Bastion host: definizione e PAM sovrano

Capire il bastione di accesso (PAM), a cosa serve e come distribuirne uno senza infrastrutture pesanti

Un bastion host è un unico punto di ingresso controllato attraverso cui passa ogni connessione amministrativa ai tuoi server e alle tue apparecchiature. Autentica gli utenti, applica le policy di accesso, registra le sessioni e produce un audit trail completo. Sul mercato francese, bastion è il nome di uso comune per ciò che i fornitori anglofoni chiamano PAM (Privileged Access Management).

Che cos'è un bastion host?

Un bastion host (detto anche bastione di accesso, bastione di amministrazione o jump server) è l'unica porta attraverso cui passano le connessioni privilegiate di un'organizzazione. Invece di aprire l'accesso SSH, RDP o VNC direttamente su ogni macchina, esponi un unico punto di ingresso rinforzato e monitorato.

Senza un bastion, gli accessi amministrativi si disperdono: un account VPN per il fornitore di servizi gestiti, una password di amministratore condivisa tra tre persone, una porta RDP aperta per un singolo intervento e mai richiusa. Ognuno di questi crea un accesso di cui nessuno tiene più traccia di ambito, durata e utilizzo effettivo. Eliminare proprio questo è lo scopo del privileged access management (PAM).

Un bastion non è né un firewall né una VPN. Il firewall decide quale traffico di rete passa; la VPN collega una macchina remota alla rete interna; il bastion governa chi raggiunge quale macchina, con quali diritti e cosa è successo lì. Completa gli altri due, non li sostituisce.

Come funziona un bastion host?

Ogni sessione amministrativa segue lo stesso percorso, qualunque sia il protocollo: SSH, RDP o VNC.

Passo 1

Autenticazione forte

L'amministratore o il fornitore terzo si autentica prima sul bastion, con l'autenticazione a più fattori. Nessun accesso diretto alla macchina di destinazione è possibile: il bastion è l'unica porta.

Passo 2

Autorizzazione e privilegio minimo

Il bastion verifica i diritti dell'utente: quali destinazioni, quali protocolli, in quale fascia oraria. Ognuno ottiene esattamente l'accesso che il suo lavoro richiede, e nulla di più.

Passo 3

Iniezione delle credenziali

Il bastion apre la sessione verso la destinazione iniettando le credenziali da una cassaforte. La password dell'account privilegiato non viene mai mostrata, mai consegnata all'utente e mai salvata sulla sua macchina.

Passo 4

Registrazione e audit

La sessione viene registrata dall'inizio alla fine. Ottieni un audit trail realmente utilizzabile durante un incidente o una verifica: chi si è connesso, a quale macchina, quando e cosa ha fatto.

A cosa serve un bastion host?

Le sei situazioni che più spesso portano a distribuire un bastion in una PMI o in un'azienda di medie dimensioni

Accesso dei fornitori terzi

Fornitori di servizi gestiti, software house, manutentori: concedi accessi limitati nel tempo, registrati e revocabili all'istante, senza distribuire account VPN o password condivise.

Account privilegiati

Account amministratore, account root, account di servizio: centralizzane l'uso dietro un unico punto di controllo invece di lasciarli circolare tra i team.

Tracciabilità delle sessioni

Registrazione delle sessioni RDP, SSH e VNC: sai esattamente cosa è stato fatto sui tuoi sistemi critici e puoi rivederlo.

Conformità NIS2

L'articolo 21 della direttiva NIS2 richiede il controllo degli accessi privilegiati e la loro tracciabilità. Un bastion è la risposta più diretta a questo requisito.

Cyber insurance

Le compagnie assicurative subordinano sempre più spesso la copertura, e il suo prezzo, alla presenza di un controllo degli accessi amministrativi e di un audit trail.

Uscite e cambi di ruolo

Revoca gli accessi con una sola azione, senza dover cambiare le password su ogni macchina che quella persona poteva raggiungere.

Bastion tradizionale o di nuova generazione?

L'esigenza non è cambiata. Il costo d'ingresso è calato drasticamente.

Il bastion tradizionale

  • Un server dedicato da installare, dimensionare e mantenere
  • Un thick client o un plugin da distribuire su ogni postazione
  • Aperture di porte e regole di firewall da negoziare
  • Un progetto di integrazione di diverse settimane, di solito con un system integrator
  • Licenze con prezzi pensati per le grandi aziende

Il bastion Heimlane Realm

  • Accesso dal browser, nessun software client, nessun plugin
  • Nessun jump server da esporre, nessuna regola firewall in ingresso
  • SSH, RDP e VNC coperti dalla stessa interfaccia
  • Credenziali iniettate da Vault, mai visibili all'utente
  • Prezzi e distribuzione pensati per PMI e aziende di medie dimensioni

Perché scegliere un bastion sovrano?

Per sua natura, un bastion concentra ciò che un'organizzazione ha di più sensibile: le credenziali amministrative, la mappa delle sue macchine critiche e la registrazione di tutto ciò che vi viene fatto. Per questo le questioni di hosting e giurisdizione pesano qui più che quasi ovunque altrove.

Heimlane è un fornitore europeo. Realm è ospitato in Francia e Germania, presso fornitori di hosting europei. Le registrazioni delle sessioni e i log di accesso non lasciano l'Unione Europea e non sono soggetti a normative extraterritoriali come il CLOUD Act statunitense.

Questo risponde a un requisito che compare sempre più spesso nei bandi e nei questionari assicurativi: poter indicare un fornitore, una giurisdizione e una sede di hosting, senza catene opache di subappaltatori.

Heimlane Realm, il bastion host della piattaforma Prism

La cassaforte custodisce i segreti, il bastion controlla e registra come vengono usati. I due prodotti lavorano insieme.

Heimlane Realm

Realm

Il bastion host (PAM)

  • Bastion SSH, RDP e VNC dal browser
  • Registrazione completa delle sessioni
  • Iniezione delle credenziali senza mai rivelarle
  • Permessi basati sui ruoli e audit trail
Scopri di più
Heimlane Vault

Vault

La cassaforte di password

  • Archiviazione crittografata degli account privilegiati
  • Crittografia zero-knowledge
  • Condivisione di team e casseforti condivise
  • Ospitato in Francia e Germania
Scopri di più

Domande frequenti sui bastion host

Qual è la differenza tra un bastion e una VPN?
Una VPN ti collega alla rete: una volta connesso, puoi raggiungere tutto ciò che quella rete espone. Un bastion ti dà accesso a una macchina specifica, per un protocollo specifico, per un periodo specifico, e registra la sessione. Rispondono a esigenze diverse, e un bastion resta prezioso anche dietro una VPN.
Bastion, PAM, jump server: sono la stessa cosa?
I termini si sovrappongono molto. Un jump server è la forma più semplice: una macchina intermedia che si attraversa. Un bastion aggiunge autenticazione forte, policy di accesso, registrazione delle sessioni e audit. PAM (Privileged Access Management) è il termine che indica l'intera disciplina, di cui il bastion è il componente centrale. In Francia, bastion d'accès e bastion d'administration sono usati come sinonimi.
Un bastion è obbligatorio per la conformità NIS2?
La direttiva NIS2 non cita alcun prodotto. Il suo articolo 21 richiede però il controllo degli accessi privilegiati, la tracciabilità e l'autenticazione a più fattori sugli account sensibili. In pratica, un bastion è il modo più diretto per dimostrare questi controlli durante un audit.
Una piccola azienda ha davvero bisogno di un bastion?
Non appena un fornitore esterno lavora sui tuoi server, o più persone condividono un account amministratore, la domanda si pone. Sono proprio i due scenari all'origine di una buona parte degli incidenti. L'ostacolo storico era il costo di un bastion enterprise, non la pertinenza dell'esigenza.
Gli utenti devono installare software?
Non con Heimlane Realm. Le sessioni SSH, RDP e VNC si aprono direttamente nel browser. Nessun thick client da distribuire, nessun plugin e nessuna configurazione VPN da preparare sulla macchina del fornitore.
Dove sono ospitati i dati del bastion?
In Francia e Germania, presso fornitori di hosting europei. Le registrazioni delle sessioni e i log di accesso restano nell'Unione Europea e non sono soggetti a normative extraterritoriali come il CLOUD Act statunitense.
Quanto costa un bastion?
Dipende soprattutto da come viene fornito il bastion. Un bastion installato sulla tua infrastruttura comporta di solito licenze, server o appliance da gestire, un progetto di integrazione e una manutenzione continua. Un bastion basato su browser come Heimlane Realm è invece un abbonamento: prezzo per utente e per mese, senza costi di piattaforma, senza hardware da acquistare e senza impegno minimo per gli MSP, e la prima sessione registrata parte in pochi minuti.

Guarda un bastion host moderno in azione

Quindici minuti bastano per aprire una sessione RDP registrata da un semplice browser. Richiedi una demo di Realm.

Richiedi una demo / un preventivo Contatta il team commerciale Scopri di più

Prezzo per utente. Nessun costo di piattaforma, nessun impegno minimo per gli MSP.