Nell’immaginario comune il firewall è un muro che protegge dall’esterno. Nelle reti aziendali reali il suo compito più importante è un altro: separare l’interno. Impedire che un problema nato su una postazione amministrativa raggiunga i server, i macchinari di produzione o le casse.
Un firewall moderno non guarda solo porte e indirizzi, ma riconosce le applicazioni, ispeziona il traffico cifrato e applica regole per utente. Questo lo rende molto più utile — e molto più dipendente da una configurazione fatta bene. Un firewall costoso configurato in modo permissivo protegge meno di uno modesto configurato con criterio.
Che cosa fa oggi, e cosa non fa più da solo
Il firewall nasce come guardiano del confine: decide che cosa può entrare e uscire dalla rete aziendale. È una funzione ancora necessaria, ma da sola difende da uno scenario che oggi è minoritario, cioè l’attacco che arriva dall’esterno bussando alla porta.
La maggior parte degli incidenti che ricostruiamo non forza il perimetro: entra da dentro, attraverso una email aperta o credenziali rubate, e da quel momento il firewall vede traffico legittimo che parte da una postazione autorizzata. È il motivo per cui un firewall, per contare davvero, deve fare due cose in più rispetto al filtro classico.
Guardare anche il traffico interno
Un firewall che controlla solo il confine non vede nulla di quello che succede fra le postazioni e i server. Se la rete è divisa in porzioni e il firewall regola il passaggio fra loro, un problema che entra dagli uffici non arriva alla produzione o ai backup.
Ispezionare il traffico cifrato
Quasi tutto il traffico web oggi è cifrato, quindi un apparato che non lo ispeziona sta guardando buste chiuse. L’ispezione va configurata con criterio e con le dovute esclusioni, ma senza di essa buona parte delle funzioni avanzate non ha materiale su cui lavorare.
Essere aggiornato e osservato
Un firewall riceve aggiornamenti di sicurezza come qualsiasi altro sistema, e le sue vulnerabilità sono fra le più sfruttate in assoluto perché è esposto per definizione. Un apparato non aggiornato da anni continua a funzionare benissimo, e nel frattempo è diventato la porta invece che la serratura.
Le tre configurazioni sbagliate che troviamo più spesso
Non riguardano il modello dell’apparato ma come è stato impostato, ed è il motivo per cui comprare un firewall migliore raramente risolve da solo.
Regole aggiunte e mai tolte
Ogni esigenza temporanea lascia una regola. Dopo qualche anno l’elenco contiene aperture di cui nessuno ricorda il motivo, e nessuno le rimuove per paura di rompere qualcosa. La revisione periodica delle regole è un lavoro noioso che riduce la superficie esposta più di molti acquisti.
Accesso all’amministrazione raggiungibile da Internet
Il pannello di gestione dell’apparato non deve essere aperto verso l’esterno. Quando lo è — spesso per comodità del fornitore — diventa il bersaglio più diretto che esista, perché chi lo conquista controlla tutto il resto.
Una rete sola dietro il firewall
È la configurazione più diffusa: perimetro presidiato e interno completamente piatto. Il firewall fa il suo lavoro sul confine e non ha alcun ruolo su ciò che accade dentro, che è dove accade quasi tutto.
Perché conta per un’azienda
È l’apparato su cui poggia la separazione fra uffici e produzione, che è l’intervento con il miglior rapporto fra costo e rischio evitato nelle aziende manifatturiere.
L’errore che vediamo più spesso
La domanda giusta non è quale firewall avete, ma quando è stata rivista l’ultima volta la sua configurazione. Le regole si accumulano negli anni, nessuno le rimuove, e dopo un po’ nessuno sa più perché una certa porta sia aperta.