I firewall come guardiani del traffico

Un firewall è un dispositivo o un software che controlla quale traffico può entrare o uscire da una rete, svolgendo il ruolo di una barriera di sicurezza. Esamina i pacchetti confrontandoli con un insieme di regole e, di conseguenza, li autorizza o li blocca. I firewall sono fondamentali per la difesa della rete e si trovano ai confini, ad esempio tra la rete interna e Internet, per impedire l'ingresso del traffico indesiderato.

Un firewall applica un insieme di regole (chiamato anche elenco di controllo degli accessi). Ogni regola stabilisce se autorizzare o negare il traffico in base a criteri come gli indirizzi IP di origine e destinazione, il numero di porta e il protocollo. Il firewall confronta il traffico con le regole nell'ordine in cui sono definite e applica la prima corrispondenza. In questo modo gli amministratori possono definire con precisione quali comunicazioni sono consentite.

Un principio fondamentale dei firewall è la negazione implicita: tutto ciò che non è consentito esplicitamente viene bloccato per impostazione predefinita. Se quindi nessuna regola autorizza un determinato tipo di traffico, il firewall lo nega. Questa impostazione di negazione predefinita è molto più sicura rispetto a consentire tutto e bloccare solo le eccezioni, perché se si dimentica una regola il sistema si chiude in modo sicuro, invece di lasciare la rete esposta.

I firewall più semplici eseguono il filtraggio dei pacchetti senza stato: valutano ogni pacchetto singolarmente, in base a campi dell'intestazione come IP e porta, senza conservare informazioni sul traffico precedente. Il filtraggio senza stato è veloce, ma limitato, perché non può stabilire se un pacchetto fa parte di una conversazione esistente e legittima oppure se è un tentativo indesiderato di intrusione.

I firewall più avanzati usano l'ispezione con stato, tenendo traccia dello stato delle connessioni attive in una tabella. Quando il computer avvia una comunicazione, il firewall la memorizza e consente automaticamente le risposte corrispondenti, bloccando invece il traffico in ingresso indesiderato che non appartiene a una sessione nota. Oggi i firewall con stato sono lo standard, perché sono più intelligenti e sicuri di quelli senza stato.

Un firewall di nuova generazione (NGFW) va oltre, esaminando il traffico a livello applicativo. Può identificare applicazioni specifiche, filtrare in base all'utente, bloccare il malware e includere funzioni di prevenzione delle intrusioni. Gli NGFW non considerano soltanto porte e indirizzi IP, ma anche la natura effettiva del traffico, consentendo un controllo dettagliato, ad esempio autorizzando la navigazione web e bloccando un'applicazione rischiosa che usa la stessa porta.

I firewall possono essere collocati in due modi:

• Firewall di rete — protegge un'intera rete sul suo perimetro, spesso tramite un'appliance dedicata.
• Firewall host — è un software installato su un singolo dispositivo, come il firewall integrato in Windows o Linux.

L'uso di entrambi offre una protezione a più livelli: il firewall di rete protegge il perimetro, mentre i firewall host proteggono singolarmente ogni dispositivo.

I firewall vengono collocati ai confini di fiducia, soprattutto tra la rete interna e Internet. Una progettazione comune usa una DMZ (zona demilitarizzata), una rete cuscinetto per server accessibili pubblicamente, come quelli web o di posta, separata dalla LAN interna tramite regole del firewall. In questo modo, anche se un server pubblico viene compromesso, la rete interna rimane protetta da un ulteriore livello.

I firewall svolgono molte funzioni di sicurezza:

• Bloccano le connessioni in ingresso indesiderate da Internet.
• Limitano il traffico in uscita ai servizi autorizzati.
• Segmentano le zone interne separandole l'una dall'altra.
• Registrano il traffico per il monitoraggio e la risposta agli incidenti.

Nel loro insieme, queste funzioni rendono il firewall fondamentale per applicare i criteri di sicurezza di un'organizzazione.

I firewall vengono spesso affiancati da sistemi di rilevamento. Un IDS (Intrusion Detection System) monitora il traffico e segnala le attività sospette, ma non le blocca. Un IPS (Intrusion Prevention System) si trova inline e può bloccare attivamente le minacce rilevate. Il firewall applica regole di autorizzazione e negazione, mentre IDS/IPS cercano modelli di attacco all'interno del traffico consentito. Gli NGFW moderni includono spesso funzionalità IPS, combinando il controllo degli accessi con il blocco delle minacce.

Per l'esame, sappia che un firewall autorizza o nega il traffico in base a regole fondate su IP, porta e protocollo, applica la negazione implicita e può essere senza stato o con stato; gli NGFW aggiungono la consapevolezza del livello applicativo. Comprenda la differenza tra firewall di rete e host e il ruolo di una DMZ per i server pubblici. Il firewall è il custode che stabilisce quale traffico può attraversare un confine di rete.

Metta alla prova le Sue conoscenze sui firewall.

Ha imparato che un firewall autorizza o nega il traffico tramite un insieme di regole basate su IP, porta e protocollo, applicando la negazione implicita a tutto ciò che non è consentito. I filtri senza stato valutano ogni pacchetto singolarmente; i firewall con stato tengono traccia delle connessioni e consentono le risposte legittime, rappresentando quindi lo standard. Gli NGFW aggiungono la consapevolezza del livello applicativo e la prevenzione delle intrusioni. I firewall possono essere appliance di rete o software host, vengono collocati ai confini di fiducia e usano una DMZ per isolare i server accessibili pubblicamente.