Firewall: filtraggio dei pacchetti e next-generation

Un firewall è un dispositivo di sicurezza di rete, hardware o software, che monitora e controlla il traffico in entrata e in uscita sulla base di regole predefinite. I firewall si trovano tra le reti interne affidabili e le reti esterne non affidabili, agendo da guardiani. Sono un controllo fondamentale del perimetro, ma gli attacchi moderni che usano canali cifrati o si spostano lateralmente all'interno di zone affidabili dimostrano perché i firewall da soli non siano sufficienti e debbano essere combinati con altri livelli di difesa.

I firewall con filtraggio dei pacchetti (chiamati anche firewall stateless) esaminano ogni pacchetto isolatamente in base ai campi dell'header: IP sorgente, IP di destinazione, porta sorgente, porta di destinazione e protocollo. Applicano semplici regole di autorizzazione o negazione chiamate ACL (Access Control Lists). Poiché esaminano ogni pacchetto indipendentemente, non possono stabilire se un pacchetto faccia parte di una sessione già attiva, risultando vulnerabili agli attacchi che falsificano i valori attesi dell'header o sfruttano vulnerabilità distribuite su più pacchetti.

I firewall con ispezione stateful mantengono una tabella di stato che tiene traccia delle connessioni attive. Quando arriva un pacchetto, il firewall verifica se appartiene a una sessione già stabilita. In questo modo il traffico di risposta può passare automaticamente senza regole esplicite. I firewall stateful sono molto più sicuri dei filtri a pacchetto perché possono rilevare i pacchetti che non appartengono a una sessione valida, come i pacchetti ACK non richiesti usati nelle scansioni stealth, e applicare criteri a livello di connessione.

I firewall di nuova generazione (NGFW) aggiungono l'ispezione approfondita dei pacchetti e la consapevolezza delle applicazioni, oltre al monitoraggio dello stato. Un NGFW può identificare l'applicazione che genera il traffico, non soltanto la porta, tramite l'analisi dei protocolli e il machine learning. Tra le funzionalità principali degli NGFW figurano il controllo delle applicazioni (bloccare Dropbox indipendentemente dalla porta), l'integrazione dell'identità degli utenti (regole associate ai gruppi AD), l'IPS integrato e l'ispezione SSL/TLS. Tra i produttori figurano Palo Alto Networks, Fortinet, Check Point e Cisco Firepower.

Le regole firewall vengono valutate in ordine dall'alto verso il basso: prevale la prima regola corrispondente. Di conseguenza, le regole più specifiche devono comparire prima di quelle più generali. Una regola nega tutto implicita in fondo blocca il traffico non autorizzato esplicitamente. Tra gli errori comuni vi sono il posizionamento di una regola di autorizzazione ampia prima di una negazione specifica, lo shadowing (una regola che non viene mai applicata perché una regola precedente corrisponde sempre per prima) e la mancata autorizzazione del traffico di risposta o dei messaggi di errore ICMP da cui dipendono le applicazioni.

Un WAF (Web Application Firewall) opera al livello 7 ed è progettato specificamente per proteggere le applicazioni web da attacchi come SQL injection, XSS e CSRF. A differenza degli NGFW, che proteggono il traffico di rete in modo generale, un WAF comprende la semantica di HTTP e HTTPS e ispeziona URL, header, cookie e corpi delle richieste. I WAF possono operare in modalità di rilevamento (registrano senza bloccare) o in modalità di prevenzione (bloccano le richieste dannose). AWS WAF, Cloudflare e Imperva sono soluzioni commerciali comuni.

Poiché oggi la maggior parte del traffico è cifrata con HTTPS, le minacce possono nascondersi nelle sessioni TLS. L'ispezione SSL/TLS (chiamata anche intercettazione SSL o decrittografia) consente agli NGFW di agire come proxy man-in-the-middle: il firewall termina la connessione TLS del client, ispeziona il testo in chiaro e lo cifra nuovamente verso la destinazione. Questo consente di analizzare la presenza di malware e applicare la DLP all'interno dei tunnel cifrati. Il certificato del firewall deve essere considerato attendibile dai client, solitamente tramite la distribuzione dei criteri di gruppo ai dispositivi aziendali.

I firewall sono più efficaci quando vengono posizionati ai confini di fiducia. Un progetto comune prevede un firewall perimetrale tra Internet e la DMZ e un firewall interno tra la DMZ e la rete interna. In questo modo si crea una sottorete schermata in cui i server esposti al pubblico (web, posta) sono isolati: se vengono compromessi, l'aggressore non può raggiungere direttamente i sistemi interni. Nei progetti moderni vengono inoltre posizionati firewall tra i segmenti interni per limitare gli spostamenti laterali.

Un IDS (Intrusion Detection System) monitora il traffico e genera avvisi quando identifica schemi sospetti, ma non blocca il traffico. Un IPS (Intrusion Prevention System) è posizionato inline e può eliminare attivamente i pacchetti dannosi o reimpostare le connessioni in tempo reale. La maggior parte degli NGFW moderni include un IPS integrato. I metodi di rilevamento includono l'approccio basato sulle firme (confronto con schemi di attacco noti) e quello basato sulle anomalie (rilevamento delle deviazioni rispetto a una baseline appresa).

Un'appliance UTM (Unified Threat Management) consolida più funzioni di sicurezza in un unico dispositivo: firewall, IPS, antivirus, VPN, filtraggio web e talvolta sicurezza della posta elettronica. Gli UTM sono diffusi nelle piccole e medie imprese perché semplificano la gestione e riducono i costi. Lo svantaggio è che una singola appliance costituisce un singolo punto di guasto e potrebbe non offrire le prestazioni o la profondità delle soluzioni specializzate. In ambito aziendale, il termine UTM è stato in gran parte sostituito da NGFW.

L'esame Security+ verifica la capacità di scegliere il tipo di firewall più adatto a uno scenario specifico. Il filtraggio dei pacchetti è veloce, ma stateless e facilmente eludibile. L'ispezione stateful tiene traccia delle sessioni ed è la base delle reti moderne. Un NGFW aggiunge consapevolezza delle applicazioni, identità degli utenti e IPS integrato: è la scelta corretta per i perimetri aziendali. Un WAF protegge specificamente le applicazioni web HTTP al livello 7. Abbini sempre il controllo alla minaccia: un WAF non fermerà una scansione delle porte e un filtro a pacchetto non fermerà una SQL injection.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che i firewall con filtraggio dei pacchetti sono stateless e valutano ogni pacchetto solo in base ai campi dell'header, che i firewall stateful tengono traccia dello stato delle connessioni per consentire il traffico di risposta e rilevare i pacchetti anomali e che i firewall di nuova generazione aggiungono consapevolezza delle applicazioni, identità degli utenti e IPS integrato per un'ispezione più approfondita. Nella prossima lezione esamineremo la segmentazione di rete e le VLAN.