Ecco come un firewall regola il traffico dati

Un firewall è indispensabile per proteggere dai cyber attacchi anche le reti più piccole. Ma come funzionano i firewall e in che modo riescono a fermare attacchi e malware?

Questa è la realtà odierna: non appena è collegata a internet, la rete aziendale è sotto minaccia. I cyber criminali tentano sin da subito di infettare e danneggiare l’azienda con virus, trojan e altri espedienti, con scopi che vanno dallo spionaggio aziendale alla paralisi dell’impresa.

Affinché questo non accada, è importante che la rete aziendale disponga di un meccanismo di difesa, una specie di chiusa o di guardiano. Sono ammessi soltanto gli accessi effettivamente necessari, per tutti gli altri l’imperativo è «tu non puoi entrare». Questi guardiani digitali si chiamano firewall e bloccano qualsiasi traffico di rete non consentito. I firewall lavorano inoltre con regole in grado, all’occorrenza, di aprire, chiudere e controllare costantemente i punti di entrata e di uscita della rete aziendale, detti anche port.

Varianti di firewall

I firewall sono impiegati in diversi contesti. Sistemi operativi come Windows e MacOS contengono un software firewall che mette al riparo il singolo computer. In questo caso si parla anche di desktop firewall o personal firewall. Simili funzioni di firewall sono offerte da soluzioni di internet security di diversi fornitori.

Le piccole reti sono spesso collegate a internet mediante un router, anch’esso provvisto di un firewall integrato. La linea di difesa si trova quindi a un livello superiore: il router analizza il traffico di rete prima che questo giunga al singolo computer e blocca i pacchetti di dati indesiderati. Nelle reti più grandi si lavora di solito con un firewall hardware dedicato, che offre una prestazione maggiore e riesce a elaborare grandi volumi di traffico.

I firewall dedicati esistono in due varianti. Se il firewall è gestito dall’azienda si parla di unmanaged firewall. Chi invece non vuole avere a che fare con gli aspetti complessi della configurazione firewall ricorre alla versione managed. In questo caso un service provider si assume l’intera gestione e mette a disposizione del cliente anche l’hardware in locazione. Il firewall hardware può trovarsi presso il cliente o nel centro di calcolo del provider.

Il cloud firewall o hosted firewall rappresenta un’ulteriore evoluzione in questo campo. Qui non si tratta di un apparecchio hardware, bensì di un servizio che il provider fornisce sulla base di un’infrastruttura condivisa. Il cliente non ha bisogno di acquistare o noleggiare alcun hardware, non deve occuparsi di effettuare manutenzione e riparazioni e beneficia della sola prestazione firewall di cui necessita al momento.

Come funziona un firewall?

I firewall lavorano con una combinazione di diverse funzioni di filtro. Al centro vi è il packet filter, che analizza l’intero traffico di rete e filtra i pacchetti di dati riconosciuti come pericolosi. Questa operazione è possibile a diversi livelli:

• sulla base di regole statiche e predefinite i pacchetti di dati, che entrano da determinati port, vengono inoltrati o bloccati.
• Il packet filter dinamico, definito anche stateful inspection, verifica inoltre lo stato della connessione e invia un pacchetto di dati solo se il destinatario è pronto e intende accettarlo.
• Il packet filter, detto anche proxy firewall o deep packet inspection, compie un ulteriore passo in avanti a livello di applicazione, ispezionando inoltre il contenuto dei pacchetti per caratteristiche quali violazioni del protocollo, virus, spam e altro.

A integrazione del packet filter, i firewall offrono ulteriori funzioni di filtro come il filtro URL che blocca determinati indirizzi sulla base di una blacklist o il content filter (filtro dei contenuti) che verifica se i testi di una pagina web hanno al loro interno contenuti indesiderati.

I cosiddetti next generation firewall o firewall UTM (unified threat management), oltre alle funzioni di base, offrono anche ulteriori possibilità di analisi e applicazione di filtri. A questa categoria appartengono i sistemi di intrusion detection e di intrusion prevention (IDS/IPS), che analizzano il traffico di rete per quanto riguarda possibili tentativi di attacco e abuso e proteggono dagli attacchi conosciuti.

Cosa possono e non possono fare i firewall?

Ogni firewall sorveglia con precisione le connessioni che passano attraverso il programma. Tutto ciò che entra nella rete aziendale senza passare dal firewall non viene registrato. Anche gli attacchi interni, che da un computer di rete mirano a un altro, non possono essere bloccati dal firewall centrale nell’interfaccia tra internet e la rete aziendale. Si raccomanda quindi di installare anche un desktop firewall sui singoli PC.

Le funzioni dei classici firewall, inoltre, non sono d’aiuto per contrastare i metodi di attacco oggi più utilizzati: e-mail di phishing con link a pagine web falsificate, con documenti Office e PDF contenenti codici maligni, non possono essere eliminate con un semplice packet filter, perché la connessione tra computer e account e-mail avviene ed è legittima. In questo caso solo un firewall UTM può mettere al riparo dai problemi. Questa soluzione di sicurezza comprende anche servizi aggiuntivi come filtri web e software antivirus e garantisce una capacità di protezione nettamente superiore. In ogni caso, è sempre importante che i collaboratori siano ben formati e consapevoli in materia di sicurezza.