti richiesti.

E le prestazioni? Com’è navigare in streaming?

Per quanto possa essere performante la connettività di cui disponiamo non sarà mai paragonabile ai Gbps di cui dispone il vendor amico in DC. In alcune circostanze potremmo vedere il contenuto in streaming prima di quanto pensassimo, prima di quando l’avremmo visto se ci avessimo acceduto direttamente.

E le operazioni dell’utente sul browser locale? Magari da Android, da iOS, da Linux, …

Il browser locale al client inoltrerà le operazioni al browser remoto che le ripeterà in tempo reale sul sito web di destinazione, rendendo tutto trasparente all’utente che non avrà modo di percepire alcuna differenza dalla navigazione “normale”.

La Web Isolation potrebbe di fatto diventare il metodo unico per la navigazione di tutti gli utenti aziendali.

Una serie di considerazioni ci portano a ritenerlo particolarmente utile nella gestione di quei famosi utenti “complessi” che dicevamo e che devono accedere ovunque senza controllo oppure nella navigazione su quei siti web pericolosi o dubbi, ai quali però resta indispensabile accedere.

Chi si occuperà di discriminare quale utente deve navigare mediante Web Isolation o per quali categorie web o siti specifici prevederla? La strategia tecnologica più idonea potrebbe variare da contesto a contesto ma il tutto può essere riassunto con il concetto di proxy chain.

A cura di

FABRIZIO GRASSO - Business Manager Security Lantech Longwave