La National Security Agency e la Cybersecurity and Infrastructure Security Agency (CISA) hanno pubblicato le linee guida per la protezione delle VPN che descrivono in dettaglio i fattori da considerare quando si sceglie una rete privata virtuale (VPN) e le migliori configurazioni per implementarla in modo sicuro.
Il foglio informativo aiuterà anche i leader del Dipartimento della Difesa, dei sistemi di sicurezza nazionale e della Base industriale della difesa a comprendere meglio i rischi associati alle VPN.
“I server VPN sono punti di ingresso in reti protette, il che li rende obiettivi interessanti. Diversi attori di minacce persistenti avanzate (APT) di stato-nazione hanno utilizzato vulnerabilità ed esposizioni comuni (CVE) per ottenere l’accesso a dispositivi VPN vulnerabili. Lo sfruttamento di questi CVE può consentire a un malintenzionato di rubare credenziali, eseguire codice in remoto, indebolire la crittografia del traffico crittografato, dirottare sessioni di traffico crittografato e leggere dati sensibili dal dispositivo. In caso di successo, questi effetti di solito portano a ulteriori accessi dannosi e potrebbero comportare una compromissione su larga scala della rete aziendale”, si legge nel comunicato.
Le linee guida descrivono in dettaglio le considerazioni per la selezione di una VPN di accesso remoto e le azioni per proteggere e rafforzare la VPN da compromissioni.
La guida raccomanda l’utilizzo di prodotti VPN testati e convalidati sul National Information Assurance Partnership (NIAP) Product Compliant List, che utilizza metodi di autenticazione avanzata come l’autenticazione a più fattori, applicando tempestivamente patch e aggiornamenti e riducendo la superficie di attacco della VPN disabilitando le funzionalità non correlate alla VPN.
“La NSA sta rilasciando questa guida come parte della nostra missione per aiutare a proteggere il Dipartimento della Difesa, i Sistemi Nazionali di Sicurezza e la Base Industriale della Difesa”, conclude il comunicato.
