Firewall basato sull'host e allowlisting delle applicazioni

Un firewall di rete si trova sul perimetro e filtra il traffico tra segmenti di rete. Un firewall basato sull'host viene eseguito sul singolo endpoint e filtra il traffico in entrata e in uscita da quella specifica macchina. I firewall basati sull'host forniscono una difesa in profondità: anche se un attaccante aggira il firewall di rete (tramite una VPN, un insider compromesso o un movimento laterale da un altro host infetto), il firewall dell'host applica le regole locali sul traffico. Sono particolarmente importanti per i laptop che si spostano al di fuori del perimetro aziendale e si connettono a reti non attendibili.

Windows Defender Firewall (WDF) è il firewall host integrato in tutte le versioni moderne di Windows. Supporta tre profili: Domain (connesso al dominio aziendale — in genere più permissivo), Private (rete domestica attendibile) e Public (reti non attendibili — il più restrittivo). Le regole WDF possono filtrare in base a porta, protocollo, percorso dell'applicazione, IP remoto e identità dell'utente. Lo snap-in MMC Windows Defender Firewall with Advanced Security (WFAS) e i Criteri di gruppo consentono la gestione centralizzata aziendale delle regole del firewall su tutte le macchine aggiunte al dominio.

I firewall host di Linux utilizzano il framework del kernel Netfilter, configurabile tramite iptables (legacy, ma ancora ampiamente utilizzato) o il più moderno nftables. Le regole sono organizzate in catene (INPUT, OUTPUT, FORWARD) all'interno di tabelle (filter, nat, mangle). Il criterio predefinito dovrebbe essere DROP, con regole ACCEPT esplicite per il traffico necessario: è l'approccio deny-by-default. Strumenti di livello superiore come ufw (Ubuntu) e firewalld (RHEL/CentOS) offrono interfacce più semplici, continuando a utilizzare Netfilter internamente.

I firewall basati sull'host possono applicare regole a livello applicativo, filtrando il traffico in base all'applicazione che lo ha generato e non solo alla porta. Windows Defender Firewall supporta regole basate sull'applicazione: è possibile consentire a C:\Program Files\MyApp\app.exe di stabilire connessioni in uscita, bloccando tutto il resto sulla stessa porta. In questo modo si impedisce al malware di dirottare porte consentite fingendosi un'applicazione attendibile. Le regole a livello applicativo sono significativamente più efficaci delle regole basate solo sulle porte, che possono essere aggirate associando il malware a porte comuni come la 443.

L'allowlisting delle applicazioni (precedentemente chiamato whitelisting) è un controllo di sicurezza che consente l'esecuzione su un endpoint solo delle applicazioni esplicitamente approvate. Qualsiasi eseguibile non presente nell'allowlist viene bloccato, indipendentemente dal fatto che sia malware o semplicemente software non approvato. Si tratta di una difesa efficace contro il malware, perché anche il malware nuovo e zero-day viene bloccato se non è incluso nell'elenco approvato. La difficoltà è di tipo operativo: la gestione dell'allowlist in ambienti grandi e dinamici richiede un processo maturo di gestione delle modifiche e genera un numero significativo di richieste al supporto se non viene calibrata correttamente.

AppLocker è la funzionalità di controllo delle applicazioni integrata in Windows, disponibile nelle edizioni Enterprise ed Education. Filtra l'esecuzione in base a: percorso (blocco degli eseguibili provenienti da %TEMP% o da directory scrivibili dall'utente), hash del file (consente solo hash noti e affidabili) o editore (consente software firmato da Microsoft o Adobe). I criteri AppLocker vengono distribuiti tramite Criteri di gruppo e registrati nel Registro eventi di Windows (ID evento 8003 = bloccato). Eseguire inizialmente AppLocker in Modalità di controllo — registrando i blocchi senza applicarli — consente ai team di calibrare l'allowlist prima di iniziare l'applicazione dei criteri.

WDAC è il successore più potente di AppLocker, applicato a livello del kernel anziché nello spazio utente. A differenza di AppLocker, WDAC non può essere aggirato da attaccanti con diritti di amministratore locale, il che lo rende il controllo preferito negli ambienti ad alta sicurezza. I criteri WDAC vengono scritti in XML e convertiti in file binari dei criteri, distribuiti tramite MDM (Intune) o Criteri di gruppo. WDAC consente inoltre l'integrazione con Intelligent Security Graph (ISG), che utilizza il servizio di reputazione cloud di Microsoft per consentire automaticamente il software con una reputazione attendibile, riducendo il carico operativo della gestione manuale dell'allowlist.

L'allowlisting è efficace, ma impegnativo dal punto di vista operativo. Tra le difficoltà più comuni vi sono i LOLBins (Living-Off-the-Land Binaries): gli attaccanti utilizzano strumenti di sistema Windows come PowerShell, wscript.exe e mshta.exe, generalmente presenti in ogni allowlist; l'allowlisting deve limitarne le modalità di invocazione, non solo stabilire se possono essere eseguiti. I linguaggi di scripting (PowerShell, Python) sono spesso inclusi nell'allowlist, ma possono eseguire codice dannoso. I falsi positivi — software legittimo bloccato dall'allowlist — generano richieste all'help desk e pressioni per indebolire i controlli. I programmi di allowlisting maturi gestiscono i LOLBins tramite ulteriori criteri che impongono la modalità del linguaggio vincolato.

L'allowlisting consente solo gli elementi esplicitamente approvati e blocca tutto il resto: è un approccio di sicurezza più solido. Il denylisting (blacklisting) blocca gli elementi esplicitamente noti come dannosi e consente tutto il resto: è il modello tradizionale degli antivirus. Il denylisting non è efficace contro le minacce sconosciute; l'allowlisting non è efficace contro i LOLBins e le voci di allowlist troppo ampie. La maggior parte dei programmi di sicurezza maturi utilizza l'allowlisting come controllo principale per i sistemi critici, affiancandolo al rilevamento comportamentale (EDR) per individuare l'uso improprio delle applicazioni consentite. Per i sistemi meno critici, può essere accettabile un denylist ben calibrato con monitoraggio comportamentale.

I firewall basati sull'host e l'allowlisting delle applicazioni sono controlli complementari e stratificati. L'allowlist impedisce l'esecuzione di codice non autorizzato; il firewall impedisce connessioni di rete non autorizzate da parte di codice autorizzato ma compromesso. Insieme, applicano i principi del privilegio minimo sia a livello applicativo sia a livello di rete sull'endpoint. L'aggiunta dell'EDR come terzo livello crea una struttura di difesa in profondità in cui ogni controllo rileva ciò che gli altri potrebbero non rilevare, aumentando notevolmente il costo e la complessità degli attacchi riusciti agli endpoint.

Il valore dei firewall basati sull'host dipende dalla qualità dei log che generano. Abiliti la registrazione delle connessioni bloccate per acquisire i tentativi di attacco e le violazioni dei criteri. Abiliti la registrazione delle connessioni consentite per le regole sensibili (come quelle che consentono strumenti di amministrazione), così da mantenere una traccia di controllo. Inoltri i log del firewall al SIEM per la correlazione: un modello di connessioni in uscita bloccate da un singolo host può indicare un malware che tenta callback verso il C2. In Windows, i log del firewall vengono scritti per impostazione predefinita in %systemroot%\System32\LogFiles\Firewall\pfirewall.log e dovrebbero essere inoltrati tramite Windows Event Forwarding (WEF) o un agente di log.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che: i firewall basati sull'host (Windows Defender Firewall, iptables) filtrano il traffico per endpoint adottando un approccio deny-by-default e regole con ambito applicativo; l'allowlisting delle applicazioni (AppLocker, WDAC) impedisce l'esecuzione di eseguibili non autorizzati, incluso il malware; infine, la stratificazione di firewall, allowlisting ed EDR crea una difesa in profondità che aumenta notevolmente il costo degli attacchi. Nella prossima lezione analizzeremo l'autenticazione delle email: SPF, DKIM e DMARC.