--- id: CP-198 slug: gestione-accessi-privilegiati-pam-account-admin lang: it title: Proteggere gli account amministratore (PAM) description: Un account amministratore apre tutte le porte. Ecco come lo protegge un PAM e cosa fanno ogni giorno il dipendente e il suo responsabile. canonical_url: https://startbrain.io/cyberpedia/it/articles/gestione-accessi-privilegiati-pam-account-admin/ markdown_url: https://startbrain.io/cyberpedia/it/articles/gestione-accessi-privilegiati-pam-account-admin.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Proteggere gli account amministratore (PAM)», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/gestione-accessi-privilegiati-pam-account-admin/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-030 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/gestione-accessi-privilegiati-pam-account-admin/ fr: https://startbrain.io/cyberpedia/fr/articles/gestion-acces-privilegies-pam-comptes-admin/ en: https://startbrain.io/cyberpedia/en/articles/privileged-access-management-pam-admin-accounts/ de: https://startbrain.io/cyberpedia/de/articles/privilegierte-zugriffe-pam-admin-konten/ es: https://startbrain.io/cyberpedia/es/articles/gestion-acceso-privilegiado-pam-cuentas-admin/ nl: https://startbrain.io/cyberpedia/nl/articles/beheer-bevoorrechte-toegang-pam-beheerdersaccounts/ sources: - "n": 1 title: privileged account - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/privileged_account accessed: "2026-11-03" - "n": 2 title: privileged user - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/privileged_user accessed: "2026-11-03" - "n": 3 title: Secure system administration publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/secure-system-administration published: "2020-09-15" accessed: "2026-11-03" - "n": 4 title: Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/ accessed: "2026-11-03" - "n": 5 title: Best practices for securing Active Directory publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory accessed: "2026-11-03" - "n": 6 title: What is Privileged Identity Management? - Microsoft Entra ID Governance publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure accessed: "2026-11-03" - "n": 7 title: Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1026/ accessed: "2026-11-03" - "n": 8 title: Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1032/ accessed: "2026-11-03" - "n": 9 title: Deploying a privileged access solution - Privileged access publisher: Microsoft url: https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment accessed: "2026-11-03" - "n": 10 title: "Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/003/ accessed: "2026-11-03" --- # Proteggere gli account amministratore (PAM) Un account privilegiato è un account di sistema che detiene le autorizzazioni di un utente privilegiato [1]. Un utente privilegiato è una persona autorizzata, e quindi ritenuta affidabile, a svolgere funzioni di controllo, supervisione, amministrazione o sicurezza che gli utenti ordinari non hanno il diritto di svolgere [2]. Questo account non appartiene necessariamente a un informatico dell'azienda. Il NCSC britannico usa la parola «amministratore» sia per una persona, come un amministratore di database, sia per un account di sistema incaricato di avviare un'attività pianificata, e ricorda che l'amministrazione è spesso affidata a un fornitore terzo [3]. Tutti hanno permessi superiori a quelli di un utente normale [3]. La gestione degli accessi privilegiati, o PAM (Privileged Access Management), raccoglie le regole e gli strumenti che inquadrano questi account. ## In 30 secondi - Dove accade: su qualsiasi sistema in cui qualcuno dispone di diritti di amministrazione, nella directory aziendale, su una postazione, un server o un servizio online. - Cosa vuole l'attaccante: recuperare le credenziali di un account esistente, per agire senza attirare l'attenzione [4]. - Il riflesso: Il riflesso: usare un account amministratore solo per amministrare, mai per la posta, il web o gli strumenti d'ufficio, e chiedere i diritti nel momento in cui servono. - Se è già successo: avvisare il team di sicurezza. ## Domande dirette ### Che cos'è un account privilegiato? È un account i cui diritti superano quelli di un utente ordinario: creare un utente in un dominio, collegarsi in SSH a un server web per modificare un file, configurare un allarme su una valvola industriale sono tre esempi forniti dal NCSC [3]. Tutte queste azioni possono servire a nuocere, da cui la necessità di proteggerle [3]. ### Perché gli attaccanti prendono di mira in via prioritaria questi account? Le credenziali rubate permettono di aggirare i controlli di accesso. Servono anche a mantenere un accesso duraturo a servizi esposti come le VPN, la posta web o il desktop remoto [4]. Un account compromesso può inoltre dare un livello di privilegio più alto su certi sistemi o l'accesso ad aree riservate della rete [4]. Con una credenziale legittima, l'attaccante può fare a meno di un software dannoso, e la sua presenza diventa più difficile da individuare [4]. Microsoft descrive lo stesso meccanismo per la directory Active Directory: l'attaccante estrae le credenziali dalle sessioni aperte e cerca in via prioritaria gli account già elevati, che poi imita [5]. I bersagli abituali sono gli account con privilegi permanenti, gli account dei dirigenti, gli account di directory dotati di privilegi e i controller di dominio [5]. ### Si può leggere la posta con un account amministratore? No. Microsoft cita tra i comportamenti che aumentano il rischio di furto di credenziali la navigazione in internet mentre si è connessi a un account privilegiato e l'accesso a un account privilegiato da un computer non protetto [5]. L'azienda raccomanda di non usare gli account molto privilegiati per le attività amministrative correnti quando si può evitarlo [5]. Le postazioni di amministrazione protette non eseguono né applicazioni di posta, né browser, né software d'ufficio [5]. ### Che cosa significa PAM in concreto? Il NCSC ne dà la linea guida: controllare con cura chi amministra, dove, quando, perché e come, concedere agli amministratori il minimo privilegio e togliere l'accesso quando non serve più [3]. In Microsoft, il servizio Privileged Identity Management permette di gestire, controllare e monitorare l'accesso a risorse importanti dell'organizzazione [6]. MITRE aggiunge il monitoraggio dell'uso degli account privilegiati e la responsabilità garantita da registrazione e audit [7]. ## Come funziona Un PAM riunisce diversi elementi. Primo, una cassaforte per le password. MITRE raccomanda strumenti di vault per l'archiviazione e la rotazione delle credenziali, e cita CyberArk, HashiCorp Vault o KeePass come esempi [7]. Per le password degli amministratori locali, la stessa scheda cita Microsoft LAPS [7]. Secondo, l'elevazione temporanea dei diritti. Nel servizio Privileged Identity Management di Microsoft Entra, un dipendente può essere «idoneo» a un ruolo senza averlo in modo permanente. Quando ne ha bisogno, lo attiva per una durata limitata, entro un massimo fissato dagli amministratori, indicando il motivo della richiesta [6]. L'attivazione può richiedere un controllo di autenticazione a più fattori, una giustificazione professionale o l'approvazione di un approvatore designato [6]. Scaduto il tempo, il ruolo si spegne: è il principio dell'accesso «just in time», in cui i permessi temporanei impediscono a un utente malintenzionato o non autorizzato di accedervi dopo la loro scadenza [6]. Lo stesso servizio invia una notifica quando un ruolo privilegiato viene attivato e consente revisioni degli accessi per verificare che ciascuno abbia ancora bisogno del proprio ruolo [6]. Terzo, la tracciabilità. Il NCSC chiede di registrare tutte le attività di amministrazione e di sottoporle ad audit, per verificare che gli amministratori compiano solo azioni legittime e approvate [3]. Il servizio di Microsoft permette di scaricare la cronologia di audit [6]. Microsoft raccomanda inoltre di monitorare la directory per individuarvi segni di attacco [5]. Quarto, l'autenticazione forte. Richiede almeno due prove di identità: ciò che si sa, ciò che si possiede, ciò che si è [8]. MITRE consiglia di imporla a tutti gli account privilegiati [7] e in particolare ai ruoli privilegiati [8]. Microsoft la richiede per l'uso di account privilegiati o per le attività di amministrazione [5]. Infine, la separazione degli account. Nel suo modello, Microsoft crea un account di utente di postazione protetta e un account distinto di amministratore di dispositivi [9]. Il NCSC raccomanda un'amministrazione a livelli, perché non tutte le amministrazioni presentano lo stesso rischio [3]. ## Cosa fa Lei I gesti del dipendente si riducono a quattro punti. - Tenere separati due usi. L'account quotidiano serve per la posta, il web e gli strumenti d'ufficio. L'account di amministrazione serve solo ad amministrare, su una postazione predisposta allo scopo [5]. - Chiedere i diritti quando servono. Se il Suo ruolo richiede ogni tanto un accesso elevato, passi dalla procedura di attivazione o di richiesta di approvazione della Sua azienda invece di tenere diritti permanenti [6]. Microsoft va nella stessa direzione: eliminare l'appartenenza permanente ai gruppi molto privilegiati e concedere un'appartenenza temporanea quando è necessaria [5]. - Accettare l'autenticazione forte. Microsoft chiede di imporla almeno agli amministratori [9]. - Non tenere senza necessità diritti di amministratore locale sulla propria postazione. Microsoft prevede di togliere questi diritti agli utenti delle sue postazioni privilegiate [9], e MITRE raccomanda di rimuovere gli utenti dal gruppo degli amministratori locali [7]. Per un responsabile, il compito è limitare il numero di persone che hanno accesso alle informazioni sensibili, riducendo il rischio che un attore malevolo vi acceda e che un utente autorizzato tocchi per inavvertenza una risorsa sensibile [6]. Un approvatore designato riceve una notifica via e-mail quando una richiesta di ruolo attende la sua approvazione [6]. ## Le trappole - La password di amministratore riutilizzata. MITRE spiega che il riutilizzo delle password può permettere di abusare di account locali su un insieme di macchine, per elevare i propri privilegi e spostarsi da una postazione all'altra [10]. Microsoft include tra le configurazioni a rischio gli account privilegiati locali con le stesse credenziali su tutti i sistemi [5]. - L'account dormiente. L'attaccante può abusare di account inattivi, per esempio quelli di persone che hanno lasciato l'organizzazione, perché l'utente originale non c'è più per accorgersi di un'attività anomala [4]. Le revisioni degli accessi permettono di verificare che gli utenti abbiano ancora bisogno del loro ruolo [6]. - Troppi account potenti. Assegnare troppi utenti ai gruppi di dominio privilegiati ne incoraggia l'uso eccessivo [5]. - Il furto di credenziali. Collegarsi con un account privilegiato su un computer non protetto espone queste credenziali [5]. - La sovrapposizione di diritti tra account locali, di dominio e online. MITRE se ne preoccupa, perché l'attaccante può passare da un account e da un sistema all'altro fino a un livello di amministratore di dominio o di impresa [4]. ## Casi reali ### Attacco alla rete elettrica ucraina, 2015 Nel corso di questo attacco, il gruppo Sandworm Team ha usato account validi sulla rete aziendale per elevare i propri privilegi, spostarsi lateralmente e stabilirsi in modo duraturo in quella rete [4]. ## Fonti 1. NIST, «privileged account - Glossary | CSRC». https://csrc.nist.gov/glossary/term/privileged_account (consultato il 3 novembre 2026) 2. NIST, «privileged user - Glossary | CSRC». https://csrc.nist.gov/glossary/term/privileged_user (consultato il 3 novembre 2026) 3. NCSC (Royaume-Uni), «Secure system administration», 15 settembre 2020. https://www.ncsc.gov.uk/collection/secure-system-administration (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/ (consultato il 3 novembre 2026) 5. Microsoft, «Best practices for securing Active Directory». https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory (consultato il 3 novembre 2026) 6. Microsoft, «What is Privileged Identity Management? - Microsoft Entra ID Governance». https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure (consultato il 3 novembre 2026) 7. MITRE ATT&CK, «Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1026/ (consultato il 3 novembre 2026) 8. MITRE ATT&CK, «Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1032/ (consultato il 3 novembre 2026) 9. Microsoft, «Deploying a privileged access solution - Privileged access». https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment (consultato il 3 novembre 2026) 10. MITRE ATT&CK, «Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/003/ (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/gestione-accessi-privilegiati-pam-account-admin/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.