Le reti private virtuali (Virtual Private Network, VPN) forniscono da tempo l'accesso remoto alle aziende. Tuttavia, dopo l'anno pieno di exploit di alto profilo appena trascorso, in molte stanno mettendo in discussione questa tecnologia. Gli attacchi che si sono verificati hanno preso di mira le vulnerabilità delle VPN più gravi e quelle 0-day, e alcuni hanno addirittura richiesto l'intervento di emergenza della CISA, che ha pubblicato direttive affinché i servizi VPN venissero disconnessi. Molte aziende stanno rivalutando le proprie strategie per la connettività della forza lavoro e stanno adottando l'architettura zero trust come alternativa alla VPN.

Infatti, il 91% delle aziende teme che le VPN possano compromettere la loro sicurezza.

Pubblicato oggi, il Report del 2024 di Zscaler ThreatLabz sui rischi delle VPN fa luce sulle principali tendenze associate alle VPN ed esplora le soluzioni per proteggere gli utenti in remoto. Cybersecurity Insiders e Zscaler hanno intervistato 647 professionisti IT ed esperti di sicurezza informatica per scoprire di più sulle mutevoli sfide delle tecnologie VPN negli ambiti di sicurezza, gestione ed esperienza utente. Queste sfide includono i rischi che le VPN possono generare nella strategia di sicurezza di un'organizzazione a causa di movimento laterale, accesso di terzi e vulnerabilità ad attacchi come i ransomware.

Nel complesso, i risultati sono chiari: le aziende mostrano forti preoccupazioni per i rischi che le soluzioni VPN comportano per la sicurezza, e per questo sta aumentando il consenso sulle strategie zero trust; molte delle organizzazioni, infatti, hanno già messo in atto piani concreti per adottare lo ZTNA (Zero Trust Network Access). Inoltre, le organizzazioni sono d'accordo sull'idea che l'infrastruttura VPN sul cloud vada contro i principi dello zero trust e non fornisca lo stesso livello di sicurezza o l'esperienza utente offerta invece dallo ZTNA.

Scarica il Report del 2024 di Zscaler ThreatLabz sui rischi delle VPN e scopri le prospettive delle aziende e le linee guida degli esperti sui rischi che derivano da queste soluzioni.

Risultati principali

Gli attacchi alle VPN sono in aumento. Nel corso dell'ultimo anno, il 56% delle organizzazioni ha subito uno o più attacchi informatici diretti alle VPN, un dato in aumento rispetto al 45% dell'anno precedente; questo evidenzia la crescente frequenza e il livello di sofisticatezza degli attacchi.
La maggioranza delle aziende sta passando allo zero trust. Il 78% delle organizzazioni prevede di implementare strategie zero trust nei prossimi 12 mesi. Nel frattempo, il 62% di esse concorda sul fatto che le VPN siano anti-zero trust.
Sono in molti ad avere dubbi sulla sicurezza delle VPN. Il 91% degli intervistati ha espresso preoccupazioni sul fatto che le VPN possano compromettere il proprio ambiente di sicurezza IT. Le recenti violazioni hanno messo in evidenza i rischi derivanti dal mantenimento di infrastrutture VPN obsolete o prive di patch.
Le VPN sono vulnerabili a ransomware, malware e DDoS. Gli intervistati hanno identificato ransomware (42%), malware (35%) e attacchi DDoS (30%) come le principali minacce che sfruttano le vulnerabilità delle VPN, sottolineando la portata dei rischi che le organizzazioni devono affrontare a causa delle debolezze intrinseche delle architetture VPN tradizionali.
Il rischio associato al movimento laterale non può essere ignorato. Il 53% delle aziende colpite a causa delle vulnerabilità delle VPN afferma che gli autori delle minacce hanno sfruttato il movimento laterale; questo dimostra l'esistenza di procedure fallimentari nel contenimento della compromissione iniziale, a sottolineare ulteriormente i rischi delle reti tradizionali e piatte.
Quasi tutti sono preoccupati per il rischio associato a terze parti. Dato che le VPN forniscono un accesso completo alla rete, il 92% degli intervistati è preoccupato che gli utenti terzi con accesso VPN possano agire come potenziali backdoor sulle loro reti.

Crescono gli attacchi VPN, le CVE e le preoccupazioni delle aziende

Nel complesso, ben il 56% delle organizzazioni ha segnalato di aver subito attacchi informatici contro le VPN nel corso dell'ultimo anno, segnando un incremento molto significativo rispetto all'anno precedente (45%). Inoltre, un dato che preoccupa ancor di più, il 41% delle organizzazioni ha riferito di aver subito due o più attacchi legati alle VPN, evidenziando l'esistenza di gravi lacune nella sicurezza che richiedono un'attenzione immediata.

Figura 1: aziende colpite da un attacco che ha preso di mira le vulnerabilità delle VPN nel corso dell'ultimo anno.

Questo aumento degli attacchi diretti alle VPN non è privo di contesto. Nel corso dell'ultimo anno, infatti, abbiamo assistito all'emergere di una serie di vulnerabilità delle VPN di tipo 0-day e molto gravi. Questa tendenza ha rivelato che, da un punto di vista architetturale, nelle reti basate su VPN basta un singolo guasto per compromettere potenzialmente l'intero sistema; questo significa che gli autori delle minacce sono liberi di muoversi lateralmente sulla rete, rilevare le applicazioni di valore e rubare i dati sensibili.

Infatti, la maggior parte degli intervistati che hanno subito violazioni dirette alle VPN ha riferito che gli aggressori si sono spostati lateralmente sulle loro reti.

La figura mostra una serie di CVE di alto profilo che hanno avuto un impatto sulle VPN nel corso dell'ultimo anno

Figura 2: una serie di CVE di alto profilo che hanno avuto un impatto sulle VPN nel corso dell'ultimo anno.

La fiducia che le aziende ripongono nella sicurezza delle VPN è molto bassa. In totale, il 91% delle aziende teme che le VPN possano mettere a repentaglio ‌la sicurezza dei propri ambienti.

Figura 3: le aziende temono che la VPN possa mettere a repentaglio la sicurezza del loro ambiente.

L'adozione dello zero trust è in crescita

Parallelamente alle preoccupazioni legate alla sicurezza delle VPN (o a causa di esse) le aziende mostrano un forte consenso sull'adozione di strategie zero trust per favorire una connettività sicura. Il 62% delle aziende ritiene infatti che la tecnologia VPN sia incompatibile con le strategie zero trust.

Figura 4: i punti di vista delle aziende in merito al livello di compatibilità delle VPN con le strategie zero trust.

Intanto, se da un lato l'entusiasmo per le VPN si affievolisce, dall'altro le aziende stanno adottando attivamente strategie zero trust. Se da un lato il 78% delle imprese prevede di mettere in atto strategie zero trust entro i prossimi 12 mesi, il 31% le sta implementando già in questo momento.

Figura 5: adozione di strategie zero trust da parte delle aziende.

Dato che il numero di vulnerabilità di alto profilo della sicurezza associate alle VPN continua ad aumentare, le aziende dovrebbero prepararsi a prevenire un corrispondente incremento degli incidenti di sicurezza legati a queste soluzioni. Di conseguenza, le imprese guarderanno sempre più allo ZTNA, non solo come sostituto della VPN, ma anche come modo per migliorare significativamente il proprio profilo di sicurezza.

La nostra soluzione ZTNA, Zscaler Private Access (ZPA), fornisce una sicurezza completa agli utenti che si connettono alle applicazioni private, indipendentemente dalla loro posizione o dal dispositivo usato. Con ZPA, le applicazioni non sono esposte a Internet, in modo che per gli aggressori individuarle e prenderle di mira sia sempre più difficile. La nostra ispezione del traffico inline rileva le attività dannose al fine di prevenire le compromissioni e l'esfiltrazione dei dati. ZPA è in grado di limitare ‌il raggio di azione degli attacchi grazie alla segmentazione utente-app basata sull'AI e alla tecnologia di deception integrata.

Per scoprire tutti gli approfondimenti, che includono linee guida per mitigare i rischi delle VPN, previsioni per il 2024 e molto altro, scarica oggi stesso la tua copia del Report del 2024 di Zscaler ThreatLabz e Cybersecurity Insiders sui rischi delle VPN