Dispositivi Firewall: Comprendere le basi della sicurezza di rete

Che cosa fa effettivamente un firewall sulla rete

Un dispositivo firewall si trova al confine tra reti diverse e decide quale traffico può passare e quale deve essere bloccato. Questo sembra abbastanza semplice, ma la realtà è più articolata. I primi firewall controllavano essenzialmente le intestazioni dei pacchetti rispetto a un elenco di regole — indirizzo IP sorgente, indirizzo IP di destinazione, numeri di porta — e accettavano o scartavano ciascun pacchetto in modo isolato. I dispositivi firewall moderni fanno molto di più. Mantengono tabelle di stato, monitorano le connessioni attive e analizzano i modelli di traffico anziché limitarsi a ispezionare singoli pacchetti. Questa ispezione con stato significa che il dispositivo comprende se un pacchetto appartiene a una sessione già stabilita oppure rappresenta qualcosa di nuovo e potenzialmente sospetto.

La funzione di base rimane la stessa: applicare una politica di sicurezza controllando il traffico tra zone con diversi livelli di affidabilità. Tuttavia, il grado di sofisticazione di tale applicazione è cresciuto notevolmente. Oggi un firewall adeguato esegue l’ispezione approfondita dei pacchetti, l’identificazione delle applicazioni e persino politiche basate sull’utente. Per chiunque gestisca una rete esposta a Internet pubblico — ossia quasi ogni rete — comprendere questi concetti fondamentali non è opzionale.

Perché le soluzioni software-only risultano insufficienti

I firewall software che operano su sistemi operativi generici hanno il loro ruolo. Sono comodi, spesso gratuiti e facili da distribuire su singole macchine. Tuttavia, fare affidamento su di essi come principale difesa per una rete aziendale introduce diversi problemi. Il sistema operativo host diventa esso stesso una superficie d’attacco. Se il sistema operativo sottostante presenta vulnerabilità, anche il software firewall che vi gira sopra eredita tali rischi. I dispositivi firewall hardware, al contrario, eseguono firmware progettati appositamente, con sistemi operativi semplificati che offrono un’impronta d’attacco molto più ridotta.

Anche le prestazioni rappresentano un altro fattore. I firewall software competono per i cicli della CPU e la memoria con ogni altra applicazione in esecuzione sullo stesso host. Sotto carichi di traffico elevati, l'elaborazione dei pacchetti può introdurre latenza o addirittura interrompere le connessioni. Un dispositivo firewall dedicato utilizza processori specializzati e accelerazione hardware per gestire il traffico senza impattare altri sistemi. Questa distinzione assume particolare rilevanza negli ambienti in cui l'affidabilità della rete influisce direttamente sulle operazioni: linee di produzione, sale di controllo e reti per la gestione degli impianti.

L'evoluzione dal filtraggio dei pacchetti alla consapevolezza delle applicazioni

Il passaggio dal semplice filtraggio dei pacchetti all’ispezione consapevole delle applicazioni rappresenta uno dei cambiamenti più significativi nella tecnologia dei firewall negli ultimi dieci anni. I firewall tradizionali esaminavano le informazioni del livello 3 e del livello 4—indirizzi IP e numeri di porta. Questo funzionava ragionevolmente bene quando le applicazioni utilizzavano porte prevedibili: HTTP sulla porta 80, HTTPS sulla 443, SSH sulla 22. Ma le applicazioni moderne sono più complesse: incapsulano il traffico su porte insolite, usano crittografia che nasconde i contenuti del payload e negoziano dinamicamente le connessioni.

I dispositivi firewall di nuova generazione affrontano questa problematica ispezionando il traffico a livello applicativo. Possono identificare applicazioni specifiche indipendentemente dalla porta utilizzata. Questa capacità si rivela particolarmente utile in ambienti industriali, dove le reti di tecnologia operativa impiegano protocolli specializzati come Modbus, EtherNet/IP o OPC. Un firewall convenzionale potrebbe non distinguere tra traffico Modbus legittimo e pacchetti dannosi che utilizzano per caso la stessa porta. Un dispositivo consapevole delle applicazioni può.

Come i dispositivi firewall si inseriscono in una strategia di difesa in profondità

Nessuna singola misura di sicurezza garantisce una protezione completa. I dispositivi firewall costituiscono un livello all’interno di un più ampio approccio di difesa in profondità. Il concetto è semplice: controlli di sicurezza multipli ed indipendenti, ciascuno dei quali copre eventuali lacune lasciate aperte dagli altri. Un firewall gestisce il filtraggio a livello di rete. La protezione degli endpoint affronta le minacce basate sull’host. I controlli di accesso regolano chi può fare cosa. Il monitoraggio rileva ciò che riesce a eludere gli altri strati.

La pubblicazione speciale NIST 800-82, la guida alla sicurezza dei sistemi di controllo industriale, affronta specificamente il posizionamento e la configurazione dei firewall negli ambienti di tecnologia operativa. Le indicazioni sottolineano la segmentazione — ossia la suddivisione delle reti in zone con diversi requisiti di sicurezza e il controllo del traffico tra tali zone. Questo modello a zone e condotti, formalizzato anche nella serie di standard IEC 62443, considera i firewall come meccanismo principale per far rispettare i confini tra domini di sicurezza.

Vincoli pratici che cambiano tutto

La teoria appare pulita sulla carta. La pratica raramente lo è. Un impianto manifatturiero nel sud-est degli Stati Uniti ha incontrato questa realtà durante un progetto di aggiornamento della rete. Il team aveva progettato un’architettura segmentata con dispositivi firewall che separavano la rete IT aziendale dal reparto produttivo. Una prassi standard, conforme alle linee guida. Ma, al momento dell’attivazione delle regole, una serie di controller logici programmabili (PLC) ha iniziato a generare timeout di comunicazione. I firewall stavano ispezionando il traffico Modbus, introducendo una latenza sufficiente a far superare ai PLC le proprie tolleranze temporali.

La soluzione non consisteva nell’eliminare i firewall—questo avrebbe vanificato lo scopo della sicurezza. Invece, il team ha riconfigurato la profondità dell’ispezione, applicato regole meno aggressive per i flussi di traffico notoriamente sicuri e aggiunto dispositivi firewall industriali dedicati, in grado di comprendere i requisiti temporali del protocollo. La lezione è rimasta impressa: i controlli di sicurezza devono tenere conto dei vincoli operativi, non solo delle migliori pratiche teoriche. Un firewall che interrompe la produzione è peggiore dell’assenza totale di firewall, poiché viene aggirato o disattivato.

Considerazioni pratiche per l’implementazione

Il deployment di dispositivi firewall richiede di rispondere ad alcune domande fondamentali prima di toccare qualsiasi hardware. Quale traffico deve effettivamente fluire tra le zone? Quali protocolli sono in uso e presentano requisiti specifici in termini di tempistica o latenza? Chi necessita di accesso amministrativo e da dove? Cosa accade in caso di guasto del firewall: il traffico passa in modalità predefinita allow oppure deny?

Le risposte variano in base all'ambiente. Una rete aziendale ha priorità diverse rispetto a un impianto di trattamento delle acque reflue o a un sistema di automazione per magazzini. Il filo conduttore è che le regole del firewall devono seguire il principio del minimo privilegio: consentire esclusivamente ciò che è esplicitamente necessario e negare tutto il resto. Ciò sembra ovvio, ma nei casi reali i set di regole spesso accumulano eccezioni nel tempo fino a somigliare a un formaggio svizzero. Revisioni periodiche delle regole e sessioni di pulizia prevengono questo graduale deterioramento della sicurezza.