Cyberpediadi Brain
ITDEENESFR

Proteggere gli account amministratore (PAM)

Un account amministratore apre tutte le porte. Ecco come lo protegge un PAM e cosa fanno ogni giorno il dipendente e il suo responsabile.

In 30 secondi

Dove accade
Su qualsiasi sistema in cui qualcuno dispone di diritti di amministrazione, nella directory aziendale, su una postazione, un server o un servizio online.
Cosa vuole l'attaccante
Recuperare le credenziali di un account esistente, per agire senza attirare l'attenzione4.
Il riflesso
Il riflesso: usare un account amministratore solo per amministrare, mai per la posta, il web o gli strumenti d'ufficio, e chiedere i diritti nel momento in cui servono.
Se è già successo
Avvisare il team di sicurezza.

Di cosa si tratta

Un account privilegiato è un account di sistema che detiene le autorizzazioni di un utente privilegiato1. Un utente privilegiato è una persona autorizzata, e quindi ritenuta affidabile, a svolgere funzioni di controllo, supervisione, amministrazione o sicurezza che gli utenti ordinari non hanno il diritto di svolgere2.

Questo account non appartiene necessariamente a un informatico dell'azienda. Il NCSC britannico usa la parola «amministratore» sia per una persona, come un amministratore di database, sia per un account di sistema incaricato di avviare un'attività pianificata, e ricorda che l'amministrazione è spesso affidata a un fornitore terzo3. Tutti hanno permessi superiori a quelli di un utente normale3. La gestione degli accessi privilegiati, o PAM (Privileged Access Management), raccoglie le regole e gli strumenti che inquadrano questi account.

Domande dirette

Che cos'è un account privilegiato?

È un account i cui diritti superano quelli di un utente ordinario: creare un utente in un dominio, collegarsi in SSH a un server web per modificare un file, configurare un allarme su una valvola industriale sono tre esempi forniti dal NCSC3. Tutte queste azioni possono servire a nuocere, da cui la necessità di proteggerle3.

Perché gli attaccanti prendono di mira in via prioritaria questi account?

Le credenziali rubate permettono di aggirare i controlli di accesso. Servono anche a mantenere un accesso duraturo a servizi esposti come le VPN, la posta web o il desktop remoto4. Un account compromesso può inoltre dare un livello di privilegio più alto su certi sistemi o l'accesso ad aree riservate della rete4. Con una credenziale legittima, l'attaccante può fare a meno di un software dannoso, e la sua presenza diventa più difficile da individuare4.

Microsoft descrive lo stesso meccanismo per la directory Active Directory: l'attaccante estrae le credenziali dalle sessioni aperte e cerca in via prioritaria gli account già elevati, che poi imita5. I bersagli abituali sono gli account con privilegi permanenti, gli account dei dirigenti, gli account di directory dotati di privilegi e i controller di dominio5.

Si può leggere la posta con un account amministratore?

No. Microsoft cita tra i comportamenti che aumentano il rischio di furto di credenziali la navigazione in internet mentre si è connessi a un account privilegiato e l'accesso a un account privilegiato da un computer non protetto5. L'azienda raccomanda di non usare gli account molto privilegiati per le attività amministrative correnti quando si può evitarlo5. Le postazioni di amministrazione protette non eseguono né applicazioni di posta, né browser, né software d'ufficio5.

Che cosa significa PAM in concreto?

Il NCSC ne dà la linea guida: controllare con cura chi amministra, dove, quando, perché e come, concedere agli amministratori il minimo privilegio e togliere l'accesso quando non serve più3. In Microsoft, il servizio Privileged Identity Management permette di gestire, controllare e monitorare l'accesso a risorse importanti dell'organizzazione6. MITRE aggiunge il monitoraggio dell'uso degli account privilegiati e la responsabilità garantita da registrazione e audit7.

1Come funziona2 min

Un PAM riunisce diversi elementi.

Primo, una cassaforte per le password. MITRE raccomanda strumenti di vault per l'archiviazione e la rotazione delle credenziali, e cita CyberArk, HashiCorp Vault o KeePass come esempi7. Per le password degli amministratori locali, la stessa scheda cita Microsoft LAPS7.

Secondo, l'elevazione temporanea dei diritti. Nel servizio Privileged Identity Management di Microsoft Entra, un dipendente può essere «idoneo» a un ruolo senza averlo in modo permanente. Quando ne ha bisogno, lo attiva per una durata limitata, entro un massimo fissato dagli amministratori, indicando il motivo della richiesta6. L'attivazione può richiedere un controllo di autenticazione a più fattori, una giustificazione professionale o l'approvazione di un approvatore designato6. Scaduto il tempo, il ruolo si spegne: è il principio dell'accesso «just in time», in cui i permessi temporanei impediscono a un utente malintenzionato o non autorizzato di accedervi dopo la loro scadenza6. Lo stesso servizio invia una notifica quando un ruolo privilegiato viene attivato e consente revisioni degli accessi per verificare che ciascuno abbia ancora bisogno del proprio ruolo6.

Terzo, la tracciabilità. Il NCSC chiede di registrare tutte le attività di amministrazione e di sottoporle ad audit, per verificare che gli amministratori compiano solo azioni legittime e approvate3. Il servizio di Microsoft permette di scaricare la cronologia di audit6. Microsoft raccomanda inoltre di monitorare la directory per individuarvi segni di attacco5.

Quarto, l'autenticazione forte. Richiede almeno due prove di identità: ciò che si sa, ciò che si possiede, ciò che si è8. MITRE consiglia di imporla a tutti gli account privilegiati7 e in particolare ai ruoli privilegiati8. Microsoft la richiede per l'uso di account privilegiati o per le attività di amministrazione5.

Infine, la separazione degli account. Nel suo modello, Microsoft crea un account di utente di postazione protetta e un account distinto di amministratore di dispositivi9. Il NCSC raccomanda un'amministrazione a livelli, perché non tutte le amministrazioni presentano lo stesso rischio3.

2Cosa fa Lei1 min

I gesti del dipendente si riducono a quattro punti.

  • Tenere separati due usi. L'account quotidiano serve per la posta, il web e gli strumenti d'ufficio. L'account di amministrazione serve solo ad amministrare, su una postazione predisposta allo scopo5.
  • Chiedere i diritti quando servono. Se il Suo ruolo richiede ogni tanto un accesso elevato, passi dalla procedura di attivazione o di richiesta di approvazione della Sua azienda invece di tenere diritti permanenti6. Microsoft va nella stessa direzione: eliminare l'appartenenza permanente ai gruppi molto privilegiati e concedere un'appartenenza temporanea quando è necessaria5.
  • Accettare l'autenticazione forte. Microsoft chiede di imporla almeno agli amministratori9.
  • Non tenere senza necessità diritti di amministratore locale sulla propria postazione. Microsoft prevede di togliere questi diritti agli utenti delle sue postazioni privilegiate9, e MITRE raccomanda di rimuovere gli utenti dal gruppo degli amministratori locali7.

Per un responsabile, il compito è limitare il numero di persone che hanno accesso alle informazioni sensibili, riducendo il rischio che un attore malevolo vi acceda e che un utente autorizzato tocchi per inavvertenza una risorsa sensibile6. Un approvatore designato riceve una notifica via e-mail quando una richiesta di ruolo attende la sua approvazione6.

3Le trappole1 min
  • La password di amministratore riutilizzata. MITRE spiega che il riutilizzo delle password può permettere di abusare di account locali su un insieme di macchine, per elevare i propri privilegi e spostarsi da una postazione all'altra10. Microsoft include tra le configurazioni a rischio gli account privilegiati locali con le stesse credenziali su tutti i sistemi5.
  • L'account dormiente. L'attaccante può abusare di account inattivi, per esempio quelli di persone che hanno lasciato l'organizzazione, perché l'utente originale non c'è più per accorgersi di un'attività anomala4. Le revisioni degli accessi permettono di verificare che gli utenti abbiano ancora bisogno del loro ruolo6.
  • Troppi account potenti. Assegnare troppi utenti ai gruppi di dominio privilegiati ne incoraggia l'uso eccessivo5.
  • Il furto di credenziali. Collegarsi con un account privilegiato su un computer non protetto espone queste credenziali5.
  • La sovrapposizione di diritti tra account locali, di dominio e online. MITRE se ne preoccupa, perché l'attaccante può passare da un account e da un sistema all'altro fino a un livello di amministratore di dominio o di impresa4.
4Casi reali1 min

Attacco alla rete elettrica ucraina, 2015

Nel corso di questo attacco, il gruppo Sandworm Team ha usato account validi sulla rete aziendale per elevare i propri privilegi, spostarsi lateralmente e stabilirsi in modo duraturo in quella rete4.

Scheda

Identificativo
CP-198
Ala
3. Protocolli e difesa
Competenza Brain
Controllare gli accessi (control_access)
Riflesso Brain
cr-030
Schema
G3 · Sezione anatomica
Lingue
de, en, es, fr, it
Fonti
10 fonti verificate il 3 novembre 2026
Fonti10 fonti
  1. NIST, «privileged account - Glossary | CSRC». https://csrc.nist.gov/glossary/term/privileged_account (consultato il 3 novembre 2026)
  2. NIST, «privileged user - Glossary | CSRC». https://csrc.nist.gov/glossary/term/privileged_user (consultato il 3 novembre 2026)
  3. NCSC (Royaume-Uni), «Secure system administration», 15 settembre 2020. https://www.ncsc.gov.uk/collection/secure-system-administration (consultato il 3 novembre 2026)
  4. MITRE ATT&CK, «Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/ (consultato il 3 novembre 2026)
  5. Microsoft, «Best practices for securing Active Directory». https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory (consultato il 3 novembre 2026)
  6. Microsoft, «What is Privileged Identity Management? - Microsoft Entra ID Governance». https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure (consultato il 3 novembre 2026)
  7. MITRE ATT&CK, «Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1026/ (consultato il 3 novembre 2026)
  8. MITRE ATT&CK, «Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1032/ (consultato il 3 novembre 2026)
  9. Microsoft, «Deploying a privileged access solution - Privileged access». https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment (consultato il 3 novembre 2026)
  10. MITRE ATT&CK, «Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/003/ (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «Proteggere gli account amministratore (PAM)», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/gestione-accessi-privilegiati-pam-account-admin/

BibTeX 
@misc{brain_cp198_it_2026,
  author = {Brain},
  title = {Proteggere gli account amministratore (PAM)},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/gestione-accessi-privilegiati-pam-account-admin/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0