Gli account di servizio sono identità non umane (NHI) che applicazioni, script e job usano per autenticarsi tra sistemi. Hanno spesso privilegi elevati, non supportano MFA e le loro password non vengono quasi mai ruotate: per questo sono uno dei bersagli preferiti per Kerberoasting e movimenti laterali in Active Directory. Il Virtual Fencing di Silverfort li protegge creando una recinzione comportamentale: ogni accesso fuori dal perimetro previsto viene bloccato o segnalato in tempo reale, senza agenti e senza modificare gli applicativi.
Perché gli account di servizio sono il rischio nascosto di Active Directory
Backup, schedulazioni, applicazioni, database, agent di monitoraggio: gli account di servizio fanno girare l'infrastruttura IT, ma restano invisibili ai controlli pensati per gli utenti umani. Nei nostri assessment di sicurezza Active Directory li troviamo sistematicamente tra i primi vettori di compromissione, insieme alle vulnerabilità AD più comuni del 2026.
| Debolezza | Perché è pericolosa | Cosa fa Silverfort |
|---|---|---|
| Privilegi elevati | Domain Admin o accesso a dati sensibili 'per comodità' | Limita l'account alle sole risorse previste |
| No MFA | Usati da sistemi automatici: MFA non applicabile | Policy comportamentali come controllo compensativo |
| Password mai ruotate | Credenziali vecchie di anni, esposte a Kerberoasting | Rileva e blocca usi anomali anche a credenziali valide |
| Nessun owner | Non legati a una persona: nessuno sa 'chi fa cosa' | Discovery automatica e mappatura del comportamento |
| Invisibili a SIEM/IAM | Trattati come traffico 'normale' | Analisi dedicata del traffico di autenticazione |
| Movimento laterale | Arma perfetta post-compromissione | Fencing: blocco di RDP, IP o destinazioni fuori perimetro |
Cos'è il Virtual Fencing
Una recinzione virtuale è una regola comportamentale intelligente che consente a un'identità di accedere solo alle risorse, dalle origini e con le modalità attese. Silverfort definisce per ogni account di servizio:
- Da dove può autenticarsi (es. solo da una macchina specifica)
- Cosa può raggiungere (es. solo un server SQL o un servizio definito)
- Quando e come può farlo (orari, protocolli, frequenza)
Qualsiasi accesso fuori da questo perimetro viene intercettato, notificato o bloccato in tempo reale - anche con credenziali valide. È il principio Zero Trust applicato dove non esistono login manuali né interfacce utente.
Come funziona l'hardening dei service account con Silverfort
Discovery automatica
Analizza il traffico di autenticazione e scopre tutte le identità di servizio, incluse quelle dimenticate.
Analisi del comportamento
Mappa da dove e verso cosa si muove ogni singola identità.
Definizione delle regole
Genera policy che consentono solo il comportamento osservato (es. job che accede a un solo server tra le 2 e le 3 di notte).
Reazione in tempo reale
Blocca o segnala qualsiasi deviazione (stesso account via RDP, da altro IP, verso nuove destinazioni).
Il tutto senza agenti e senza modifiche invasive, con copertura garantita anche per gli ambienti legacy che non supportano i controlli moderni.
E nel cloud? La protezione delle NHI
Il fencing si estende alle identità e risorse cloud, con copertura uniforme su:
- Microsoft Entra ID → controllo degli accessi a M365, Azure e applicazioni federate
- AWS / GCP / Azure → protezione delle NHI come Lambda, EC2, Azure Functions e container privilegiati
- SaaS → rilevamento di accessi anomali a Salesforce, ServiceNow, Atlassian e simili — un tassello della strategia di Cloud Security.
FAQ - Account di servizio e Silverfort
Cos'è un account di servizio?
È un'identità non umana usata da applicazioni, script, job schedulati e servizi per autenticarsi verso altri sistemi, senza login interattivo. In Active Directory include account con SPN, account applicativi e gMSA.
Si può attivare l'MFA su un account di servizio?
No. Essendo usati da processi automatici, non possono completare una verifica interattiva. Per questo servono controlli compensativi come il Virtual Fencing, che vincola il comportamento invece dell'identità.
Silverfort richiede agenti o modifiche alle applicazioni?
No. Si integra a livello di infrastruttura di autenticazione (Active Directory, Entra ID) e analizza il traffico esistente: nessun agente sugli endpoint, nessuna modifica agli applicativi, copertura anche di sistemi legacy.
Non basta migrare a gMSA?
I gMSA risolvono la rotazione delle password, ma non limitano cosa un account può fare né rilevano usi anomali. Fencing e gMSA sono complementari: il primo controlla il comportamento, il secondo le credenziali.
Come scopro quanti account di servizio ho nel mio dominio?
Con una discovery del traffico di autenticazione come quella di Silverfort, o come primo passo con un assessment AD e una checklist di audit della postura IT.
Proteggi le tue identità on-premises e cloud con Nexsys
Nexsys - Microsoft Solutions Partner, certificata ISO 9001:2015 e socia Clusit - cura fornitura, implementazione e tuning della piattaforma Silverfort: discovery dei service account, definizione delle recinzioni virtuali su misura e integrazione con la strategia di Identity Security esistente, senza impatti sulle operazioni quotidiane.