Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Riparazione delle esposizioni per le istanze EC2
AWS Security Hub può generare risultati sull'esposizione per le istanze Amazon Elastic Compute Cloud (EC2).
Sulla console Security Hub, l'istanza EC2 coinvolta in un rilevamento dell'esposizione e le relative informazioni identificative sono elencate nella sezione Risorse dei dettagli del risultato. A livello di codice, è possibile recuperare i dettagli delle risorse con il GetFindingsV2funzionamento dell'API CSPM Security Hub.
Dopo aver identificato la risorsa coinvolta in un rilevamento dell'esposizione, puoi eliminare la risorsa se non ti serve. L'eliminazione di una risorsa non essenziale può ridurre il profilo di esposizione e AWS i costi. Se la risorsa è essenziale, segui questi passaggi correttivi consigliati per mitigare il rischio. Gli argomenti relativi alla correzione sono suddivisi in base al tipo di caratteristica.
Un singolo risultato sull'esposizione contiene i problemi identificati in diversi argomenti relativi alla correzione. Al contrario, è possibile risolvere un problema di esposizione e ridurne il livello di gravità affrontando un solo argomento di correzione. L'approccio alla risoluzione dei rischi dipende dai requisiti organizzativi e dai carichi di lavoro.
Nota
Le linee guida sulla correzione fornite in questo argomento potrebbero richiedere ulteriori consultazioni in altre risorse. AWS
Indice
Caratteristiche di errata configurazione per le istanze EC2
Ecco le caratteristiche di configurazione errata per le istanze EC2 e le procedure di correzione suggerite.
L'istanza EC2 consente l'accesso a IMDS utilizzando la versione 1
I metadati dell'istanza sono dati sull'istanza Amazon EC2 che le applicazioni possono utilizzare per configurare o gestire l'istanza in esecuzione. Il servizio di metadati dell'istanza (IMDS) è un componente dell'istanza utilizzato dal codice sull'istanza per accedere in modo sicuro ai metadati dell'istanza. Se l'IMDS non è adeguatamente protetto, può diventare un potenziale vettore di attacco, in quanto fornisce l'accesso a credenziali temporanee e ad altri dati di configurazione sensibili. IMDSv2 offre una protezione più forte contro lo sfruttamento attraverso l'autenticazione orientata alla sessione, che richiede un token di sessione per le richieste di metadati e limita la durata della sessione. Seguendo i principi di sicurezza standard, configura le istanze Amazon EC2 per utilizzare IMDSv2 e disabilitare IMDSv1.
Correzione
Intraprendi una o più delle seguenti azioni per risolvere questa esposizione:
Verifica la compatibilità delle applicazioni
Prima di implementare IMDSv2, verifica la tua istanza per assicurarne la compatibilità con IMDSv2. Alcune applicazioni o script potrebbero richiedere IMDSv1 per le funzionalità di base e richiedere una configurazione aggiuntiva. Per ulteriori informazioni sugli strumenti e sui percorsi consigliati per testare la compatibilità delle applicazioni, consulta la Transizione all'utilizzo di Instance Metadata Service versione 2 nella Amazon Elastic Compute Cloud User Guide.
Aggiorna l'istanza per utilizzare IMDSv2
Modifica le istanze esistenti per utilizzare IMDSv2. Per ulteriori informazioni, consulta Modificare le opzioni dei metadati delle istanze per le istanze esistenti nella Amazon Elastic Compute Cloud User Guide.
Applica aggiornamenti alle istanze in un gruppo di Auto Scaling
Se la tua istanza fa parte di un gruppo Auto Scaling, aggiorna il modello di lancio o la configurazione di avvio con una nuova configurazione ed esegui un aggiornamento dell'istanza.
L'istanza Amazon EC2 ha un gruppo di sicurezza o un ACL di rete che consente l'accesso SSH o RDP.
I protocolli di accesso remoto come SSH e RDP consentono agli utenti di connettersi e gestire istanze Amazon EC2 da postazioni esterne. Quando i gruppi di sicurezza consentono l'accesso illimitato a questi protocolli da Internet, aumentano la superficie di attacco delle istanze Amazon EC2 consentendo l'accesso a Internet all'istanza. Seguendo i principi di sicurezza standard, limita l'accesso remoto a indirizzi o intervalli IP specifici e affidabili.
Correzione: modifica delle regole del gruppo di sicurezza
Limita l'accesso alle tue istanze Amazon EC2 a indirizzi IP affidabili specifici. Limita l'accesso SSH e RDP a specifici indirizzi IP affidabili o usa la notazione CIDR per specificare gli intervalli IP (ad esempio, 192.168.1). 0/24). Per modificare le regole dei gruppi di sicurezza, consulta Configura le regole dei gruppi di sicurezza nella Amazon Elastic Compute Cloud User Guide.
L'istanza Amazon EC2 ha un gruppo di sicurezza aperto
I gruppi di sicurezza fungono da firewall virtuali per le istanze Amazon EC2 per controllare il traffico in entrata e in uscita. I gruppi di sicurezza aperti, che consentono l'accesso illimitato da qualsiasi indirizzo IP, possono esporre le istanze ad accessi non autorizzati. Seguendo i principi di sicurezza standard, limita l'accesso dei gruppi di sicurezza a indirizzi IP e porte specifici.
Correzione
Esegui una o più delle seguenti azioni per risolvere questa esposizione:
Rivedi le regole del gruppo di sicurezza e valuta la configurazione corrente
Valuta quali porte sono aperte e accessibili da ampi intervalli IP, ad esempio(0.0.0.0/0 or ::/0). Per istruzioni sulla visualizzazione dei dettagli dei gruppi di sicurezza, consulta DescribeSecurityGroupsil Porting Assistant for .NET API Reference.
Modifica le regole del gruppo di sicurezza
Modifica le regole del gruppo di sicurezza per limitare l'accesso a intervalli o indirizzi IP affidabili specifici. Quando aggiorni le regole del gruppo di sicurezza, prendi in considerazione la possibilità di separare i requisiti di accesso per i diversi segmenti di rete creando regole per ogni intervallo IP di origine richiesto o limitando l'accesso a porte specifiche. Per modificare le regole dei gruppi di sicurezza, consulta Configura le regole dei gruppi di sicurezza nella Guida per l'utente di Amazon EC2.
Caratteristiche di raggiungibilità per le istanze EC2
Di seguito sono riportati i tratti di raggiungibilità per le istanze EC2 e le procedure di correzione suggerite.
L'istanza EC2 è raggiungibile tramite Internet
Le istanze Amazon EC2 con porte raggiungibili da Internet potrebbero esporre la tua istanza. La raggiungibilità può avvenire tramite un gateway Internet (incluse le istanze di Application Load Balancer o Classic Load Balancer), una connessione peering VPC o un gateway virtuale VPN. Seguendo i principi di sicurezza standard, implementa controlli di accesso alla rete con privilegi minimi limitando il traffico in entrata solo alle sorgenti e alle porte necessarie.
Correzione
Intraprendi una o più delle seguenti azioni per ovviare a questa esposizione:
Modifica o rimuovi le regole dei gruppi di sicurezza
Nella scheda Risorse, apri la risorsa per il gruppo di sicurezza Amazon EC2. Verifica se è necessario l'accesso a Internet per il funzionamento dell'istanza. Modifica o rimuovi le regole dei gruppi di sicurezza in entrata che consentono l'accesso illimitato (0.0.0.0/0o::/0). Implementa regole più restrittive basate su intervalli IP o gruppi di sicurezza specifici. Se è necessario un accesso pubblico limitato, limita l'accesso a porte e protocolli specifici necessari per la funzione dell'istanza. Per istruzioni sulla gestione delle regole dei gruppi di sicurezza, consulta Configura le regole dei gruppi di sicurezza nella Guida per l'utente di Amazon EC2.
Aggiorna gli ACL di rete
Rivedi e modifica gli elenchi di controllo degli accessi alla rete (ACL) associati alla sottorete dell'istanza. Verifica che le impostazioni ACL siano in linea con le modifiche del gruppo di sicurezza e non consentano involontariamente l'accesso pubblico. Per istruzioni sulla modifica degli ACL di rete, consulta Lavorare con gli ACL di rete nella Amazon VPC User Guide.
Metodi di accesso alternativi
Considerate le seguenti opzioni per metodi di accesso alternativi:
-
Usa NAT Gateway per la connettività Internet in uscita: per esempio in sottoreti private che richiedono l'accesso a Internet (ad esempio, per scaricare gli aggiornamenti), prendi in considerazione l'utilizzo di un gateway NAT anziché assegnare un indirizzo IP pubblico. Un gateway NAT consente alle istanze in sottoreti private di avviare connessioni in uscita a Internet impedendo al contempo le connessioni in entrata da Internet.
-
Usa Systems Manager Session Manager: Session Manager fornisce un accesso sicuro alla shell alle istanze Amazon EC2 senza la necessità di porte in ingresso, gestione di chiavi SSH o manutenzione di host bastion.
-
Usa WAF ed Elastic Load Balancing o Application Load Balancer: per le istanze che eseguono applicazioni Web, prendi in considerazione l'utilizzo di un LB AWS combinato con Web Application Firewall (WAF). I LB possono essere configurati per consentire l'esecuzione delle istanze in sottoreti private mentre il LB viene eseguito in una sottorete pubblica e gestisce il traffico Internet. L'aggiunta di un WAF al sistema di bilanciamento del carico offre una protezione aggiuntiva contro gli exploit Web e i bot.
Caratteristiche di vulnerabilità per le istanze EC2
Di seguito sono riportati i tratti di vulnerabilità delle istanze EC2 e le procedure di correzione suggerite.
L'istanza EC2 presenta vulnerabilità software sfruttabili in rete con un'elevata probabilità di sfruttamento
I pacchetti software installati sulle istanze EC2 possono essere esposti a vulnerabilità ed esposizioni comuni (CVE). I CVE critici rappresentano rischi significativi per la sicurezza dell'ambiente. AWS I responsabili non autorizzati possono sfruttare queste vulnerabilità prive di patch per compromettere la riservatezza, l'integrità o la disponibilità dei dati o per accedere ad altri sistemi. Le vulnerabilità critiche con un'elevata probabilità di sfruttamento rappresentano minacce immediate alla sicurezza, poiché il codice di exploit potrebbe già essere disponibile al pubblico e utilizzato attivamente dagli aggressori o dagli strumenti di scansione automatizzati. Correggi queste vulnerabilità per proteggere la tua istanza.
Correzione: aggiorna le istanze interessate
Esamina la sezione Riferimenti nella scheda Vulnerabilità della caratteristica. La documentazione del fornitore può includere linee guida specifiche per la correzione. Segui la correzione appropriata utilizzando queste linee guida generali:
Usa Systems Manager Patch Manager per applicare le patch sia per i sistemi operativi che per le applicazioni. Patch Manager consente di selezionare e distribuire automaticamente le patch del sistema operativo e del software su grandi gruppi di istanze. Se Patch Manager non è configurato, aggiorna manualmente il sistema operativo su ogni istanza interessata.
Aggiorna le applicazioni interessate alle versioni sicure più recenti seguendo le procedure consigliate dal fornitore. Per gestire gli aggiornamenti delle applicazioni su più istanze, prendete in considerazione l'utilizzo di Systems Manager State Manager per mantenere il software in uno stato coerente. Se gli aggiornamenti non sono disponibili, prendete in considerazione la possibilità di rimuovere o disabilitare l'applicazione vulnerabile fino al rilascio di una patch o di adottare altre misure di mitigazione, come la limitazione dell'accesso alla rete all'applicazione o la disabilitazione delle funzionalità vulnerabili.
Segui i consigli di riparazione specifici forniti nei risultati di Amazon Inspector. Ciò potrebbe comportare la modifica delle regole dei gruppi di sicurezza, la modifica delle configurazioni delle istanze o la regolazione delle impostazioni dell'applicazione.
Controlla se l'istanza fa parte di Auto Scaling Group. AMI-replacement l'applicazione di patch viene eseguita su infrastrutture immutabili aggiornando l'ID AMI configurato per distribuire nuove istanze Amazon EC2 in un gruppo Auto Scaling. Se utilizzi un' custom/golden AMI, crea un'istanza con la nuova AMI, quindi personalizza l'istanza e crea una nuova AMI dorata. Per ulteriori informazioni, vedi Applicazione delle patch agli aggiornamenti AMI (utilizzo delle AMI patchate per i gruppi di Auto Scaling).
Considerazioni future
Per prevenire situazioni future, prendi in considerazione l'implementazione di un programma di gestione delle vulnerabilità. Amazon Inspector può essere configurato per eseguire automaticamente la scansione dei CVE sulle istanze. Amazon Inspector può anche essere integrato con Security Hub per le riparazioni automatiche. Prendi in considerazione l'implementazione di una pianificazione regolare delle patch utilizzando Systems Manager Maintenance Windows per ridurre al minimo le interruzioni delle istanze.
L'istanza Amazon EC2 presenta vulnerabilità software
I pacchetti software installati sulle istanze Amazon EC2 possono essere esposti a vulnerabilità ed esposizioni comuni (CVE). I CVE non critici rappresentano punti deboli di sicurezza con gravità o sfruttabilità inferiori rispetto ai CVE critici. Sebbene queste vulnerabilità rappresentino un rischio meno immediato, gli aggressori possono comunque sfruttare queste vulnerabilità prive di patch per compromettere la riservatezza, l'integrità o la disponibilità dei dati o per accedere ad altri sistemi. Seguendo le best practice di sicurezza, correggi queste vulnerabilità per proteggere la tua istanza dagli attacchi.
Correzione: aggiorna le istanze interessate
Usa AWS Systems Manager Patch Manager per applicare le patch ai sistemi operativi. Patch Manager consente di selezionare e distribuire automaticamente le patch del sistema operativo e del software su grandi gruppi di istanze. Se Patch Manager non è configurato, aggiorna manualmente il sistema operativo su ogni istanza interessata.
Aggiorna le applicazioni interessate alle versioni sicure più recenti seguendo le procedure consigliate dal fornitore. Per gestire gli aggiornamenti delle applicazioni su più istanze, prendete in considerazione l'utilizzo di AWS Systems Manager State Manager per mantenere il software in uno stato coerente. Se gli aggiornamenti non sono disponibili, prendete in considerazione la possibilità di rimuovere o disabilitare l'applicazione vulnerabile fino al rilascio di una patch o di adottare altre misure di mitigazione, come la limitazione dell'accesso alla rete all'applicazione o la disabilitazione delle funzionalità vulnerabili.
Segui i consigli di riparazione specifici forniti nei risultati di Amazon Inspector. Ciò potrebbe comportare la modifica delle regole dei gruppi di sicurezza, la modifica delle configurazioni delle istanze o la regolazione delle impostazioni dell'applicazione.
Controlla se l'istanza fa parte di Auto Scaling Group. AMI-replacement l'applicazione di patch viene eseguita su infrastrutture immutabili aggiornando l'ID AMI configurato per distribuire nuove istanze Amazon EC2 in un gruppo Auto Scaling. Se utilizzi un' custom/golden AMI, crea un'istanza con la nuova AMI, quindi personalizza l'istanza e crea una nuova AMI dorata. Per ulteriori informazioni, vedi Applicazione delle patch agli aggiornamenti AMI (utilizzo delle AMI patchate per i gruppi di Auto Scaling).
Considerazioni future
Per prevenire situazioni future, prendi in considerazione l'implementazione di un programma di gestione delle vulnerabilità. Amazon Inspector può essere configurato per eseguire automaticamente la scansione dei CVE sulle istanze. Amazon Inspector può anche essere integrato con Security Hub per le riparazioni automatiche. Prendi in considerazione l'implementazione di una pianificazione regolare delle patch utilizzando Systems Manager Maintenance Windows per ridurre al minimo le interruzioni delle istanze.
L'istanza EC2 ha un sistema operativo End-Of-Life
L'istanza EC2 esegue un sistema operativo scaduto che non è più supportato o gestito dallo sviluppatore originale. Ciò espone l'istanza a vulnerabilità di sicurezza e potenziali attacchi. Quando i sistemi operativi raggiungono la fine del ciclo di vita, i fornitori in genere smettono di rilasciare nuovi avvisi di sicurezza. Gli avvisi di sicurezza esistenti possono anche essere rimossi dai feed dei fornitori. Di conseguenza, Amazon Inspector potrebbe potenzialmente smettere di generare risultati per CVE noti, creando ulteriori lacune nella copertura di sicurezza.
Consulta i sistemi operativi fuori produzione nella Amazon Inspector User Guide per informazioni sui sistemi operativi che hanno raggiunto la fine del ciclo di vita che possono essere rilevati da Amazon Inspector.
Correzione: aggiornamento a una versione del sistema operativo supportata
Aggiornamento a una versione supportata del sistema operativo. Nel risultato dell'esposizione, aprite la risorsa per accedere alla risorsa interessata. Prima di aggiornare la versione del sistema operativo sull'istanza, crea un'istantanea o un backup AMI nel caso in cui sia necessario eseguire il rollback. Quindi, consulta le versioni disponibili in Supported Operating Systems nella Amazon Inspector User Guide per un elenco delle versioni del sistema operativo attualmente supportate.
L'istanza EC2 contiene pacchetti software dannosi
I pacchetti dannosi sono componenti software che contengono codice dannoso progettato per compromettere la riservatezza, l'integrità e la disponibilità dei sistemi e dei dati. I pacchetti dannosi rappresentano una minaccia attiva e critica per l'istanza, in quanto gli aggressori possono eseguire codice dannoso automaticamente senza sfruttare una vulnerabilità. Seguendo le best practice di sicurezza, rimuovi i pacchetti dannosi per proteggere l'istanza da potenziali attacchi.
Correzione: rimuovi i pacchetti dannosi
Esamina i dettagli del pacchetto dannoso nella sezione Riferimenti della scheda Vulnerabilità della caratteristica per comprendere la minaccia. Rimuovi i pacchetti dannosi identificati utilizzando il gestore di pacchetti appropriato. Per un esempio, consulta lo strumento di gestione dei pacchetti nella Guida per l'utente di Amazon Linux 2023. Dopo aver rimosso i pacchetti dannosi, valuta la possibilità di eseguire una scansione per verificare che tutti i pacchetti che potrebbero essere stati installati dal codice dannoso siano stati rimossi. Per ulteriori informazioni, consulta Avvio della scansione On-demand antimalware GuardDuty in.
L'istanza EC2 contiene file dannosi
I file dannosi contengono codice dannoso progettato per compromettere la riservatezza, l'integrità e la disponibilità dei sistemi e dei dati. I file dannosi rappresentano una minaccia attiva e critica per l'istanza, in quanto gli aggressori possono eseguire codice dannoso automaticamente senza sfruttare una vulnerabilità. Seguendo le best practice di sicurezza, rimuovi i file dannosi per proteggere l'istanza da potenziali attacchi.
Correzione: rimuovi i file dannosi
Per identificare lo specifico volume Amazon Elastic Block Store (Amazon EBS) che contiene file dannosi, consulta la sezione Risorse dei dettagli relativi alla scoperta della caratteristica. Dopo aver identificato il volume con il file dannoso, crea un'istantanea del volume prima di apportare modifiche, quindi rimuovi i file dannosi identificati. Dopo aver rimosso i file dannosi, valuta la possibilità di eseguire una scansione per verificare che tutti i file che potrebbero essere stati installati dal file dannoso siano stati rimossi. Per ulteriori informazioni, consulta Avvio della scansione On-demand antimalware GuardDuty in.
Caratteristiche di impatto per le istanze EC2
Le caratteristiche di impatto descrivono il potenziale raggio di esplosione di un'esposizione. Security Hub analizza le autorizzazioni effettive del AWS Identity and Access Management principale associato all'istanza EC2 per determinare le risorse a valle che un utente malintenzionato potrebbe raggiungere se l'istanza viene compromessa, nonché la criticità aziendale di tali risorse. Ogni caratteristica di impatto identifica uno specifico modello di escalation dei privilegi. Per ridurre il raggio d'azione, esaminate i percorsi di autorizzazione descritti in ogni caratteristica e rimuovete eventuali privilegi non necessari.
Seguendo i principi di sicurezza standard, concedi il privilegio minimo fornendo solo le autorizzazioni necessarie per eseguire un'attività. Sostituisci politiche generali con politiche circoscritte che garantiscano solo le azioni e le risorse specifiche necessarie. Per identificare le autorizzazioni non utilizzate da rimuovere, utilizza IAM Access Analyzer per generare consigli basati sulla cronologia degli accessi. Per ulteriori informazioni, consulta Findings for external and inused access e Apply least-privilege permissions nella IAM User Guide.
Dispone di un percorso di esecutore privilegiato con pieno controllo
Il principale associato può passare un ruolo e inserire codice in una risorsa di calcolo che dispone già di autorizzazioni elevate. Ciò consente al principale di ottenere il pieno controllo sull'esecutore ed eseguire qualsiasi azione consentita dal ruolo dell'esecutore.
Ha un percorso diretto di escalation delle politiche
Il principale associato può modificare direttamente le politiche IAM per concedersi autorizzazioni aggiuntive, aumentando i propri privilegi senza risorse intermedie.
Dispone di un percorso di dirottamento delle politiche di fiducia
Il principale associato può modificare la politica di fiducia di un ruolo IAM per consentirsi di assumere quel ruolo, ottenendo le autorizzazioni del ruolo.
Ha un percorso di ransomware per i dati
Il principale associato può crittografare o eliminare i dati in un modo che potrebbe essere utilizzato per il ransomware, ad esempio crittografando gli oggetti Amazon S3 con una AWS KMS chiave gestita dal cliente e quindi modificando la politica della chiave.
Ha un percorso di rimozione della restrizione
Il principale associato può rimuovere le restrizioni di sicurezza come i limiti di autorizzazione, le politiche di controllo dei servizi o le dichiarazioni di rifiuto delle politiche basate sulle risorse, ampliando le funzionalità che possono fare gli altri principali o la risorsa stessa.
Ha il percorso pass role create executor
Il principale associato può creare una nuova risorsa di calcolo (come una funzione Lambda o un'istanza Amazon EC2) e assegnarle un ruolo privilegiato, riciclando efficacemente le proprie autorizzazioni attraverso la nuova risorsa.
Ha un percorso di esecuzione esistente di Swap Role
Il principale associato può modificare il ruolo IAM associato a una risorsa di elaborazione esistente, sostituendolo con un ruolo più privilegiato per aumentare l'accesso.
Ha un percorso di escalation della catena di ruoli
Il principale associato può assumere una sequenza di ruoli, in cui ogni ruolo della catena dispone di autorizzazioni progressivamente più ampie, fino a raggiungere infine un ruolo altamente privilegiato.
Dispone di un percorso di esecutore privilegiato per il codice di iniezione
Il principale associato può iniettare codice in una risorsa di elaborazione in esecuzione che dispone di autorizzazioni elevate, eseguendo operazioni arbitrarie nell'ambito del ruolo privilegiato di tale risorsa.
Ha disabilitato il percorso di audit trail
Il responsabile associato può disabilitare i servizi di registrazione o monitoraggio CloudTrail, ad esempio coprire efficacemente le tracce durante o dopo un'escalation.
Ha accesso al percorso dell'esecutore esistente
Il principale associato può richiamare o connettersi a una risorsa di elaborazione esistente e utilizzare il ruolo associato per eseguire azioni privilegiate.
Dispone di un percorso di coniazione delle credenziali
Il principale associato può creare nuove credenziali a lungo termine (come chiavi di accesso o profili di accesso) per altri principali, stabilendo percorsi di accesso persistenti che sopravvivono alla rotazione delle password o alle scadenze delle sessioni.
Dispone di un percorso di accesso ai dati di accesso ai dati
Il responsabile associato può creare una risorsa di servizio e assegnarle un ruolo con accesso a dati sensibili, ottenendo l'accesso indiretto a tali dati tramite la nuova risorsa.
Ha un percorso di dirottamento del ruolo
Il principale associato può passare un ruolo a un'attività pianificata o basata su eventi (come una funzione Lambda attivata da un evento), consentendogli di eseguire codice arbitrario con le autorizzazioni di quel ruolo.
Dispone di un percorso di accesso ai dati a hop singolo
Il principale associato può accedere direttamente alle risorse di dati sensibili (come i bucket Amazon S3 o le tabelle DynamoDB) tramite le autorizzazioni esistenti, senza bisogno di passaggi di escalation intermedi.
Ha un percorso di avanzamento delle capacità
Il principale associato dispone di un percorso di assegnazione dei privilegi che ne migliora le capacità complessive oltre a quanto suggerirebbe l'assegnazione diretta delle autorizzazioni. Questa è una classificazione generale per i percorsi che non corrispondono a uno schema più specifico.
Criticità aziendale
La criticità aziendale della risorsa principale, stabilita dalle regole di automazione o dall'inferenza del nome e dei tag.
