Firewall hardware

Un firewall hardware è un dispositivo di rete dedicato che controlla il traffico tra reti fidate e non fidate. È utile quando servono applicazione coerente delle policy, registrazione dei log e segmentazione del traffico, ma non sostituisce l'applicazione delle patch, la sicurezza degli endpoint o una buona configurazione dei server.

Cos'è un firewall hardware

Un firewall hardware si colloca al confine di una rete e decide quali connessioni possono entrare, uscire o spostarsi tra segmenti di rete. A differenza di un firewall software installato su un singolo host, di solito è condiviso da molti sistemi e gestito come un apparecchio separato. Questo lo rende una scelta comune per uffici, data center e piccole sale server, dove un unico dispositivo deve applicare le stesse regole a molte macchine.

La maggior parte dei firewall hardware è stateful. Tiene traccia delle connessioni attive, così può distinguere tra una risposta valida a una sessione consentita e un pacchetto inatteso proveniente dall'esterno. Molti supportano anche la traduzione degli indirizzi di rete, le VLAN, la terminazione VPN e il filtraggio consapevole delle applicazioni. Il set di funzionalità esatto è importante, perché “firewall” può significare qualsiasi cosa, dal semplice filtraggio dei pacchetti a un gateway di sicurezza completo.

Come filtra il traffico

Il firewall confronta il traffico con un insieme di regole. Le regole di solito fanno corrispondere indirizzo IP sorgente e destinazione, porta, protocollo, interfaccia e, a volte, identità dell'utente o tipo di applicazione. Il traffico che corrisponde a una regola di अनुमति passa; il traffico che non corrisponde viene negato, spesso per impostazione predefinita.

• Regole di ingresso controllano ciò che può raggiungere i sistemi interni.
• Regole di uscita limitano a quali destinazioni possono connettersi gli host interni.
• Regole di segmentazione controllano il movimento tra zone interne come le reti degli utenti, dei server, degli ospiti e di gestione.

Le unità più avanzate possono ispezionare il traffico dei livelli superiori, decifrare il traffico quando consentito o applicare controlli basati sul contenuto. Queste funzioni migliorano la visibilità, ma aumentano anche il carico sulla CPU e la complessità di gestione.

Specifiche che contano davvero

Il throughput è solo una parte del quadro. Un firewall può pubblicizzare una larghezza di banda elevata, ma avere comunque difficoltà con molti pacchetti piccoli, numerose sessioni simultanee o funzioni di ispezione attivate. Per una pianificazione reale, guarda la capacità di pacchetti al secondo, i limiti di connessioni concorrenti, la velocità di elaborazione delle regole e le prestazioni VPN, se verranno usati tunnel cifrati.

Anche il numero e la velocità delle interfacce contano. Un'unità piccola con due porte può essere sufficiente per un perimetro semplice, mentre gli ambienti segmentati spesso richiedono più porte in rame o in fibra oltre al supporto per trunk VLAN. Anche lo spazio di archiviazione per i log, la memoria per le tabelle di sessione e il supporto per alimentazione ridondante o alta disponibilità possono essere importanti nelle implementazioni più grandi.

Configurazione e progettazione delle regole

Una buona progettazione del firewall parte dalle zone, non dalle singole regole. Definisci dove cambiano i livelli di fiducia, poi decidi quale traffico debba attraversare ciascun confine. Una disposizione tipica separa i servizi esposti a Internet, i dispositivi degli utenti, i server interni e l'accesso di amministrazione. Questo riduce il rischio che un singolo servizio esposto diventi una via diretta verso tutto il resto.

Le regole devono essere ristrette e leggibili. Consenti solo le porte e le origini realmente necessarie. Evita regole temporanee troppo ampie che diventano permanenti perché nessuno le rimuove. Documenta il motivo per cui esiste ogni regola, chi ne è responsabile e quando dovrebbe essere rivista.

Limiti ed errori comuni

Un firewall hardware non risolve password deboli, servizi vulnerabili o interfacce di amministrazione esposte. Se un server è già raggiungibile su una porta consentita, il firewall non impedirà l'abuso dei bug propri di quel servizio. Inoltre non può aiutare se un aggressore è già all'interno della rete fidata e le regole interne sono troppo permissive.

• Non considerare un firewall come sostituto dell'applicazione delle patch.
• Non esporre le interfacce di gestione a Internet pubblica, a meno che non sia assolutamente necessario.
• Non dare per scontato che il default-deny sia attivo senza verificarlo.
• Non trascurare il filtraggio in uscita; gli host compromessi spesso devono contattare l'esterno.

Manutenzione e revisione continua

I firewall hanno bisogno di aggiornamenti, log e verifiche periodiche delle regole. Gli aggiornamenti del firmware e delle firme correggono i difetti del prodotto e migliorano il supporto ai protocolli. I log dovrebbero essere controllati alla ricerca di rifiuti ripetuti, connessioni in uscita insolite e cambiamenti inattesi nei modelli di origine o destinazione. Con il tempo, le vecchie regole tendono ad accumularsi; rimuovere le voci non utilizzate riduce il rischio di esposizioni accidentali.

Nella pratica, un firewall hardware funziona al meglio come parte di una progettazione a più livelli. Aiuta a definire i confini, ridurre la raggiungibilità non necessaria e rendere visibile il comportamento della rete. È più efficace quando è affiancato da gestione delle patch, hardening degli host, accesso basato sul privilegio minimo e revisioni regolari della configurazione.