UserLock

UserLock: MFA e controllo accessi per Active Directory, RDP e sessioni Windows

UserLock è una soluzione di identity and access management progettata per rafforzare Active Directory senza stravolgere l’architettura esistente. Il suo valore è applicare controlli di accesso più granulari sugli utenti AD, aggiungendo autenticazione a più fattori, regole contestuali, monitoraggio delle sessioni e controllo degli accessi simultanei su workstation, server, Desktop Remoto, VPN, IIS e scenari ibridi. La pagina ufficiale IS Decisions descrive UserLock come una piattaforma IAM per Active Directory con MFA granulare, SSO, controlli contestuali e gestione real-time delle sessioni. Per il riferimento tecnico del produttore è disponibile la pagina UserLock IAM for Active Directory.

Il punto centrale è operativo: molte aziende hanno ancora Active Directory come sistema primario di identità, ma devono oggi applicare controlli equivalenti a quelli richiesti negli ambienti cloud moderni. Non basta avere password robuste o policy di dominio. Serve verificare chi accede, da dove accede, con quale sessione, in quale fascia oraria, da quale dispositivo e con quale livello di rischio.

In questo scenario UserLock diventa rilevante per aziende che usano ancora domini Windows, RDS, VPN, applicazioni pubblicate, sistemi legacy o ambienti ibridi con Microsoft 365. Può essere inserito in un progetto più ampio di Identity Security, hardening di Active Directory e revisione degli accessi privilegiati.

Perché proteggere Active Directory con MFA e controlli contestuali

Active Directory resta una superficie critica: governa utenti, gruppi, privilegi, server, workstation, applicazioni interne e accessi remoti. Se una credenziale AD viene rubata o riutilizzata, l’attaccante può muoversi su RDP, share di rete, applicazioni legacy, VPN o servizi interni. L’MFA riduce il rischio di abuso delle credenziali, ma da sola non risolve il problema se non viene applicata nei punti realmente esposti.

La differenza tra un MFA generico e un controllo efficace sugli accessi AD sta nella granularità. Con UserLock è possibile definire regole diverse per utenti, gruppi e OU, applicando condizioni su tipo di sessione, origine, fascia oraria, numero di sessioni simultanee e contesto di connessione. Questi controlli sono particolarmente utili per account amministrativi, reparti sensibili, accessi RDP, fornitori esterni, utenti remoti e postazioni condivise.

Prima di introdurre qualsiasi soluzione di controllo degli accessi è opportuno conoscere lo stato reale del dominio. Un Active Directory Security Assessment consente di verificare deleghe, gruppi privilegiati, account dormienti, protocolli legacy, esposizione RDP, configurazioni di logon e debolezze che potrebbero ridurre l’efficacia di una nuova misura di sicurezza.

UserLock: installazione

UserLock richiede per funzionare Windows Server 2008 o versioni successive; per il test ci siamo avvalsi di un sistema Windows Server 2019. Il processo di installazione è stato rapido, coadiuvato da una corposa documentazione online. Per esigenze di ridondanza, UserLock può essere installato su un altro host come server di backup, utile in caso di guasto del server primario.

I primi passi riguardo la console amministrativa di UserLock consistono nell’avvio di una procedura guidata che aiuta a dichiarare il server AD e a configurare un account di servizio con accesso amministrativo a tutti i computer protetti. Successivamente, la distribuzione ai client dell'agente che può essere impostata su automatica oppure è possibile eseguirla manualmente selezionando i computer di AD dal riquadro Distribuzione agente.

È necessario qualche intervento preparatorio in quanto i client Windows richiedono che il servizio di registro remoto e la condivisione di file e stampanti siano abilitati. Una volta selezionato un computer protetto dall'agente, compare un menu a discesa dal quale posso scegliere varie opzioni, per esempio riavviare, spegnere o riattivare il client.

UserLock: dettagli di protezione

UserLock avvia il controllo di tutte le sessioni non appena l'agente viene installato, in modo da poter passare direttamente alla creazione di account protetti. È possibile applicare regole e restrizioni agli account utente e amministratore di AD, ai gruppi e alle unità organizzative ed è possibile creare account temporanei a tempo limitato per eventuali ospiti.

Le regole sono estremamente versatili: è possibile impostare le regole di sessione simultanea, ossia potremo definire il numero di workstation a cui un utente può accedere simultaneamente e applicare restrizioni alle sessioni RDP,  wireless / VPN e IIS. Inoltre, è possibile limitare gli utenti a specifici computer AD e intervalli di indirizzi IP, limitare l'accesso con periodi di tempo, impostare la durata delle sessioni.

Le regole forniscono controlli granulari in quanto possono essere applicate a livello di gruppo AD (per una protezione generale di base di utenti in caso di realtà di grandi dimensioni) e aumentate con regole utente individuali (che hanno la precedenza).

UserLock: controlli utente

Durante il test abbiamo riscontrato che UserLock funzionava molto bene: a differenza di Criteri di gruppo, le regole entrano in vigore immediatamente dopo essere state applicate. Ad esempio, abbiamo impostato i limiti di sessioni simultanee di workstation su più utenti, e quando questi hanno provato ad accedere ad altri computer, superando i loro limiti, hanno ricevuto un popup che li avverte che tale operazione non era consentita.

Inoltre, gli utenti hanno anche ricevuto avvisi nell'istante in cui altri dipendenti hanno tentato di accedere da altre postazioni con le proprie credenziali. Gli amministratori di UserLock possono interagire con le sessioni selezionate, selezionandole nella console e disconnettendo gli utenti, bloccando le workstation e ripristinandole.

Molto interessante la funzione di blocco che consente di bloccare istantaneamente un utente e impedirgli di riconnettersi a qualsiasi sistema mentre si analizzano le sue attività.

UserLock: console web e reportistica

La console UserLock fornisce una visualizzazione in tempo reale di tutte le azioni con la pagina principale che mostra i grafici a torta della sessione, del computer e dell'attività dell'agente. Con IIS in esecuzione sull'host UserLock, con i suoi componenti della console Web installati, potremo visualizzare l'attività in remoto da un browser.

Alcune attività di configurazione non possono essere eseguite dall'interfaccia web, ma abbiamo riscontrato che il livello di dettaglio dell'attività era superiore a quello della console principale. Sono inoltre incluse le versioni per tablet e dispositivi mobili: è possibile visualizzare tutte le attività della sessione, le statistiche storiche della sessione e le azioni di blocco applicate agli utenti selezionati. Il reporting è fatto bene, tanto da soddisfare la conformità al GDPR. Dalla console principale sono disponibili le funzionalità per la generazione di rapporti su uno o tutti i tipi di sessione per periodi di tempo, utenti e gruppi selezionati.

Sono disponibili rapporti dettagliati per le attività di accesso e disconnessione, accessi negati da AD e UserLock, accessi non riusciti e cronologia delle sessioni simultanee. Tali log possono essere programmati per essere eseguiti a intervalli regolari o attivati ​​da un evento e possono essere esportati in una gamma di formati quali PDF, XLS, CSV e HTML.

Test di UserLock - prerequisiti

• Il servizio “Registro di sistema remoto” deve essere abilitato e avviato nei client protetti da UserLock.
• Il servizio UserLock è configurato per l'accesso per impostazione predefinita come account "Servizio di rete". Per alcune operazioni, il servizio UserLock deve essere rappresentanto con un account con privilegi amministrativi nei computer di destinazione. Sul server quindi verificare Local Security Policy - Local Policies – User Rights Assignment – Log on as a service (qui controllare che l’utente sia inserito nel gruppo)
• Il protocollo "Microsoft File and Printer Sharing" (SMB TCP 445) deve essere autorizzato in entrambi i modi tra il server UserLock e i computer protetti da UserLock.
• L’impersonation account richiesto da UserLock deve avere accesso amministrativo sul client in modo da poter installare l’agent.

Installazione

Dopo aver scaricato il file di installazione, Eseguire l’eseguibile sul server host per avviare il processo di installazione. Scegli "Inglese" come lingua preferita e fai clic su "OK".

Clicca su "Avanti" nella pagina "Benvenuto".

Leggere e accettare il Contratto di Licenza e fare clic su "Next".

Lasciare su "Complete" il tipo di installazione e fare clic su "Next".

Clicca su "Install" per avviare il processo.

Una volta completata l'installazione di UserLock, fare clic su "Finish".

Un messaggio popup chiederà se si desidera installare la seconda console fornito assieme a UserLock. Si tratta di una console Web accessibile tramite un browser che consente di gestire l'applicazione da qualsiasi punto della rete. Questo è facoltativo e può essere installata in un secondo momento.

Se si fa clic su "Sì", verranno automaticamente verificati i requisiti per l'installazione di questa console Web e verrà aperta una nuova finestra per installarla. Dopo l'installazione della console Web o se si fa clic su '"No", verrà aperta la Configurazione guidata per configurare la configurazione UserLock. Clicca su "Next".

Essendo la prima installazione dell'applicazione, lasciare selezionato "Server primario" e fare clic su "Next".

Selezionare il dominio per la quale UserLock monitorerà gli accessi. È possibile monitorare l'intero dominio o selezionare unità organizzative specifiche. Clicca su "Next".

Per eseguire l'installazione degli agenti sui vari client, le interazioni remote con sessioni e computer, UserLock deve possedere un account con privilegi amministrativi nei computer protetti. Specificare quindi un account amministratore che può essere utilizzato in questi casi specifici e fare clic su "Avanti".

La configurazione del server UserLock è completa. Fare clic su "Finish" per aprire la console UserLock.

Passaggio successivo

Il passaggio successivo consiste nel distribuire l'agente UserLock nei computer a cui si desidera proteggere l'accesso in rete. Selezionare "Agent distribution" nel menu a sinistra per aprire la visualizzazione distribuzione agente.

Nella visualizzazione verranno visualizzati tutti i computer rilevati nell'area di rete che UserLock deve monitorare. Selezionare le macchine desiderate, quindi cliccare su "Install" nel pannello visualizzato a destra.

Nella finestra centrale verrà aperta una nuova scheda per visualizzare lo stato e i risultati del processo di distribuzione.

Aggiungere gli utenti da proteggere

Cliccare su "Protected accounts" nel menu a sinistra. Quando non è stato ancora creato alcun account protetto, il sistema offre l'opportunità di farlo. Clicca sul pulsante "Protect a new account".

Nel caso sia presente già un account protetto, in questa visualizzazione viene visualizzato un elenco. Nel menu a destra è possibile avviare azioni per gli account protetti. Cliccare sul pulsante "Protect a new account".

Per impostazione predefinita, viene aperta una procedura guidata per guidare l'utente nella definizione dell'account da proteggere. Selezionare Utente o Gruppo.

Se si conosce il nome esatto dell'account utente/ gruppo, è possibile digitarlo direttamente e fare clic su "Next". In caso contrario, fare clic su "Cerca" per avviare la ricerca di Active Directory.

Se la ricerca trova l’utente/gruppo esatto, inserirà il suo nome. In caso contrario, verrà visualizzato un elenco da cui è possibile selezionare il gruppo desiderato. Una volta selezionato l’utente/gruppo, fare clic su "OK" per tornare alla procedura guidata.

L’utente/Il gruppo è stato selezionato. Clicca su "Avanti".

Fare clic su "Finish" per convalidare la definizione dell'account protetto.

Configurare l'MFA tramite Google Authenticator

Importante: l’ora del server e l’ora dello smartphone devono essere sincronizzate; Installare l’app Google Authenticator sullo smartphone. Selezionare l’utente nel menu “protected users” a destra; Nella sezione "Multifactor authentication" impostare nella prima casella "Abilitato" (abilita l'autenticazione a più fattori per questo account), quindi su connection types impostare “All” e poco sotto selezionare “At every logon” (l'autenticazione a più fattori sarà necessaria ad ogni accesso su una workstation) e convalidare con "OK".

Eseguire il login sul client

apparirà questo popup

Quindi, apri l'applicazione dell'autenticatore sullo smartphone. In questo esempio, stiamo usando Google Authenticator:

Fare clic su "Inizia", aggiungi un nuovo account, scegliere « Scansiona un codice a barre » , inquadrare il codice QR mostrato su monitor del client: Authenticator collegherà l’account UserLock allo smartphone.

Immettere il codice dell'autenticazione a più fattori nel passaggio 3 "Immettere il codice di autenticazione"(vedi immagine nella pagina pregedente), quindi selezionare "Verifica e continua".

Ora che l'autenticazione a più fattori è configurata per questo account, l'utente vedrà la seguente finestra di dialogo solo quando è necessaria l'autenticazione a più fattori per accedere.

Cosa consente di fare UserLock

UserLock aggiunge un livello di controllo sopra Active Directory, senza richiedere una migrazione completa dell’identità verso un provider cloud. Le funzionalità principali sono:

• MFA per logon Windows, RDP, RD Gateway, RemoteApp, IIS, VPN e altri scenari di accesso.
• Controllo degli accessi basato su utente, gruppo AD, OU, macchina, indirizzo IP, origine, fascia oraria e tipo di sessione.
• Limitazione delle sessioni simultanee per ridurre account sharing, accessi concorrenti anomali e abuso delle credenziali.
• Monitoraggio in tempo reale delle sessioni attive, con possibilità di bloccare, disconnettere o intervenire rapidamente sugli utenti.
• Reportistica su logon, logoff, accessi negati, tentativi falliti, sessioni simultanee e attività di accesso.
• Applicazione di policy granulari a gruppi e utenti, con eccezioni mirate per casi operativi specifici.

La documentazione funzionale del produttore evidenzia MFA, SSO, controlli contestuali e session management come aree centrali della piattaforma. Per un confronto diretto delle capability è utile la pagina UserLock capabilities.

Scenari in cui UserLock è particolarmente utile

MFA per RDP e accessi amministrativi

RDP è uno dei vettori più delicati negli ambienti Windows. Anche quando non è pubblicato direttamente su Internet, resta spesso accessibile da VPN, reti interne, jump server o segmenti amministrativi. Applicare MFA a RDP, RD Gateway e RemoteApp consente di ridurre il rischio di uso improprio delle credenziali amministrative o tecniche.

Controllo degli account privilegiati

Gli account Domain Admin, amministratori locali, operatori di server, service desk e fornitori esterni non dovrebbero essere trattati come utenti standard. UserLock consente di applicare policy specifiche, limitare origine e orari di accesso, imporre MFA più frequente e verificare in tempo reale le sessioni aperte.

Riduzione dell’account sharing

L’uso condiviso di account tecnici o generici è un problema di audit e sicurezza. Limitare le sessioni simultanee e ricevere alert su accessi concorrenti rende più difficile mascherare attività non autorizzate e migliora la tracciabilità.

Accessi remoti, VPN e ambienti ibridi

Gli scenari di lavoro ibrido aumentano la distanza tra utente, dispositivo e risorsa. In assenza di controlli contestuali, una credenziale valida può essere sufficiente per accedere da posizioni o dispositivi non attesi. UserLock permette di aggiungere condizioni operative agli accessi AD, integrandosi con una strategia più ampia di Modern Workplace sicuro e accesso remoto governato.

UserLock non sostituisce Entra ID: lo integra dove AD resta centrale

In ambienti Microsoft moderni, Entra ID Conditional Access è il riferimento per controllare l’accesso alle applicazioni cloud. Tuttavia, molte aziende mantengono risorse on-premise, RDP, applicazioni legacy, file server, VPN o sistemi che dipendono ancora direttamente da Active Directory. In questi casi UserLock copre un’area diversa: porta controlli forti dentro il dominio AD e sui logon Windows, senza obbligare a ridisegnare subito tutta l’identità.

La strategia corretta non è scegliere tra cloud identity e controllo AD, ma definire dove applicare ciascun controllo. Entra ID protegge Microsoft 365 e SaaS; UserLock protegge sessioni e accessi legati ad Active Directory; un SOC o SIEM centralizza eventi e correlazioni; l’hardening AD riduce le possibilità di escalation.

Prerequisiti tecnici e aspetti di implementazione

La progettazione deve considerare server UserLock, dominio Active Directory, distribuzione degli agenti, account di servizio, firewall interni, permessi amministrativi sui client protetti e alta disponibilità. La pagina Nexsys attuale evidenzia prerequisiti operativi come servizio Registro remoto, condivisione file e stampanti, SMB TCP 445 e account con privilegi amministrativi per distribuire l’agente sui computer.

• Definizione dello scope: utenti, gruppi, OU, server, workstation, sessioni RDP, VPN, IIS e applicazioni critiche.
• Deployment graduale: pilota su IT e utenti tecnici, poi estensione a reparti critici e utenti ordinari.
• Gestione MFA: scelta dei metodi, frequenza delle richieste, eccezioni, enrollment e procedure di recupero.
• Alta disponibilità: valutazione di server secondario o configurazione di continuità per evitare single point of failure operativo.
• Logging e report: definizione di retention, destinatari, escalation e integrazione con processi SOC o audit.

La configurazione dovrebbe essere documentata come controllo di sicurezza: scopo, gruppo interessato, criterio applicato, eccezioni, responsabile, data di revisione e procedura di emergenza. Questo approccio è coerente con percorsi di adeguamento normativo come NIS2 e con esigenze di audit interno.

Best practice per una configurazione efficace

1. Proteggere prima gli account privilegiati, poi gli utenti remoti, poi i reparti sensibili.
2. Evitare policy troppo aggressive nella prima fase: misurare prima gli accessi reali e ridurre le eccezioni non documentate.
3. Applicare MFA a RDP, RD Gateway, VPN e logon amministrativi prima di estendere la copertura alle workstation ordinarie.
4. Limitare le sessioni simultanee per account tecnici, utenti critici e gruppi che non dovrebbero operare da più postazioni.
5. Creare una procedura di enrollment MFA controllata, con gestione chiara di cambio smartphone, smarrimento device e utenti bloccati.
6. Integrare report UserLock con processi di monitoraggio, ticketing o analisi del SOC.
7. Allineare UserLock con GPO, segmentazione, hardening AD, LAPS, auditing avanzato e controllo degli accessi amministrativi.
8. Rivedere le policy almeno ogni sei mesi o dopo cambiamenti rilevanti: fusioni, nuove sedi, VPN, outsourcing, migrazione cloud.

Limiti da considerare

UserLock migliora controllo e tracciabilità degli accessi, ma non è un sostituto di hardening del dominio, EDR, patch management, backup, SIEM, PAM o formazione degli utenti. Se Active Directory è già compromessa o piena di deleghe pericolose, l’MFA riduce alcuni rischi ma non elimina le debolezze strutturali. La sicurezza dell’identità richiede più livelli: igiene AD, controllo dei privilegi, MFA, monitoraggio, segmentazione e risposta agli incidenti.

Per questo UserLock ha maggiore valore quando viene inserito in un percorso tecnico completo: assessment AD, remediation, protezione RDP, logging centralizzato, procedure di escalation e formazione dei referenti IT. Nei percorsi Nexsys questi temi possono essere collegati anche alla formazione Active Directory, alla formazione Windows Server e alle attività di Blue Team.

Come Nexsys può supportare l’adozione di UserLock

Nexsys può supportare aziende e reparti IT nella valutazione, progettazione e configurazione di UserLock, partendo dallo stato reale dell’infrastruttura. L’obiettivo non è installare un prodotto, ma definire un modello sostenibile di controllo degli accessi: chi deve accedere, a cosa, da dove, con quale livello di verifica e con quale evidenza di audit.

• Analisi preliminare di Active Directory e delle superfici di accesso tramite Assessment AD.
• Definizione delle policy MFA per gruppi, OU, account privilegiati, utenti remoti e sessioni RDP.
• Configurazione pilota, deployment agent, test di accesso e validazione delle eccezioni.
• Allineamento con servizi di cybersecurity aziendale, SOC e procedure di risposta.
• Formazione IT e awareness utenti su MFA, furto credenziali e comportamento sicuro.

Se l’azienda utilizza Active Directory, RDP, VPN o applicazioni interne e deve introdurre MFA e controllo granulare senza una migrazione immediata a un modello cloud-only, UserLock può rappresentare una misura concreta e rapidamente applicabile. Per una valutazione tecnica è possibile contattare Nexsys.

FAQ USERLOCK

Cos’è UserLock?

UserLock è una soluzione IAM per Active Directory che aggiunge MFA, controllo accessi contestuale, monitoraggio sessioni e reportistica sugli accessi Windows, RDP, VPN, IIS e ambienti ibridi.

UserLock richiede modifiche allo schema di Active Directory?

No. UserLock si integra con Active Directory senza richiedere modifiche allo schema del dominio. La progettazione deve comunque verificare permessi, agenti, account di servizio e prerequisiti di rete.

UserLock protegge gli accessi RDP?

Sì. UserLock può essere usato per rafforzare gli accessi RDP, RD Gateway e RemoteApp, applicando MFA e controlli contestuali in base a utente, gruppo, origine, orario e tipo di sessione.

UserLock sostituisce Entra ID Conditional Access?

No. Entra ID Conditional Access protegge principalmente applicazioni cloud e SaaS. UserLock è utile dove Active Directory, Windows logon, RDP, VPN e applicazioni interne restano centrali.

UserLock può limitare i login simultanei?

Sì. Uno dei casi d’uso principali è limitare sessioni simultanee e accessi concorrenti, riducendo account sharing e anomalie operative.

È utile per GDPR e NIS2?

Può contribuire a migliorare controllo accessi, tracciabilità e accountability, ma deve essere inserito in un sistema più ampio di policy, audit, hardening, formazione, monitoraggio e gestione degli incidenti.