Dal concetto alla configurazione reale
Nel mondo della virtualizzazione moderna, il perimetro di rete tradizionale non esiste più. I workload sono dinamici, si spostano tra host, cluster e datacenter, e la maggior parte del traffico è east–west, invisibile ai firewall perimetrali classici.
È in questo contesto che il modello Zero Trust smette di essere uno slogan e diventa una necessità operativa.
Zero Trust: cosa significa davvero in datacenter
Zero Trust non significa “bloccare tutto”.
Significa non fidarsi mai implicitamente di nulla, nemmeno di ciò che si trova “dentro” il datacenter.
Nel concreto:
- nessuna rete è considerata sicura per definizione
- ogni comunicazione deve essere esplicitamente autorizzata
- l’accesso è basato su identità, ruolo e contesto
- la visibilità è continua
In un datacenter virtualizzato, Zero Trust si applica tra le VM, non solo verso Internet.
Il vero problema: il traffico east–west
Nella mia esperienza, la maggior parte degli incidenti interni avviene così:
- una VM viene compromessa
- l’attaccante si muove lateralmente
- trova servizi senza restrizioni
- scala i privilegi
Senza controllo sul traffico east–west, la rete virtuale diventa un’autostrada.
Zero Trust nasce esattamente per spezzare questo schema.
Micro-segmentazione: il cuore del modello Zero Trust
La micro-segmentazione è la traduzione pratica di Zero Trust nel datacenter.
Principio base:
una VM deve comunicare solo con ciò che è strettamente necessario al suo funzionamento
Tutto il resto è negato.
Implementazione pratica sui principali hypervisor
VMware – NSX
Con NSX la micro-segmentazione avviene a livello di singola VM.
Approccio consigliato:
- policy basate su tag, non su IP
- regole semplici e leggibili
- deny by default
- logging attivo sulle policy critiche
Errore comune: creare policy troppo permissive “per non rompere nulla”.
Nutanix AHV – VM Flow
VM Flow è uno degli esempi migliori di Zero Trust integrato nativamente.
Vantaggi:
- nessun componente aggiuntivo
- policy applicate direttamente ai workload
- gestione centralizzata via Prism
Approccio pratico:
- gruppi logici di VM
- policy applicative (app-tier based)
- isolamento immediato in caso di incidente
Proxmox VE – Firewall a più livelli
Proxmox non ha micro-segmentazione avanzata come NSX, ma offre strumenti solidi se usati correttamente.
Strategia efficace:
- firewall host attivo
- firewall VM sempre abilitato
- regole semplici e documentate
- separazione netta delle VLAN
Qui Zero Trust è disciplina operativa, non feature.
Hyper-V – Approccio integrato
In Hyper-V, Zero Trust passa dall’integrazione con:
- firewall host-based
- VLAN
- soluzioni di sicurezza esterne
Il punto chiave è:
- limitare la comunicazione tra workload
- evitare subnet “piatte”
- controllare l’accesso alle VM critiche
Scenario reale: applicazione a 3 tier
Scenario tipico:
- Web
- Application
- Database
Regole Zero Trust:
- Web → Application (solo porte necessarie)
- Application → Database (accesso limitato)
- nessuna comunicazione laterale tra tier
- accesso admin separato dalla rete applicativa
Se una VM Web viene compromessa, il danno si ferma lì.
Monitoraggio e logging
Zero Trust senza visibilità non funziona.
Best practice:
- log su policy di deny
- alert su tentativi anomali
- integrazione SIEM
- revisione periodica delle regole
Ogni deny racconta una storia. Ignorarla è un errore.
Zero Trust non è statico
Un’infrastruttura cambia:
- nuove VM
- nuovi servizi
- nuove esigenze
Zero Trust deve:
- adattarsi
- evolvere
- essere verificato
Automazione e revisione periodica sono obbligatorie.
Conclusione
Zero Trust nel datacenter virtualizzato non è un prodotto da acquistare, ma un modello da applicare.
La tecnologia aiuta, ma:
- senza metodo non funziona
- senza disciplina degrada
- senza visibilità è cieco
Nel prossimo articolo entreremo nel dettaglio della sicurezza delle macchine virtuali, andando oltre l’hypervisor e affrontando la protezione del singolo workload.