Cos'è un firewall?

Un firewall è un dispositivo di sicurezza di rete progettato per monitorare, filtrare e controllare il traffico di rete in entrata e in uscita in base a regole di sicurezza predefinite. Lo scopo principale di un firewall è stabilire una barriera tra una rete interna attendibile e reti esterne non attendibili.

I firewall sono disponibili in formato hardware e software e funzionano ispezionando i pacchetti di dati e stabilendo se consentirli o bloccarli in base a una serie di regole. Le organizzazioni possono configurare queste regole per consentire o negare il traffico in base a vari criteri, quali indirizzi IP di origine e di destinazione, numeri di porta e tipo di protocollo. 

I firewall sono le fondamenta della sicurezza di rete, poiché proteggono la rete da accessi non autorizzati. Impediscono ai criminali informatici — hacker, bot e altre minacce — di sovraccaricare o infiltrarsi in una rete privata per sottrarre dati sensibili.

Tradizionalmente, i firewall regolano il traffico formando un perimetro sicuro attorno a una rete o a un computer. Ciò impedisce a chiunque di accedere alle risorse di rete se non è autorizzato a farlo. Senza questa protezione, praticamente chiunque potrebbe entrare e agire a proprio piacimento.

L'attuale panorama della Cybersecurity richiede un approccio su più livelli. Sebbene i firewall rimangano una pietra miliare della difesa della rete, le minacce avanzate richiedono misure di sicurezza aggiuntive. L'ascesa del cloud computing e degli ambienti di lavoro ibridi evidenzia ulteriormente la necessità di soluzioni di sicurezza complete.

Fortunatamente, le tecnologie firewall all'avanguardia con servizi basati sull'IA stanno mettendo al passo la sicurezza di rete. Combinando i punti di forza degli strumenti tradizionali con le funzionalità innovative delle nuove soluzioni, i fornitori di firewall moderni aiutano le organizzazioni a difendersi anche dalle strategie di attacco più complesse.

I firewall proteggono dal traffico dannoso. Sono posizionati in modo strategico al perimetro della rete o in un data center, consentendo loro di monitorare da vicino tutto ciò che tenta di attraversare questo confine.

Questa visibilità consente inoltre a un firewall di rete di ispezionare e autenticare in modo granulare i pacchetti di dati in tempo reale. Ciò implica il controllo del pacchetto di dati rispetto a criteri predefiniti per determinare se rappresenta una minaccia. Se non soddisfa i criteri, il firewall impedisce che entri o esca dalla rete.

I firewall regolano sia il traffico in entrata sia quello in uscita, proteggendo la rete da:

• Minacce esterne come virus, backdoor, e-mail di phishing e attacchi denial-of-service (DoS). I firewall filtrano i flussi di traffico in entrata, impedendo l'accesso non autorizzato ai dati sensibili e contrastando potenziali infezioni da malware.
  
• Minacce interne  come criminali informatici noti o applicazioni a rischio. Un firewall può applicare regole e policy per limitare determinati tipi di traffico in uscita, il che aiuta a identificare le attività sospette e a mitigare l'esfiltrazione di dati. Queste funzionalità evidenziano i principali vantaggi dei firewall nel ridurre la superficie di attacco e rafforzare la sicurezza di rete complessiva.

Qual è la differenza tra firewall e software antivirus? I firewall si concentrano sul controllo del traffico di rete e sulla prevenzione di accessi non autorizzati. Sono progettati per proteggere le reti da accessi non autorizzati e traffico dannoso.

Per comprendere in che modo ciò differisca dai controlli di sicurezza incentrati sulle applicazioni, esplora WAF vs firewall: un confronto diretto tra firewall per applicazioni web e firewall di rete.

Al contrario, i programmi antivirus prendono di mira ed eliminano le minacce a livello di dispositivo. Più specificamente, le differenze principali includono:

• Ambito: Il software antivirus è principalmente una soluzione Endpoint, ovvero viene installato su un singolo dispositivo. I firewall vengono distribuiti principalmente a livello di rete, ma alcune organizzazioni installano firewall in hosting direttamente su un Endpoint per una protezione aggiuntiva.
  
• Funzionalità: I firewall monitorano il traffico, bloccando i dati dannosi prima che entrino nella rete (o nell'Endpoint). Gli strumenti antivirus scansionano l'ambiente locale alla ricerca di segni di malware, ransomware e altri attacchi infettivi.

Solitamente, le aziende implementano sia i firewall sia i programmi antivirus. In quanto soluzioni complementari, ognuna di esse fornisce livelli di protezione essenziali per la salvaguardia delle risorse aziendali.

Il Network Address Translation (NAT) e la Virtual Private Network (VPN) sono due tecnologie distinte, ciascuna con le proprie funzioni relative alla sicurezza e alla connettività di rete. Mentre il NAT è principalmente associato alla traduzione degli indirizzi per scopi di routing, le VPN vengono utilizzate per creare connessioni sicure e crittografate su Internet.

Il NAT modifica gli indirizzi di destinazione o di origine dei pacchetti di dati quando passano attraverso un firewall. Questo consente a più dispositivi di connettersi a Internet utilizzando lo stesso indirizzo IP, aiutando a proteggere la rete privata dall'esposizione diretta alle minacce esterne.

In un ambiente d'ufficio, ciascun dipendente utilizza il proprio computer o dispositivo mobile per accedere a Internet per navigare, inviare e-mail e accedere ai servizi cloud. Nonostante ogni dispositivo abbia il proprio indirizzo IP privato all'interno della rete interna dell'azienda, tutto il traffico in uscita appare alle reti esterne come proveniente dallo stesso indirizzo IP pubblico assegnato all'azienda. Di conseguenza, è più difficile per i potenziali aggressori identificare e colpire i singoli dispositivi.

Una VPN è un tipo di  server proxy. Pertanto, funge da barriera tra un computer o una rete e Internet, ricevendo tutte le richieste web prima di inoltrarle alla rete.

Le VPN sono comuni ed estendono la rete privata attraverso una pubblica, come Internet. Ciò consente agli utenti di trasmettere dati in modo sicuro come se i loro dispositivi fossero direttamente connessi alla rete privata. La connessione stabilisce un tunnel crittografato tra i dispositivi remoti e la rete aziendale, consentendo un accesso sicuro.

Questa funzione è particolarmente utile in un ambiente ibrido. I dipendenti da remoto possono sfruttare le VPN per accedere alle reti aziendali e alle applicazioni critiche indipendentemente da dove o come stiano lavorando.

I firewall si sono evoluti attraverso quattro fasi distinte:

1. I firewall di prima generazione hanno avuto origine nel 1989 con l'approccio del filtraggio dei pacchetti. Questi firewall esaminano i singoli pacchetti di dati, prendendo decisioni per consentirli o bloccarli in base a regole predefinite. Tuttavia, non erano in grado di identificare se tali pacchetti contenessero codice dannoso (ovvero, malware).
2. I firewall di seconda generazione sono nati all'inizio degli anni 2000. Altrimenti noti come firewall stateful, tengono traccia dello stato delle connessioni attive. Osservando il traffico di rete, utilizzano il contesto per identificare e agire sui comportamenti sospetti. Sfortunatamente, anche questa generazione presenta i suoi limiti.
3. I firewall di terza generazione sono emersi nella seconda metà del primo decennio del 2000. Spesso chiamati proxy firewall o gateway a livello applicativo, agiscono come intermediari tra un client e un server, inoltrando le richieste e filtrando le risposte.
4. Il firewall di quarta generazione, noto anche come next-generation firewall (NGFW), è nato nel 2010. I NGFW combinano le funzionalità tradizionali con nuove funzionalità avanzate come la prevenzione delle intrusioni (IPS), il filtraggio a livello applicativo e il rilevamento avanzato delle minacce.

Sebbene ogni generazione abbia migliorato la precedente, molte iterazioni passate sono ancora in uso oggi. Analizziamo i vantaggi di ciascun firewall in modo più dettagliato. 

Un firewall stateless protegge la rete analizzando il traffico nel protocollo a livello di trasporto, il luogo in cui i dispositivi comunicano tra loro. Invece di archiviare informazioni sullo stato della connessione di rete, ispeziona il traffico pacchetto per pacchetto.

Quindi, decide di bloccare o consentire il traffico in base ai dati situati nell'"intestazione del pacchetto". Questo può includere indirizzi IP di origine e di destinazione, numeri di porta, protocolli e altre informazioni. Nel complesso, questo processo è chiamato filtraggio dei pacchetti.

Pur essendo veloci ed economici, i firewall stateless possono essere esposti a vulnerabilità di rete comuni. Fondamentalmente, hanno visibilità nulla sul sequenziamento dei pacchetti. Ciò significa che non possono rilevare pacchetti illegittimi, che potrebbero contenere vettori d'attacco o non avere una richiesta corrispondente. Per una comprensione più approfondita di come differiscono gli approcci di filtraggio stateless e stateful, esplora la nostra guida sulle differenze tra firewall stateful e stateless.

Allo stesso modo, hanno visibilità solo sull'intestazione del pacchetto, non sui suoi contenuti effettivi. Ciò rende impossibile per un firewall stateless rilevare il malware nascosto all'interno del payload di un pacchetto.

I firewall stateful tengono traccia dello stato più recente o immediato delle connessioni attive. Il monitoraggio dello stato e del contesto delle comunicazioni di rete può aiutare a identificare le minacce basandosi su informazioni più approfondite.

Ad esempio, i firewall state-aware bloccano o consentono il traffico analizzando da dove proviene, dove è diretto e il contenuto dei suoi pacchetti di dati. Inoltre, valutano il comportamento dei pacchetti di dati e delle connessioni di rete, catalogando i pattern e utilizzando queste informazioni per migliorare il rilevamento delle minacce future.

Questo approccio offre maggiore protezione rispetto al filtraggio dei pacchetti, ma incide maggiormente sulle prestazioni della rete poiché conduce un'analisi più approfondita. Peggio ancora, gli aggressori possono ingannare i firewall di ispezione stateful per far passare di nascosto connessioni dannose. Sfruttano le regole di rete e inviano pacchetti dannosi utilizzando protocolli che il firewall ritiene sicuri.

I gateway a livello di applicazione, o proxy firewall, fungono da intermediario tra i sistemi interni e quelli esterni. In particolare, operano al Livello 7 del modello Open Systems Interconnection (OSI) , ovvero il livello di applicazione. Essendo il livello più vicino all'End-user, le applicazioni del Livello 7 includono browser web, client di posta elettronica e strumenti di messaggistica istantanea.

I proxy firewall intercettano e analizzano tutto il traffico in entrata e in uscita, applicando policy di sicurezza granulari per controllare gli accessi e proteggere la rete. Offrono il filtraggio dei pacchetti, l'ispezione a livello di applicazione, il filtraggio degli URL e altro ancora. 

Gli NGFW proteggono le aziende dalle minacce informatiche emergenti. Combinano gli aspetti migliori delle precedenti tecnologie firewall con le funzionalità avanzate necessarie per mitigare i moderni attacchi informatici. Queste includono, ad esempio:

• Deep packet inspection (DPI), un metodo di esame dei contenuti dei pacchetti di dati mentre passano attraverso i punti di controllo della rete. La DPI analizza una gamma più ampia di informazioni, consentendole di individuare minacce altrimenti nascoste.
• Prevenzione delle intrusioni (IPS), un sistema che monitora il traffico in tempo reale per identificare in modo proattivo le minacce e automatizzare la risposta.
• Data Loss Prevention (DLP), una soluzione di Cybersecurity che blocca la divulgazione intenzionale e accidentale dei dati.

Gli NGFW combinano la protezione delle generazioni precedenti con le funzionalità di sicurezza avanzate sopra menzionate. Possono essere implementati come software o hardware e possono essere scalati in qualsiasi sede: uffici remoti, filiali, campus, data center e cloud. Ciò include gli ambienti OT mission-critical in cui l'implementazione di un firewall rugged garantisce una protezione affidabile contro le sfide ambientali estreme. Gli NGFW possono semplificare, unificare e automatizzare la protezione di livello enterprise con una gestione centralizzata che si estende in tutti gli ambienti distribuiti. Queste funzionalità includono:

• Sicurezza dell'Internet of Things (IoT) per individuare dispositivi BYOD, non autorizzati o shadow IT.
• Sandboxing di rete per monitorare e analizzare oggetti sospetti in un ambiente isolato
• Zero-Trust Network Access (ZTNA) per gestire l'accesso alla rete per utenti e applicazioni in base all'identità e al contesto, supportato da controlli Zero Trust basati su firewall che applicano l'ispezione del traffico basata sull'identità e la segmentazione sicura negli ambienti distribuiti.
• Sicurezza dell'Operational Technology (OT) per proteggere gli ambienti OT con piattaforma di cyber threat intelligence, IPS, applicazioni SCADA e ispezione delle minacce
• Sicurezza del Domain Name System (DNS) per monitorare, rilevare e prevenire gli attacchi a livello DNS
• Architettura Software-Defined Wide-Area Network (SD-WAN) per offrire una selezione dinamica del percorso basata su policy aziendali o applicative, policy e gestione centralizzata delle appliance, Virtual Private Network (VPN) e configurazione zero-touch.