Hardening dei sistemi: cos'è e come farlo in azienda

L'hardening dei sistemi è l'insieme di attività con cui si riduce la superficie di attacco di server, computer, dispositivi di rete e applicazioni, eliminando ciò che non serve e configurando in modo sicuro ciò che resta. In pratica significa "irrobustire" un sistema rispetto alle impostazioni predefinite, che di solito privilegiano la facilità d'uso e non la sicurezza. In questa guida vediamo cos'è, quali misure applicare e come verificare che funzioni.

Hardening dei sistemi: definizione in breve

Il termine inglese hardening significa letteralmente "indurimento". In ambito informatico indica il processo di messa in sicurezza di un sistema attraverso una configurazione restrittiva e controllata. Non è un prodotto da installare, ma un'attività continua che parte da una domanda semplice: che cosa deve fare davvero questo sistema, e che cosa no?

Il risultato è una configurazione di riferimento, spesso chiamata baseline, da applicare in modo uniforme a tutti i sistemi della stessa categoria. Esistono guide pubbliche molto utilizzate come punto di partenza, per esempio i CIS Benchmarks, le baseline di sicurezza dei produttori e le linee guida di enti come il NIST. Vanno però sempre adattate al contesto, perché una configurazione troppo rigida può bloccare applicazioni legittime.

Perché serve: superficie di attacco e vulnerabilità

Ogni servizio attivo, porta aperta, account o componente software è un potenziale punto di ingresso. L'insieme di questi punti è la superficie di attacco. Più è ampia, più è probabile che qualcosa venga dimenticato, resti senza aggiornamenti o sia configurato male.

Molti incidenti non dipendono da tecniche sofisticate, ma da situazioni ordinarie:

credenziali predefinite mai cambiate;
servizi di amministrazione esposti senza necessità;
account con privilegi superiori al necessario;
software obsoleto o funzioni attive per impostazione di fabbrica;
protocolli datati ancora abilitati per compatibilità.

Un buon hardening non elimina tutte le vulnerabilità, ma toglie all'attaccante molte delle strade più semplici e limita i danni quando una falla viene sfruttata. È un principio di difesa in profondità: se un livello cede, gli altri rallentano o bloccano l'intrusione.

Le principali misure: configurazioni, servizi inutili, account e privilegi

Al di là della tecnologia specifica, le misure di irrobustimento seguono poche regole ricorrenti.

Configurazioni sicure di base

Si parte da una baseline documentata: impostazioni di sistema operativo, politiche di password, registrazione degli eventi, crittografia dei dischi, protocolli ammessi. Ogni scostamento dalla baseline deve avere un motivo e un responsabile. Conviene salvare la configurazione in un modello (immagine, script o strumento di gestione centralizzata) per applicarla in modo ripetibile ed evitare differenze tra macchine.

Rimozione di servizi e software inutili

Ciò che non è installato non può essere attaccato. Vanno disattivati servizi, porte, funzioni dimostrative, componenti opzionali e applicazioni non necessarie. Un inventario aggiornato di ciò che è in esecuzione su ogni sistema è il presupposto per decidere cosa togliere.

Gestione di account e privilegi

È l'area dove il rendimento dell'hardening è spesso più alto:

applicare il principio del privilegio minimo: ogni utente e servizio ha solo i permessi indispensabili;
separare gli account amministrativi da quelli di uso quotidiano;
disattivare o rinominare gli account predefiniti e rimuovere quelli inutilizzati;
adottare l'autenticazione a più fattori, soprattutto per accessi remoti e amministrativi;
rivedere periodicamente permessi e appartenenza ai gruppi.

Log e monitoraggio

Un sistema ben configurato registra gli eventi rilevanti (accessi, modifiche di configurazione, errori di autenticazione) e li invia a un punto di raccolta centrale. Senza log affidabili è difficile accorgersi di un'anomalia o ricostruire un incidente.

Hardening di server, endpoint e rete

Le stesse regole si declinano in modo diverso a seconda dell'ambito.

Server

Sui server contano soprattutto l'installazione minima (solo i ruoli necessari), la limitazione degli accessi amministrativi, la protezione dei servizi esposti e la separazione tra ambienti di test e produzione. Vanno curati anche i backup, che devono essere protetti e verificati, e la gestione dei segreti, come chiavi e password applicative, che non dovrebbero mai restare in chiaro in file di configurazione.

Endpoint

Per postazioni di lavoro, portatili e dispositivi mobili la messa in sicurezza comprende cifratura del disco, blocco automatico dello schermo, limitazione dei diritti di amministratore locale, controllo delle applicazioni installabili e protezione antimalware o EDR. Poiché gli endpoint sono numerosi e dispersi, la gestione centralizzata delle configurazioni è quasi indispensabile.

Rete

Sulla rete l'obiettivo è ridurre ciò che è raggiungibile e limitare i movimenti laterali:

segmentare la rete separando utenti, server, dispositivi ospiti e sistemi critici;
configurare firewall con regole esplicite e a "negazione predefinita";
cambiare le credenziali di router, switch e access point e disattivare l'amministrazione da interfacce non necessarie;
disabilitare protocolli non sicuri o obsoleti;
proteggere il Wi-Fi aziendale con cifratura e autenticazione robuste.

Lo stesso vale per cloud e servizi SaaS: le impostazioni di default non sono sempre adatte, e spetta all'azienda controllare permessi, esposizione pubblica dei dati e autenticazione.

Hardening, patch management e vulnerability assessment

Queste attività si completano a vicenda, ma non coincidono.

Hardening: riduce la superficie di attacco e fissa configurazioni sicure.
Patch management: mantiene aggiornato il software correggendo le vulnerabilità note dei componenti che restano in uso.
Vulnerability assessment: individua in modo sistematico vulnerabilità e configurazioni errate, assegnando una priorità ai problemi trovati.

Un sistema aggiornato ma configurato male resta esposto, così come un sistema ben configurato ma mai aggiornato. Il ciclo corretto prevede di applicare la baseline, aggiornare con regolarità, scansionare per trovare scostamenti e nuove vulnerabilità e correggere in base al rischio. Molti strumenti di scansione includono controlli di conformità alle baseline, utili per capire quanto i sistemi reali si discostano da quelli previsti.

Va ricordato che le configurazioni tendono a "derivare" nel tempo: modifiche urgenti, nuove installazioni e interventi manuali allontanano progressivamente i sistemi dalla situazione di partenza. Per questo il controllo deve essere periodico e, dove possibile, automatizzato.

Come verificare l'hardening con un penetration test

Applicare una baseline non garantisce che funzioni come previsto. Un penetration test serve proprio a verificarlo dal punto di vista di un attaccante: specialisti autorizzati cercano di sfruttare debolezze di configurazione, credenziali deboli, servizi esposti o errori nella segmentazione, e documentano che cosa è riuscito e con quale impatto.

A differenza di una scansione automatica, il test manuale mette in relazione più debolezze apparentemente minori e mostra se, concatenate, permettono di arrivare a dati o sistemi critici. Le evidenze raccolte indicano quali misure di irrobustimento sono efficaci e dove la baseline va corretta.

Alcune indicazioni pratiche per ottenere il massimo:

definire con chiarezza perimetro, obiettivi e regole d'ingaggio prima del test;
eseguirlo dopo aver applicato le misure principali, non al loro posto;
assegnare responsabili e scadenze alle correzioni emerse;
ripetere una verifica mirata per confermare che i problemi siano stati risolti;
rifare il test dopo cambiamenti significativi di infrastruttura o applicazioni.

Hardening e NIS 2

La direttiva NIS 2 (direttiva UE 2022/2555, recepita in Italia con il D.Lgs. 138/2024) impone ai soggetti rientrati nel suo ambito di adottare misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi di cybersicurezza. Tra gli ambiti indicati figurano la sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi, la gestione e la divulgazione delle vulnerabilità, il controllo degli accessi e la valutazione dell'efficacia delle misure adottate.

La norma non prescrive una procedura tecnica specifica, ma l'irrobustimento delle configurazioni è uno dei modi più concreti per dimostrare di aver adottato misure adeguate. Per un'azienda coinvolta, conviene:

verificare se rientra nell'ambito di applicazione e con quale classificazione;
documentare baseline, eccezioni e responsabilità;
collegare hardening, aggiornamenti e verifiche periodiche in un processo tracciabile;
conservare le evidenze di test e correzioni.

Per gli obblighi esatti è opportuno fare riferimento al testo normativo e alle indicazioni dell'autorità competente, oltre che a un consulente qualificato.

Da dove cominciare in azienda

Non serve mettere in sicurezza tutto in una volta. Un percorso realistico è questo:

Inventario: sapere quali sistemi, servizi e account esistono.
Priorità: partire dai sistemi esposti su Internet e da quelli che gestiscono dati critici.
Baseline: scegliere uno standard di riferimento e adattarlo.
Applicazione: introdurre le modifiche gradualmente, testandole prima in un ambiente controllato.
Controllo: scansioni periodiche e penetration test per misurare i risultati.
Manutenzione: aggiornare la baseline quando cambiano minacce, software e infrastruttura.

Domande frequenti

Che differenza c'è tra hardening e patching?

Il patching corregge vulnerabilità note installando aggiornamenti. L'hardening riduce invece la superficie di attacco con configurazioni più sicure e rimozione di ciò che non serve. Le due attività sono complementari.

L'hardening può bloccare le applicazioni aziendali?

Sì, se applicato senza test. Per questo le modifiche vanno provate in un ambiente di prova, introdotte per gradi e documentate, prevedendo eccezioni motivate dove serve.

Ogni quanto va ripetuto?

Non esiste una scadenza valida per tutti. Conviene rivedere le configurazioni a ogni cambiamento rilevante e verificare periodicamente lo scostamento dalla baseline con scansioni e test.

Esistono standard di riferimento?

Sì: i CIS Benchmarks, le baseline dei produttori di sistemi operativi e le linee guida di enti come il NIST sono punti di partenza diffusi. Vanno adattati alle esigenze dell'organizzazione.

Il penetration test sostituisce l'hardening?

No. Il test non protegge nulla da solo: verifica se le misure applicate reggono a un attacco reale e indica cosa migliorare.