Configurazione della Protezione dalle Minacce

Auris fornisce tre livelli di protezione configurabili che lavorano insieme nella pipeline di sicurezza del login: regole IP (blocco a livello di rete), rilevamento login sospetti (analisi comportamentale) e CAPTCHA (mitigazione bot). Ogni livello opera indipendentemente e può essere configurato per soddisfare i tuoi requisiti di sicurezza.

Questa guida illustra la configurazione pratica di ogni livello e spiega come si inseriscono nella pipeline di login completa.

Panoramica dei Livelli di Protezione

Tutti e tre i livelli non sono bloccanti l’uno per l’altro — configurare uno non influisce sugli altri.

Liste di IP Consentiti/Bloccati

Le regole IP usano la notazione CIDR per controllare quali indirizzi IP possono accedere agli endpoint di autenticazione del tuo tenant.

Tipi di Regola e Precedenza

Precedenza: Le regole BLOCK hanno sempre la precedenza sulle regole ALLOW nello stesso scope. Se un IP corrisponde sia a una regola BLOCK che a una ALLOW, viene bloccato.

Scope

Le regole possono essere scoped a due livelli:

• Scope tenant (scope: TENANT) — si applica a tutte le applicazioni nel tenant
• Scope applicazione (scope: APPLICATION) — si applica solo a un’applicazione specifica

Le regole con scope applicazione vengono valutate dopo le regole con scope tenant. Un BLOCK a livello tenant non può essere sovrascritto da un ALLOW a livello applicazione.

Configurazione delle Regole IP

{
  "cidr": "203.0.113.0/24",
  "type": "BLOCK",
  "scope": "TENANT",
  "label": "Sorgente di attacco nota",
  "note": "Bloccato dopo attacco credential stuffing il 01/06/2025"
}

{
  "cidr": "198.51.100.42/32",
  "type": "BLOCK",
  "scope": "TENANT",
  "label": "Blocco temporaneo - attacco attivo",
  "isTemporary": true,
  "expiresAt": "2025-07-01T00:00:00Z"
}

{
  "cidr": "10.0.0.0/8",
  "type": "ALLOW",
  "scope": "TENANT",
  "label": "Rete aziendale"
}

Gestione Programmatica

Le regole IP possono essere gestite tramite API per una risposta automatizzata agli incidenti:

// Blocca un range di IP programmaticamente dopo aver rilevato un attacco
await fetch('https://auth.tuodominio.com/api/ip-rules', {
  method: 'POST',
  headers: {
    'Authorization': `Bearer ${adminToken}`,
    'Content-Type': 'application/json',
    'x-tenant': 'il-tuo-tenant',
  },
  body: JSON.stringify({
    cidr: '192.0.2.0/24',
    type: 'BLOCK',
    scope: 'TENANT',
    label: 'Blocco automatico - rate limit superato',
    isTemporary: true,
    expiresAt: new Date(Date.now() + 24 * 60 * 60 * 1000).toISOString(),
  }),
})

Riferimento rapido CIDR

Rilevamento Login Sospetti

Dopo che le credenziali dell’utente sono verificate, Auris analizza il contesto del login per anomalie comportamentali usando cinque rilevatori indipendenti.

Metodi di Rilevamento

1. Nuovo Dispositivo

Un fingerprint hash viene calcolato da user agent del browser, risoluzione dello schermo e altri segnali stabili. I dispositivi alla prima visita vengono segnalati. Il fingerprint viene registrato dopo il login riuscito per il confronto futuro.

2. Nuovo Indirizzo IP

Auris traccia gli indirizzi IP da cui un utente ha precedentemente eseguito il login. Un login da un IP non visto per questo account attiva il rilevatore.

3. Nuovo Paese

La ricerca GeoIP determina il paese dell’IP di login. Un paese non visto in precedenza nella cronologia dei login dell’utente attiva il rilevatore.

4. Viaggio Impossibile

La distanza geografica tra il login corrente e quello più recente viene divisa per il tempo trascorso per calcolare la velocità di viaggio implicita. Se la velocità supera la soglia configurata (default: 800 km/h), il login viene segnalato come viaggio impossibile.

5. VPN / Proxy / Datacenter

I metadati GeoIP identificano gli IP appartenenti a provider VPN noti, proxy o datacenter cloud. Questi vengono segnalati di default ma possono essere consentiti per le organizzazioni i cui utenti usano comunemente VPN.

Configurazione delle Azioni

Ogni rilevatore può essere configurato indipendentemente con una di quattro azioni:

Configura tramite Console → Impostazioni → Rilevamento Login Sospetti:

Provider GeoIP

Revisione degli eventi

Gli eventi di login sospetti sono visibili in Console → Impostazioni → Rilevamento Login Sospetti → Eventi. Ogni evento mostra:

• Email e ID utente
• Motivo del rilevamento (nuovo dispositivo, viaggio impossibile, ecc.)
• Gravità (bassa, media, alta)
• Azione intrapresa (registrato, notificato, bloccato, MFA richiesta)
• Indirizzo IP, paese e informazioni sul dispositivo
• Timestamp

Gli amministratori possono contrassegnare gli eventi come revisionati per tracciare lo stato dell’indagine.

CAPTCHA

Il CAPTCHA protegge le pagine di login, signup e reset password dai bot automatizzati. Auris supporta tre provider e tre modalità di attivazione.

Provider Supportati

Modalità di Attivazione

Passi di Configurazione

La Pipeline Completa di Sicurezza del Login

Quando un utente tenta di eseguire il login, la richiesta passa attraverso tutti i livelli di protezione in sequenza. Ogni livello può cortocircuitare la pipeline:

Richiesta di login in arrivo
        |
        v
1. Controllo IP Allow/Block
   Regola BLOCK corrisposta? --> HTTP 403, stop
        |
        v
2. Verifica CAPTCHA (se configurata)
   Token non valido o mancante? --> HTTP 400, stop
        |
        v
3. Rate Limiting
   Limite per IP o per utente superato? --> HTTP 429, stop
        |
        v
4. Controllo Blocco Brute-Force
   Account o IP bloccato? --> HTTP 423, stop
        |
        v
5. Autenticazione Keycloak
   Credenziali non valide? --> registra fallimento, HTTP 401, stop
        |
        v
6. Analisi Login Sospetti
   Esegui 5 rilevatori, esegui azioni configurate
   Azione = block? --> HTTP 403, stop
   Azione = require_mfa? --> forza step MFA
        |
        v
7. Calcolo Punteggio di Rischio MFA Adattiva
   Punteggio pesato a 5 fattori
   Punteggio sopra soglia? --> richiedi MFA step-up
        |
        v
8. Emissione Token
   Imposta claim ACR/AMR
   Restituisce access token + refresh token

I passi 1-4 sono controlli rapidi e sincroni che filtrano il traffico chiaramente malevolo prima di raggiungere i passi di autenticazione e analisi più costosi.

Best Practice per la Produzione

1. Inizia con il logging: Abilita tutti i rilevatori di login sospetti in modalità log prima. Revisiona gli eventi per una settimana per capire la tua baseline prima di passare a block o require_mfa.

2. Usa blocchi IP temporanei: Durante un attacco attivo, crea regole BLOCK temporanee con scadenza di 24-48 ore invece di blocchi permanenti. Questo previene blocchi involontari a lungo termine.

3. Combina CAPTCHA con rate limiting: Usa la modalità di attivazione AFTER_FAILURES in modo che gli utenti legittimi non vedano mai il CAPTCHA, mentre gli attaccanti lo incontrano dopo 3-5 tentativi falliti.

4. Deploya MaxMind localmente: Per deployment che gestiscono più di 1000 login all’ora, passa da ip-api.com a MaxMind GeoLite2 per evitare i rate limit della API gratuita di ip-api.com e ridurre la latenza.

5. Monitora la pipeline: Revisiona regolarmente i log di audit per i pattern. Un improvviso picco di rilevamenti impossible_travel o new_country può indicare un attacco credential stuffing.

6. Combina con MFA: La protezione dalle minacce funziona meglio insieme all’Autenticazione Multi-Fattore. Abilita l’MFA per tutti gli utenti e usa il rilevamento login sospetti per attivare l’autenticazione step-up per i login anomali.

Endpoint API

Permessi Richiesti

Guide Correlate

• Protezione dagli Attacchi — Rate limiting, blocco brute-force, sicurezza delle password e riferimento completo alla pipeline
• Autenticazione Multi-Fattore — TOTP, SMS OTP, WebAuthn e MFA adattiva
• Implementare DPoP — Token binding per prevenire il furto dei token
• Gestione delle Sessioni — Gestione delle sessioni utente e policy di sessione