Ottimizza i tuoi dispositivi firewall: consigli avanzati per la sicurezza

Oltre la configurazione predefinita

Le configurazioni predefinite dei firewall esistono per una ragione: consentono di avviare i sistemi rapidamente con il minimo attrito. Tuttavia, rappresentano anche un punto di partenza, non un obiettivo finale. Gli insiemi di regole predefiniti forniti con la maggior parte dei dispositivi firewall sono progettati per funzionare in una vasta gamma di ambienti. Privilegiano la connettività rispetto alla sicurezza, consentendo un accesso ampio che semplifica la distribuzione iniziale. Lasciarli invariati comporta un’esposizione innecessaria.

Massimizzare l'efficacia di un firewall significa andare oltre le impostazioni predefinite. Significa comprendere i modelli specifici di traffico della rete da proteggere e personalizzare di conseguenza le regole. Significa applicare il principio del minimo privilegio non solo in teoria, ma nella pratica: consentire esclusivamente ciò che è esplicitamente richiesto e negare tutto il resto. Lo sforzo richiesto è modesto rispetto al miglioramento della sicurezza ottenuto.

Igiene del set di regole: eliminare il sovraccarico accumulato

I set di regole per i firewall tendono a crescere in modo organico nel tempo. Una regola temporanea aggiunta per una visita di un fornitore diventa permanente. Una regola di test per una nuova applicazione rimane attiva molto tempo dopo che l'applicazione entra in produzione. Le eccezioni si accumulano, ognuna delle quali aggiunge complessità e potenziali vulnerabilità. Il risultato è un set di regole che nessuno comprende appieno e che contiene molte più autorizzazioni del necessario.

Revisioni regolari degli insiemi di regole affrontano questo problema. Il processo è semplice: esportare l'insieme corrente di regole, documentare la funzione effettiva di ciascuna regola, verificare se ogni regola è ancora necessaria e rimuovere o rafforzare quelle superflue. La prima revisione spesso produce la riduzione maggiore: molte organizzazioni scoprono che il 20-30% delle proprie regole può essere eliminato o consolidato. Revisioni successive individuano le piccole accumulazioni prima che diventino significative.

Registrazione degli eventi: lo strumento diagnostico sottoutilizzato

I log del firewall contengono una grande quantità di informazioni che, in molte implementazioni, rimangono inutilizzate. Ogni connessione consentita, ogni tentativo bloccato e ogni corrispondenza con una regola generano una voce di log. Questi log documentano i normali schemi di traffico, rivelano attività insolite e forniscono prove quando si verifica un problema. Tuttavia, molte organizzazioni considerano la registrazione degli eventi semplicemente come un adempimento normativo, anziché uno strumento operativo.

Una gestione efficace dei log inizia con la comprensione di ciò che viene registrato. Non tutti gli eventi richiedono lo stesso livello di dettaglio. Registrare ogni connessione consentita in un ambiente ad alto traffico crea problemi di archiviazione. Registrare invece solo le connessioni bloccate e gli eventi insoliti fornisce informazioni utilizzabili senza sovraccarico. L’elemento chiave è configurare opportunamente i livelli di log: sufficientemente dettagliati da essere utili, ma sufficientemente selettivi da essere gestibili. Revisioni regolari dei log, anche brevi, consentono di individuare problemi che gli avvisi automatici potrebbero non rilevare.

Ispezione dei protocolli industriali: oltre le regole basate sulle porte

Le regole standard dei firewall che si basano sui numeri di porta non offrono una protezione adeguata per le reti industriali. Un attaccante può inviare comandi Modbus dannosi sulla porta 502 — la porta standard Modbus — e una regola basata sulla porta li lascerebbe passare senza problemi. Il firewall rileva la porta corretta e consente il traffico senza esaminarne il contenuto.

I dispositivi firewall industriali con ispezione consapevole del protocollo analizzano il contenuto dei messaggi dei protocolli industriali. Comprendono la struttura delle richieste Modbus, l’insieme di comandi di Profinet, il formato dati di EtherNet/IP. Questa comprensione permette loro di identificare anomalie — ad esempio un comando Modbus di scrittura su un registro in sola lettura, una sequenza di comandi che non corrisponde ai normali schemi operativi, un messaggio che supera i limiti ragionevoli di dimensione. Tali anomalie indicano spesso o un errore di configurazione oppure un attacco in corso. L’ispezione consapevole del protocollo rileva entrambi i casi.

Lo standard IEC 62443 richiede esplicitamente questo tipo di applicazione vincolata del flusso di dati tra zone. Le regole basate sulle porte non soddisfano i requisiti dello standard. L’ispezione consapevole del protocollo, invece, sì. Le organizzazioni soggette a obblighi di conformità devono verificare che i propri dispositivi firewall supportino tale funzionalità e che sia configurata correttamente.

Ridondanza e failover: pianificare l’inevitabile

I dispositivi firewall falliranno inevitabilmente. Gli alimentatori si deteriorano. Gli aggiornamenti del firmware possono andare male. Gli errori di configurazione possono escludere gli amministratori. La domanda non è se il guasto avverrà, ma se la rete rimarrà protetta quando ciò accadrà.

Le configurazioni ad alta disponibilità risolvono questo problema accoppiando dispositivi firewall in configurazioni attivo-passivo o attivo-attivo. In una configurazione attivo-passivo, un dispositivo gestisce tutto il traffico mentre il secondo resta in attesa. Se il dispositivo attivo si guasta, quello passivo subentra con interruzioni minime. Nelle configurazioni attivo-attivo il traffico viene distribuito su entrambi i dispositivi, fornendo bilanciamento del carico nonché ridondanza.

Lo sforzo di configurazione non è trascurabile. Le tabelle di stato devono essere sincronizzate tra i dispositivi affinché le connessioni attive sopravvivano a un passaggio di failover. Il routing deve tenere conto del cambiamento del dispositivo attivo. I test devono verificare che il failover funzioni come previsto. Tuttavia, lo sforzo viene ripagato quando, alle 2:00 di notte, si guasta un’alimentazione e la produzione prosegue senza interruzioni.

Uno scenario reale: accesso remoto eseguito correttamente

Un'azienda idrica che fornisce servizi a un'area metropolitana di medie dimensioni aveva la necessità di offrire accesso remoto ai fornitori di attrezzature e agli appaltatori incaricati della manutenzione. La soluzione originale utilizzava un dispositivo VPN con regole di accesso ampie: qualsiasi utente autenticato poteva raggiungere qualsiasi dispositivo sulla rete OT. Tale configurazione funzionava, ma comportava un'esposizione significativa. Un account di un fornitore compromesso avrebbe consentito l'accesso all'intero sistema di controllo.

L'azienda idrica ha riprogettato l'architettura per l'accesso remoto impiegando dispositivi firewall dotati di controlli di accesso granulari. A ciascun fornitore è stato concesso l'accesso esclusivamente ai sistemi specifici di cui necessitava per fornire supporto. Gli appaltatori incaricati della manutenzione potevano raggiungere soltanto le attrezzature presso i siti da essi serviti. Il firewall applicava tali restrizioni a livello di rete, integrando l'autenticazione fornita dalla VPN con regole di autorizzazione che limitavano le azioni effettivamente consentite agli utenti autenticati. La nuova configurazione ha ridotto in modo sostanziale la superficie di attacco, senza aggiungere complessità per gli utenti legittimi.

Monitoraggio e allerte che sono davvero utili

I dispositivi firewall generano allerte per una ragione: attirare l'attenzione su eventi che richiedono un'indagine. Ma la fatica da allerta è reale. Troppi avvisi, specialmente quelli di bassa qualità, portano a notifiche ignorate e incidenti mancati. Un sistema efficace di allertamento richiede un'ottimizzazione: ridurre i falsi positivi, dare priorità agli eventi critici e garantire che le allerte raggiungano le persone giuste.

Iniziare classificando le allerte in base alla gravità. Le modifiche alla configurazione, gli accessi amministrativi e i guasti critici richiedono un'attenzione immediata. I tentativi ripetuti di accesso falliti da indirizzi esterni meritano un'indagine, ma forse non richiedono una notifica urgente alle 2 del mattino. Gli aumenti improvvisi del traffico verso destinazioni insolite rientrano in una fascia intermedia. Tale classificazione deve rispecchiare la tolleranza al rischio e i vincoli operativi dell'organizzazione. Un'operazione produttiva attiva 24 ore su 24 ha esigenze di allertamento diverse rispetto a una rete d'ufficio attiva solo durante l'orario lavorativo.

Le sessioni regolari di revisione degli avvisi, svolte settimanalmente o mensilmente, identificano schemi che singoli avvisi non rivelano. Una serie di avvisi a bassa gravità provenienti da fonti diverse potrebbe, nel complesso, indicare un attacco coordinato. Il processo di revisione fornisce inoltre un feedback per l’ottimizzazione: gli avvisi che si rivelano costantemente irrilevanti possono essere soppressi o riconfigurati.