Un firewall decide quale traffico può passare tra due zone di rete e quale va bloccato. Detta così sembra semplice, ma esistono firewall molto diversi tra loro, che guardano informazioni diverse e lavorano in punti diversi dell'infrastruttura. Scegliere il tipo giusto e scrivere regole chiare conta più del prodotto che compri.
Dove si trova il firewall
- Firewall di rete: un apparato, o una funzione del router, che filtra il traffico tra reti, per esempio tra Internet e la LAN, o tra la rete degli ospiti e quella dei dispositivi di lavoro.
- Firewall di host: un componente del sistema operativo che filtra il traffico del singolo computer o server, come Windows Defender Firewall, nftables o firewalld su Linux, il firewall applicativo di macOS.
- Firewall cloud: gruppi di sicurezza e regole di rete offerti dai provider cloud, applicati alle singole macchine virtuali o alle reti virtuali.
Le due difese non si escludono: un firewall di rete protegge l'insieme, quello di host protegge ogni macchina anche quando un'altra della stessa rete è compromessa.
Come ragionano i firewall
Filtraggio senza stato
I filtri più semplici esaminano ogni pacchetto da solo, guardando indirizzi di origine e destinazione, protocollo e porte. Sono veloci ma limitati: per far passare le risposte a una connessione in uscita devi aprire esplicitamente anche il traffico di ritorno, con regole spesso troppo larghe.
Ispezione con stato (stateful)
Un firewall stateful tiene traccia delle connessioni attive. Quando un computer interno apre una connessione verso un server, il firewall registra la sessione e lascia passare automaticamente le risposte. Tutto il resto in ingresso viene scartato. È il comportamento standard di quasi tutti i firewall moderni, compresi quelli dei router domestici.
Firewall di nuova generazione
I cosiddetti NGFW aggiungono l'identificazione delle applicazioni indipendentemente dalla porta, l'integrazione con gli utenti della directory aziendale, sistemi di prevenzione delle intrusioni e filtri per categorie di siti. Per ispezionare il traffico cifrato devono però decifrarlo, il che richiede di installare un certificato su tutti i dispositivi e solleva questioni di riservatezza.
Web Application Firewall
Un WAF lavora a livello HTTP davanti a un sito o a un'applicazione. Riconosce schemi tipici di attacco nelle richieste, come tentativi di iniezione SQL o di inserimento di script, e può limitare le richieste per client. Non sostituisce un'applicazione scritta bene, ma riduce la superficie esposta.
Scrivere regole efficaci
Partire dal blocco predefinito
La politica più solida è negare tutto ciò che non è esplicitamente permesso. Per il traffico in ingresso da Internet questo è quasi sempre il punto di partenza. Per il traffico in uscita molte reti domestiche permettono tutto, mentre in ambito aziendale conviene limitarlo almeno per i server, che raramente hanno bisogno di raggiungere Internet liberamente.
L'ordine conta
Nella maggior parte dei firewall le regole vengono valutate dall'alto verso il basso e si applica la prima che corrisponde. Una regola generica posta troppo in alto rende inutili quelle specifiche sotto di essa.
Un esempio di insieme ordinato per un piccolo server web:
| N. | Origine | Destinazione | Porta | Azione | Nota |
|---|---|---|---|---|---|
| 1 | Qualsiasi | Server | 443/TCP | Permetti | Sito HTTPS |
| 2 | Qualsiasi | Server | 80/TCP | Permetti | Solo redirect a HTTPS |
| 3 | Rete VPN amministratori | Server | 22/TCP | Permetti | Gestione remota |
| 4 | Server | Server DNS e aggiornamenti | 53, 443 | Permetti | Uscita necessaria |
| 5 | Qualsiasi | Qualsiasi | Qualsiasi | Nega e registra | Regola finale |
Regole leggibili e documentate
- Dai a ogni regola una descrizione che spieghi il motivo e, se possibile, chi l'ha richiesta.
- Usa gruppi o alias di indirizzi e servizi invece di ripetere gli stessi valori.
- Evita regole come "qualsiasi verso qualsiasi" create per una prova e mai rimosse.
- Rivedi periodicamente l'insieme ed elimina ciò che non serve più.
Registrare senza annegare
Registra le connessioni bloccate sulle regole finali e quelle permesse verso i servizi critici. Registrare tutto produce volumi enormi che nessuno legge; non registrare niente ti lascia senza informazioni quando devi ricostruire un evento.
Errori comuni
- Esporre i pannelli di amministrazione: interfacce di gestione di router, NAS o server raggiungibili da Internet sono tra i bersagli più frequenti. Rendile accessibili solo dalla rete interna o tramite VPN.
- Dimenticare IPv6: regole accurate per IPv4 e nessuna regola per IPv6 lasciano aperta una porta di servizio.
- Fidarsi solo del firewall perimetrale: un dispositivo compromesso dentro la rete aggira il perimetro. Segmenta le reti e usa anche i firewall di host.
- Aprire intervalli di porte enormi per far funzionare un'applicazione di cui non si conoscono i requisiti.
In sintesi
- Esistono firewall di rete, di host e cloud: usali insieme, non in alternativa.
- I firewall stateful lasciano passare le risposte e bloccano le connessioni in ingresso non richieste.
- Parti dal blocco predefinito e permetti solo ciò che serve, in un ordine ragionato.
- Documenta ogni regola, rivedi l'insieme e registra con criterio.
- Non esporre interfacce di amministrazione e non dimenticare IPv6.
