Identity Security per Active Directory, Entra ID e sistemi legacy
L'Identity Security è l'insieme di strategie, tecnologie e policy che proteggono le identità digitali di utenti, dispositivi e servizi da furto di credenziali, movimenti laterali e abuso di privilegi. Nel Verizon DBIR 2025 l'abuso di credenziali è il primo vettore di accesso iniziale, nel 22% delle violazioni analizzate: l'identità è oggi il vero perimetro di sicurezza aziendale.
Nexsys implementa progetti di Identity Security per PMI e aziende enterprise italiane con Silverfort e con Cisco Duo: MFA estesa ad Active Directory, RDP, VPN e sistemi legacy che non la supportano nativamente, senza modifiche alle applicazioni. Il percorso parte da una call gratuita di 30 minuti, prosegue con un assessment delle identità e copre design, deployment, formazione (corso SC-300) e monitoraggio continuativo.
In 30 minuti di demo puoi vedere come bloccare Pass-the-Ticket, Kerberoasting e autenticazioni NTLM sospette nel tuo ambiente Active Directory / Microsoft Entra ID.
Prenota una Demo di Silverfort di 30 minuti
Gratuita e senza impegno: vedi Silverfort sul tuo scenario (AD, VPN, RDP, legacy).
Autenticazione a più fattori anche fuori dal cloud, negli ambienti ibridi
Negli ambienti ibridi la MFA non può fermarsi alle applicazioni cloud. Le autenticazioni che passano da Active Directory on-premise, dai desktop remoti, dalle condivisioni di rete, dalle query LDAP, dalle VPN e dalle applicazioni legacy restano spesso protette dalla sola password, ed è lì che un attaccante con credenziali rubate si muove indisturbato. Nexsys estende l'enforcement della MFA anche a questi accessi, senza modifiche alle applicazioni, mantenendo l'integrazione con Microsoft Entra ID e con le policy di Conditional Access già in uso.
Per distinguere tra SMS, Microsoft Authenticator, passkey FIDO2, Windows Hello for Business e altri metodi, e capire quali opzioni sono realmente resistenti al phishing, consulta la guida alla Multi-Factor Authentication (MFA) con confronto dei metodi, limiti e indicazioni per Microsoft Entra ID.
Perché investire in Identity Security ora
Negli ultimi anni, le identità digitali sono diventate l’obiettivo primario degli attacchi informatici. Secondo il Verizon DBIR 2025 le credenziali rubate restano il primo punto d’ingresso degli attacchi, davanti allo sfruttamento delle vulnerabilità e al phishing.
In parallelo, la crescente diffusione del lavoro da remoto e del cloud computing ha aumentato il numero di identità da proteggere, spesso distribuite su più ambienti e dispositivi.
Un'identità compromessa non è un incidente isolato: è il punto d'ingresso per ransomware, esfiltrazione dati e sanzioni GDPR/NIS2. La buona notizia: con un approccio Zero Trust basato sull'identità puoi proteggere anche ambienti legacy e ibridi, senza riscrivere le applicazioni.
Ma oggi, grazie a soluzioni avanzate è possibile implementare modelli Zero Trust efficaci anche su ambienti legacy o ibridi. Approfondisci i metodi moderni di Multi-Factor Authentication (MFA): FIDO2, passkey, Windows Hello e Conditional Access.
Vantaggi per l'azienda
Controllo centralizzato
delle identità, su ambienti on-prem, cloud e ibridi.
Riduzione della superficie d’attacco
grazie a policy adattive e intelligenti.
Migliore visibilità
sugli accessi e sulle attività sospette.
Supporto
alla conformità normativa (GDPR, ISO 27001, NIS2).
Maggiore affidabilità
delle infrastrutture IT, anche in contesti distribuiti o dinamici.
Rischi più comuni
Phishing e social engineering
Tecniche raffinate per sottrarre credenziali.
Movimenti laterali
L’attaccante si muove lateralmente nella rete sfruttando identità compromesse. Si contengono con la segmentazione delle identità privilegiate.
Accessi non controllati o privilegi eccessivi
Mancata gestione dei ruoli e degli accessi.
Account dormienti o non disabilitati
Rappresentano una vulnerabilità spesso trascurata.
Shadow IT e applicazioni non gestite
Che sfuggono ai controlli tradizionali.
Soluzioni Nexsys per l'Identity Security
Nexsys supporta le aziende con un percorso di adozione strutturato, che va dalla consulenza strategica alla formazione degli utenti.
Nexsys propone Silverfort come tecnologia di riferimento per implementare una strategia di Identity Security e di Identity Protection moderna ed efficace.
Silverfort estende le funzionalità di autenticazione, controllo e monitoraggio a tutte le risorse IT, inclusi ambienti legacy, VPN, file server, RDP e altro ancora, senza necessità di agent o modifiche alle applicazioni.
MFA universale
MFA ovunque, anche dove "non si può": SMB, RDP, LDAP, VPN e tool legacy protetti con autenticazione a più fattori, senza toccare il codice applicativo.
Rilevamento movimento laterale
Blocca l'attaccante al primo passo: Pass-the-Ticket, Golden Ticket, Kerberoasting e NTLM anomali rilevati e fermati in tempo reale.
Integrazione AD/Entra ID
Nessuna modifica alle applicazioni: integrazione nativa con Active Directory e Microsoft Entra ID e con le policy di Conditional Access già in uso.
Protezione agentless
Nessun agent su endpoint e server membri: un adapter leggero si installa sui domain controller.
Richiedi l'assessment delle identità
Report con account dormienti, privilegi eccessivi e superfici NTLM esposte nel tuo dominio. Si parte da una call gratuita di 30 minuti, poi la proposta a corpo.
Silverfort o Cisco Duo: quale scegliere per Active Directory
Nexsys implementa entrambe le soluzioni. Coprono lo stesso problema, la seconda verifica sulle autenticazioni di dominio che la MFA cloud non vede, ma lo risolvono con architetture diverse. La scelta dipende da tre criteri: cosa si può installare, cosa si deve proteggere e cosa si paga.
| Criterio | Silverfort (MFA universale) | Cisco Duo Legacy AD Protection |
|---|---|---|
| Componenti da installare | Un adapter leggero su ogni domain controller, nessun agent su server membri, endpoint o applicazioni; osserva le autenticazioni a livello di infrastruttura. | Un filtro (sub-authentication filter) su tutti i domain controller, con riavvio del DC; nessun agent sui member server. Per il logon locale dei DC e dei server Tier 0 serve comunque Duo Windows Logon. |
| Protocolli coperti | Kerberos, NTLM e LDAP/LDAPS, quindi RDP, SMB, PowerShell, PsExec, bind LDAP di applicazioni legacy, VPN e accessi infrastrutturali (SSH, database, VDI secondo integrazione). | Kerberos e NTLM dopo la verifica della password. Il bind LDAP semplice non è garantito: secondo Cisco il filtro può non intercettarlo se non passa da NTLM o GSSAPI, quindi va verificato applicazione per applicazione. |
| Fattori disponibili | MFA dell'identity provider già in uso (Microsoft Authenticator, Duo, Okta e altri): non lega l'azienda a una piattaforma MFA. | Push e telefonata Duo; niente Verified Push né number matching sul filtro di dominio. |
| Policy | Allow, block o step-up per identità, risorsa, origine e rischio; baseline per service account e identità non umane. | Gruppi Active Directory: un gruppo riceve la verifica, un gruppo è escluso (service account). Nessuna rivalutazione dopo il logon iniziale. |
| Comportamento senza cloud | Configurabile per risorsa. | Fail open di default; il fail closed va deciso server per server con accessi di emergenza provati. |
| Costo | Preventivo per numero di identità protette; nessun listino pubblico. L'assessment iniziale Nexsys è a corpo, dopo una call gratuita di 30 minuti. | Richiede l'edizione Advantage: listino USA 6 $ per utente al mese (Essentials 3 $, Premier 9 $; prezzi del 16/10/2026, fonte Cisco). Essentials non include il filtro di dominio. |
| Maturità | Piattaforma dedicata, in produzione da anni su ambienti ibridi. | Versione stabile dal 25/08/2026 (1.0.1), inclusa nel pacchetto Active Directory Defense. |
Quando ha senso Cisco Duo
Quando l'azienda usa già Duo per VPN, applicazioni o Windows Logon e vuole estendere la stessa policy alle autenticazioni Kerberos e NTLM, accettando un componente sui domain controller e il passaggio ad Advantage. Il costo è prevedibile per utente e la messa in opera è graduale: il filtro parte in sola registrazione e si accende su un gruppo pilota. Il dettaglio del LAB e dei limiti è nell'articolo Cisco Duo Legacy AD Protection: MFA su Active Directory; per la piattaforma nel suo insieme (MFA, passwordless, Windows Logon, VPN) c'è la guida Cisco Duo: MFA, passwordless e controllo degli accessi.
Quando ha senso Silverfort
Quando l'esigenza è coprire tutte le autenticazioni di Active Directory, comprese le applicazioni che fanno bind LDAP, senza agent sui server membri e senza sostituire la MFA già adottata. È la strada per chi ha protocolli legacy, service account da governare con policy di rischio e un parco server dove ogni agent in più è un vincolo. Caratteristiche e casi d'uso sono nella scheda Silverfort.
In entrambi i casi il punto di partenza è lo stesso: la mappatura dei flussi di autenticazione reali del dominio, che Nexsys produce con l'assessment delle identità. È da quel report che emerge quale delle due architetture copre davvero gli accessi scoperti.
Cosa configuriamo in Microsoft Entra ID
- Autenticazione resistente al phishing: passkey, chiavi FIDO2 e Microsoft Authenticator con le protezioni attive.
- Accesso condizionale: regole che valutano utente, dispositivo, posizione e rischio prima di concedere l'accesso.
- Account privilegiati: privilegi concessi solo quando servono e per il tempo necessario, con approvazione e registrazione.
- Account di emergenza configurati secondo le buone pratiche.
- Rilevamento degli accessi a rischio: avvisi e blocchi automatici sugli accessi anomali.
- Password e applicazioni non Microsoft: gestione delle password con Keeper e autenticazione con Cisco Duo.
Identity Security con Nexsys: il percorso consigliato
Nexsys supporta le aziende con un percorso di adozione strutturato, che va dalla consulenza strategica alla formazione degli utenti:
Assessment
Analisi delle identità esistenti e valutazione dei rischi.
Design
Progettazione architetturale della soluzione, con policy di accesso su misura.
Roll-out
Deploy tecnico, testing, configurazione e attivazione delle funzionalità.
Formazione
Onboarding degli amministratori IT e sessioni informative per il corso SC-300.
Monitoraggio
Supporto continuativo, aggiornamento policy, revisione periodica.
Nexsys ti affianca con consulenti certificati, competenze reali in ambienti enterprise e una visione orientata alla sostenibilità nel tempo.
Risorse utili e servizi correlati
Approfondimenti tecnici
Per ottimizzare la sicurezza aziendale, scopri i nostri consigli sui 5 errori comuni con la MFA di Entra ID e le 5 azioni per la protezione identità su Microsoft Entra.
Hardening e Audit AD
Questo servizio si concentra sulla governance delle identità e sulla MFA universale. Se la tua esigenza è legata all'analisi profonda delle configurazioni on-premise, al controllo delle deleghe o all'audit delle GPO, scopri il nostro Assessment & Hardening Active Directory.
Migrazioni infrastrutturali
Se stai pianificando la transizione da un dominio legacy a un'architettura moderna o il consolidamento di foreste, consulta la sezione dedicata alla Migrazione Active Directory.
Credenziali non federate
La MFA universale copre le autenticazioni che passano da AD ed Entra ID, ma portali fornitori, apparati, social e SaaS senza SSO restano protetti dalla sola password. Per quel perimetro Nexsys propone Keeper Password Manager per le credenziali che l'SSO non copre, con provisioning SCIM da Entra ID.
Domande frequenti sull'Identity Security
Quanto costa un progetto di Identity Security?
Dipende dal numero di identità e dagli ambienti da proteggere. Si parte da una call gratuita di 30 minuti; l'assessment delle identità è proposto a corpo e produce un piano con i costi del progetto prima di ogni impegno.
Silverfort richiede agent sugli endpoint?
No. Si installa un adapter leggero sui domain controller: nessun agent su endpoint e server membri, nessuna modifica alle applicazioni.
Funziona anche con sistemi legacy che non supportano la MFA?
Sì: con Silverfort SMB, RDP, LDAP, VPN e applicazioni legacy possono essere protetti con MFA universale; con Cisco Duo Legacy AD Protection la copertura riguarda le autenticazioni Kerberos e NTLM che passano dai domain controller.
L'Identity Security aiuta con la conformità NIS2?
Sì: controllo accessi, MFA e audit trail coprono requisiti chiave della direttiva NIS2 e del GDPR.
Contattaci per una demo gratuita o una consulenza personalizzata
Vuoi migliorare la sicurezza delle identità nella tua azienda ma non sai da dove partire? Nexsys ti offre una call iniziale gratuita di 30 minuti, per inquadrare i rischi attuali e individuare le soluzioni più adatte al tuo contesto.
Richiedi una demo dal vivo della tecnologia Silverfort e scopri quanto può essere semplice rafforzare l'accesso alle tue risorse IT.
Preferisci compilare il modulo? Scrivi i tuoi dati qui sotto
Il servizio telefonico è attivo dal lunedì al venerdì dalle 8:00 alle 18:00 al numero 0452456669. Puoi anche compilare il modulo sottostante: