⚠️ FIREWALL: COSA sono e A CHI servono

Immaginate di essere l'amministratore delegato di un'azienda che produce componenti meccanici e di dover definire il budget dell'anno prossimo. Tra le spese da sostenere sicuramente ci sono due presse nuove da 140.000 euro e l'ampliamento del magazzino che ne costerà 80.000. Il vostro reparto IT ha proposto un'ulteriore voce da 12.000 euro che si chiama firewall, che attualmente è in fondo alla vostra lista dato che è l'unica cosa in quell'elenco che non vi dà alcun ritorno. Il vostro sistemista vi ha spiegato l'importanza di questa spesa già due volte. I commerciali si collegano al gestionale dell'azienda anche quando sono fuori sede, e per farli entrare qualcuno ha dovuto aprire una porta sul router aziendale. Quella porta è aperta non solo per i commerciali, ma per tutto il mondo. Chiunque, da qualsiasi paese, può provare varie combinazioni di credenziali fino a beccare quelle giuste ed entrare. Con un firewall fatto bene, entrare non sarebbe più così facile. I commerciali dovrebbero passare da un canale cifrato in cui devono prima dimostrare di essere davvero loro e la porta smetterebbe di essere visibile all'esterno. Il problema è che anche davanti a questa spiegazione a voi continua a sembrare una spesa un po' inutile. Le presse vi permettono di produrre più pezzi e il magazzino di tenere più merce, mentre il firewall non vi fa guadagnare un euro. Alla fine decidete di rimandare l'acquisto del firewall all'anno successivo. D'altronde il gestionale funziona, in 10 anni non è mai successo niente, si può aspettare ancora un po'. Dopo pochi mesi, un lunedì mattina, arrivate in ufficio e scoprite che il gestionale non si apre. Sui monitor dei PC aziendali c'è un messaggio che annuncia che tutti i file sono stati cifrati e che verranno restituiti solo dopo il pagamento di un riscatto. In assenza del firewall, dei malintenzionati avevano visto la porta del router aziendale esposta su internet e avevano passato settimane a provare combinazioni di credenziali in automatico, migliaia di tentativi al giorno, finché una non ha funzionato. Inizia a quel punto un vero e proprio calvario per l'azienda. La produzione resta ferma 11 giorni con 180.000 euro di ordini che slittano. Incaricate una società di aiutarvi a rimettere in piedi il sistema e partono altri 60.000 euro. Le penali sui contratti con i 2 clienti più grossi comportano altri 45.000 euro di esborsi che si aggiungono alle spese di avvocati e notifiche al Garante e alla CN. Fra le altre cose vi deciderete alla fine anche a comprare il firewall. Costa sempre 12.000 euro, ma questa spesa adesso si aggiunge a un conto di oltre 300.000, se solo l'aveste comprato a tempo debito. Ciao a tutti e benvenuti in questo nuovo video in cui parliamo di firewall, una tecnologia spesso confusa con la VPN e con gli antivirus, visto che molto spesso vengono tutte unite in un unico prodotto, ma che in realtà ha una sua storia e un suo funzionamento ben precisi. Ma andiamo con ordine e partiamo proprio dall'origine di questa parola: firewall, traducibile in italiano con muro tagliafuoco. Il termine viene dall'edilizia e ha una connotazione per me molto interessante. Un muro tagliafuoco in un edificio non serve a impedire gli incendi, serve a fare in modo che un incendio in corso resti confinato in una porzione dell'edificio invece di propagarsi ovunque. È qualcosa quindi che parte dal presupposto che l'incendio ci sarà e si limita a cercare di contenerlo. Chi ha preso in prestito quel nome per le reti informatiche alla fine degli anni '80 aveva in testa esattamente quel concetto. Visto che è impossibile costruire una rete inespugnabile che non si possa violare, l'unica cosa che si può fare è tentare di arginare che cosa passa da quella rete. L'idea era di dividere il traffico in due: quello di cui ci fidiamo e quello di cui non ci fidiamo, e creare una specie di buttafuori che decide cosa può passare e cosa no. Un'idea tutto sommato molto semplice che però nella pratica ha generato 40 anni di prodotti, brevetti e litigi su chi avesse inventato per primo questa tecnologia. Tanto che quando è stato chiesto a un esperto chi fosse il vero creatore del firewall, la risposta è stata: ci sono stati vari creatori e se uno qualsiasi di questi fosse stato investito da un autobus, tranquilli che il firewall lo avremmo avuto lo stesso. Quello che è certo è che nel 1988 uno studente di dottorato al primo anno alla Cornell rilascia un programma chiamato Morris Worm, in grado di replicarsi e diffondersi da solo, uno dei primissimi virus della storia. Nel giro di poche ore quel programma manda in crash una parte consistente di internet, che in quel momento era ancora chiaramente agli albori. Mentre tutti cercavano disperatamente di capire cosa fosse successo e anche come affrontare una minaccia mai vista prima di quel momento, c'era una persona che era più stupita che preoccupata. Questa persona era un ingegnere di nome Bill Cheswick che lavorava per la AT&T, una grande azienda americana di telecomunicazione. Quest'azienda aveva una gestione particolare del traffico internet creata da un ingegnere di nome David Presotto. In pratica tutti i computer aziendali potevano parlare liberamente fra di loro e scambiarsi dati, ma non potevano comunicare verso le esterno. C'era solo un computer chiamato Gateway che faceva da ponte e che era collegato sia alla rete esterna che a quella interna. Il ruolo di Bill, assunto dopo che Presotto aveva creato questa configurazione, era proprio quello di occuparsi di questo computer. Quando sente la notizia della diffusione del Morris worm, immediatamente Bill corre a controllare se i sistemi di AT&T fossero stati compromessi o meno, e con sua grande sorpresa scopre che i sistemi avevano tenuto. Il worm aveva cercato di entrare ma senza riuscirci. Il fatto di aver messo un computer a verificare cosa poteva passare nei sistemi interni e cosa no aveva fatto la differenza rispetto a tutte le aziende che invece erano state violate. Sicuramente la AT&T è stata una delle prime aziende a mettere in campo qualcosa di simile ai firewall come li conosciamo oggi, ma su chi sia stata la prima in tutto e per tutto, come dicevo, ci sono ancora molti dubbi. Ad esempio Cisco, che è una delle maggiori aziende di sicurezza informatica, dice di aver introdotto dei filtri pacchetto già a partire dal 1985. Quello che è certo è che a metà degli anni '80 la pratica di mettere dei filtri fra internet e il proprio computer stava iniziando a diffondersi e stavano nascendo varie tecniche per tenere fuori dai propri sistemi il traffico malevolo. Un ricercatore di nome Jeff Mogul, ad esempio, aveva scritto uno strumento chiamato Scrynd che si occupava di guardare i pacchetti in arrivo sul computer e decidere quali lasciar passare e quali no. Presotto, come dicevamo prima, aveva configurato un computer della TNT in modo che facesse da gateway e bloccasse il traffico in entrata, riuscendo in questo modo a contrastare il Morris worm. Quello che mancava a tutti quindi non era la tecnica, perché bene o male in molti avevano capito che si poteva prendere un computer e trasformarlo in un filtro. Il problema è che anche se in molti l'avevano capito, in pochi erano in grado di creare questa configurazione. Mancava un prodotto commerciale che richiedesse poco lavoro, quindi che fosse pronto all'uso uso senza aver bisogno di una figura ad hoc dentro l'azienda che se ne occupasse a tempo pieno. Il primo a rendersi conto di questo buco di mercato è un ingegnere di nome Marcus Rainham, che non inventa nulla di nuovo, si limita a prendere le tecniche esistenti e a combinarle in uno strumento che le persone potessero comprare, un dispositivo già configurato per raccogliere il traffico, bloccarlo, analizzarlo e permettere l'accesso solo ai pacchetti validi e autorizzati. Il prodotto di Marcus Rainham si chiama DeckSeal ed è considerato il primo firewall commerciale della storia. Da quel momento non occorreva più avere in azienda una persona esperta di gateway in grado di creare configurazioni così complesse. Bastavano i soldi. Per la precisione, bastavano $75.000, che è il prezzo a cui Marcus vende il firewall al suo primo cliente, la DuPont. 2 anni dopo, Marcus sviluppa ulteriormente il prodotto nell'ambito di un progetto finanziato dalla difesa americana. Scrive una raccolta di programmi gratuiti: uno per gestire la posta in arrivo, uno per il trasferimento di file, uno per i collegamenti da remoto e così via, ognuno con la stessa caratteristica: tutti questi programmi ricevono le richieste provenienti da fuori e le filtrano controllando se sono mandate da persone autorizzate, se sono malevole, eccetera. Installando tutti questi programmi gratuiti su un computer si ottiene di fatto un firewall completo. Contemporaneamente viene venduto anche un prodotto commerciale chiamato Gauntlet per chi voleva avere già il pacchetto completo pronto. Nello stesso periodo a Tel Aviv anche un ingegnere di nome Neil Shwed sta lavorando a un prodotto simile che nel 1983 viene anche brevettato e poi commercializzato con il nome Firewall One, con la grande differenza di avere finalmente un'interfaccia grafica che permetteva di configurarlo facilmente, mentre prima si doveva far tutto dal terminale. Come dicevo, quindi varie persone nello stesso periodo arrivano tutti insieme allo stesso risultato: Presotto, Marcus Ranum, che dirà a sua volta di non essere stato lui il creatore del firewall, citando invece Presotto come creatore, ma anche anche quello che per primo ha brevettato la soluzione, cioè appunto il nostro Gil Schwed. Ora, chiaramente i firewall che abbiamo oggi non sono gli stessi che hanno inventato nel 1980, però per capire bene come si è evoluta questa tecnologia dobbiamo prima soffermarci un attimo su come funziona in concreto un firewall. Partiamo intanto dal presupposto che qualsiasi cosa viaggi su internet, che sia una mail, una foto inviata su WhatsApp, un sito web e via dicendo, non viene spedita in un'unica volta. Viene spezzata in tanti frammenti che si chiamano pacchetti, che viaggiano separati e poi vengono riassemblati all'arrivo. Ogni pacchetto ha con sé una serie di informazioni, fra cui chi è a mandare il pacchetto, chi è che lo deve ricevere, e anche un numero che indica a quale servizio fa riferimento. Quest'ultimo numero si chiama porta e serve proprio a capire cosa sta cercando di fare quel pacchetto. Ad esempio, se inviamo un pacchetto alla porta 443, vuol dire che stiamo cercando di visitare un sito web. Web. Se viene inviato alla porta 25 vuol dire che si tratta di una mail. Se il pacchetto invece viaggia verso la porta 3369 vuol dire che stiamo cercando di collegarci a un desktop remoto, e così via. Imparare tutte queste porte è la parte più brutta del mio lavoro. Il firewall in tutto questo possiamo immaginarlo come il buttafuori di una discoteca, perché sta davanti all'ingresso del computer e ferma tutti i pacchetti che cercano di entrare, controllando da dove vengono e a quale porta stanno cercando di accedere. Ci sono essenzialmente 3 tipi di firewall: firewall o buttafuori. Il primo tipo guarda solo quelle 3 informazioni, quindi provenienza, destinazione e porta, e decide se fare entrare i pacchetti. La decisione è presa in modo molto semplice perché lui ha una lista di indirizzi e di porte ammesse, e tutto quello che non è in lista, come un pacchetto che cerca di entrare in una porta vietata o che proviene da un indirizzo non ammesso, viene bloccato. Questo tipo di firewall è velocissimo e costa poco, ma è anche molto semplice. Va configurato molto bene, altrimenti si rischia di bloccare anche il traffico legittimo oppure di ammettere tutto. Inoltre questo tipo di firewall guarda pacchetto per pacchetto, non tiene traccia di quello che è successo in precedenza, quindi analizza i pacchetti man mano che arrivano e non conserva, diciamo, una storia di quello che è successo. Il secondo tipo di firewall tiene invece un registro che controlla anche quello che noi facciamo, Quando ci colleghiamo a un sito, il nostro computer manda una richiesta di collegamento e aspetta la risposta, e il firewall annota nel registro questo evento. Quando arriva la risposta dal sito, il firewall la fa passare perché sa che la stavamo aspettando. Non è che la blocca solo perché non è in una lista di cose ammesse. Se invece arriva un pacchetto che dice di essere la risposta a una nostra richiesta, ma il firewall non trova la nostra richiesta nel registro, allora il pacchetto viene bloccato perché può essere malevolo. Questo è il brevetto di Gil Shwed, quello che poi è stato messo in commercio con il nome Firewall One. Sulla carta questo tipo di firewall è meraviglioso, ma ha anch'esso un grave difetto: il registro ha una propria memoria che è limitata a un tot di richieste per volta. Esiste un tipo di attacco che consiste esattamente in questo: si aprono migliaia di richieste al secondo che poi non vengono mai portate a termine. Il firewall se le annota tutte finché non finisce lo spazio nel registro, e quando finisce lo spazio nel registro a quel punto blocca tutto il traffico in entrata e non fa passare più niente. Quindi l'azienda diventa completamente irraggiungibile, non può ricevere mail, ha il sito in down, non può ricevere ordini dallo store online e così via. Il terzo tipo di firewall è quello che in pratica non fa passare niente. Tutto quello che arriva da fuori si ferma sul computer impostato come firewall, che riconverte ogni singolo pacchetto in una nuova comunicazione che manda poi nei sistemi dell'azienda. In pratica, chi è fuori dalla rete aziendale parla sempre solo con il firewall, non c'è niente possa passare direttamente. È un po' come se io fossi fuori da una discoteca e volessi mandare un biglietto a qualcuno che si trova dentro alla discoteca. Io do il mio biglietto al buttafuori che anziché portarlo dentro e darlo alla persona interessata lo cestina e lo riscrive lui. Quindi diciamo c'è proprio una protezione aggiuntiva data dal fatto che quello che viene consegnato è qualcosa di totalmente nuovo e creato proprio ad hoc per entrare nei sistemi dell'azienda. Questa è esattamente la configurazione che avevano alla AT&T. Dove infatti il Morris Worm non è riuscito a entrare. È il più sicuro dei 3, ma ha alcuni svantaggi. Intanto ricostruire ogni singolo pacchetto e ogni conversazione da ca— Intanto ricostruire ogni singolo pacchetto e ogni conversazione da capo rallenta tutto. Inoltre serve un programma diverso per ogni tipo di servizio. Serve un programma che riconverta le mail, uno che riconverta le richieste al sito web, quindi serve un bel po' di configurazione. Quei programmi fra l'altro sono quelli che Marcus Rainham aveva creato e distribuito gratuitamente, quindi sono veramente tutti collegati questi modelli di firewall. A questo punto immagino che qualcuno di voi si stia chiedendo quale dei 3 firewall convenga comprare. La risposta è che oggi fortunatamente non abbiamo bisogno di scegliere perché i firewall moderni contengono già tutte e 3 le tipologie. Ogni pacchetto che arriva incontra prima il controllo veloce, Quello che guarda indirizzo e porta e butta fuori subito tutto quello che è palesemente malevolo o non autorizzato e non ha quindi nemmeno senso esaminare. Quello che invece passa il primo controllo arriva al registro che verifica se è un pacchetto che stavamo aspettando oppure no. Se supera anche quel controllo si arriva alla verifica del contenuto che oggi non è più lenta come una volta. Anziché ricostruire in blocco tutta la conversazione usa dei chip appositi che leggono al volo il contenuto man mano che i pacchetti arrivano. Una cosa che potreste chiedervi è: ma è proprio necessario che un firewall legga il contenuto di ogni singola cosa che facciamo su internet? Una volta poteva bastare l'indirizzo di provenienza e la porta a cui si rivolgeva il pacchetto, perché era facile capire se stavamo visitando un sito web, inviando una mail e così via, perché come dicevo ogni cosa passava da porte diverse. Oggi invece passa quasi tutto dalla porta 443, quella dei siti web. Se ci pensate, quando voi volete controllare la vostra posta su Gmail, vi collegate a Google e andate su Gmail, no? Bene, però Gmail è un sito web, quindi noi per collegarci dobbiamo passare dalla porta dei siti web, la 443. Non usiamo la porta 25, che sarebbe quella delle mail. Questo significa in poche parole che se voglio controllare che la mia azienda sia al sicuro e davanti a me, da parte dei dipendenti, ricevo solo richieste alla porta 443, devo per forza fare un controllo più approfondito che passi dal contenuto dei pacchetti. Se voglio che cosa stanno visitando, che cosa stanno ricevendo e così via, perché è veramente tutto ormai in interfaccia web, passa quasi tutto da un sito. Questa nuova categoria di firewall che unisce le 3 tecnologie precedenti e aggiunge il controllo analitico dei contenuti viene definita Next Generation Firewall e nasce nei primi anni 2000, quindi in realtà è già parecchio tempo che ce l'abbiamo. Anche questa tecnologia comunque non è perfetta, in particolare sotto 2 punti di vista: la privacy e la sicurezza. Ottime premesse. Per quanto riguarda la privacy, il problema fondamentalmente qual è? Che teoricamente il traffico sulla porta 443 è cifrato, quindi un malintenzionato che dovesse intercettarlo non riuscirebbe comunque a capire nulla, perché appunto quello che riceve sono solo cose per lui illeggibili. Il firewall però come fa a controllare se la mia azienda è al sicuro se vede passare solo traffico cifrato? Lui deve vedere il contenuto, e per vedere il contenuto deve decifrare questi pacchetti. Questo significa che in ogni rete aziendale esiste un punto preciso in cui tutte le comunicazioni protette dei dipendenti vengono decifrate, aperte, lette e poi cifrate di nuovo. Un attaccante può provare quindi o a mettere le mani sul computer di un dipendente, dove chiaramente è tutto già leggibile, oppure passare direttamente dal firewall. D'altra parte non ci sono molte alternative. L'alternativa è che il firewall faccia passare tutto senza decifrare niente, senza guardare il contenuto, e quindi saremmo molto proprio a rischio, per cui questo è un compromesso che dobbiamo accettare un po' per forza. Dal punto di vista della sicurezza, il firewall di nuova generazione non è sicuro al 100% perché banalmente nulla lo è. Il problema è che ci sono aziende che non fanno formazione ai dipendenti, non stanno attenti al phishing, non impostano controlli su chi può vedere cosa perché dicono tanto c'è il firewall. Sicuramente è un bel filtro e ci aiuta, però se l'attaccante ad esempio riesce a convincere un dipendente a dargli le credenziali di accesso a un sistema potrà entrare senza che il firewall possa fare nulla per fermarlo. I rischi sono molto aumentati con il lavoro da remoto. In alcune aziende lavorare in sede o a casa non comporta grandi differenze, magari il dipendente lavora per lo più usando le mail, i documenti su Drive, le video call e così via. In altre però il dipendente che lavora da casa ha bisogno di collegarsi da remoto al computer in ufficio per poter vedere determinati file o accedere al gestionale. È qui che arriviamo al caso che abbiamo visto a inizio video. Se un gestionale sul server della nostra azienda e per far collegare i dipendenti decidiamo di aprire una porta ed esporla su internet, chiunque è potenzialmente in grado di vederla ed entrarci. Con un firewall configurato bene il problema si risolve: la porta del gestionale viene chiusa verso l'esterno, quindi nessuno da fuori è in grado di trovarla, il dipendente si collega al firewall con le proprie credenziali di accesso e se sono giuste il firewall gli apre un canale cifrato dentro cui può raggiungere il gestionale come se fosse in ufficio. Detto questo, ci tengo a chiarire che non è che il firewall serva a tutti sempre comunque, o meglio, non è che abbiamo tutti bisogno di acquistare un software fatto apposta. A casa, per esempio, non dovete fare assolutamente niente perché il firewall è già dentro al router. Le uniche due cose che vi consiglio caldamente di fare sono: 1, cambiare la password di amministrazione del router per evitare di lasciare quelle default che spesso si trovano anche su internet, e 2, installare gli aggiornamenti quando il produttore li rilascia. Tutto qui. In un'azienda che lavora solo in cloud con la posta su Google o Microsoft, i documenti sui vari Drive e nessun server in sede, il firewall serve molto meno di quanto si possa pensare, perché in sede non c'è qualcosa che i dipendenti hanno bisogno di raggiungere da remoto. Lì ha più senso investire in una formazione solida del personale sui rischi cyber e sul controllare che tutti abbiano l'autenticazione a più fattori, gli accessi solo necessari a quello che devono fare. Il firewall si può anche avere, per carità, ma serve meno. Diventa invece molto importante quando in azienda c'è qualcosa di fisico che qualcuno deve poter raggiungere da fuori. Penso ad esempio a un gestionale che gira su un server in sede, all'impianto di videosorveglianza, ai macchinari collegati alla rete, al sistema che controlla la produzione. Tutto quello che deve stare esposto su internet perché serve che qualcuno da fuori lo raggiunga deve essere protetto adeguatamente e un firewall qui è la scelta migliore. Una brevissima parentesi: io comunque in tutto il video ho parlato del firewall normale, quello che protegge tutto, ma questo ha anche un cugino specializzato che si chiama WAF, Web Application Firewall, che serve a proteggere nello specifico i siti web. E quello può impostarlo chiunque abbia un sito e voglia mantenerlo online senza avere problemi. Chiusa parentesi, tornando al firewall classico, ovviamente va configurato molto bene facendo fare il lavoro a un professionista, che può essere il reparto IT o un consulente all'esterno seguendo alcuni principi base. Intanto si aprono solo le porte strettamente necessarie e il resto rimane chiuso. Poi si stabiliscono delle regole su cosa è ammesso e cosa no, e si rivedono queste regole costantemente per controllare che sia sempre tutto valido e aggiornato. Terza cosa: si deve controllare bene anche quello che esce, non solo quello che entra, perché magari un malintenzionato riesce comunque a entrare nel sistema e da lì inizia a esportare una marea di È meglio quindi avere un firewall integrato e fatto bene che mandi anche degli alert ogni volta che c'è un traffico anomalo di dati in uscita. Ultimo ma non meno importante, controlliamo adeguatamente che il pannello di amministrazione del firewall non sia accessibile dall'esterno, altrimenti ci capita la stessa cosa che è successo a FortiGate, che 2 mesi fa ha portato a un bagno di sangue dei firewall. Ma di questo ne parliamo nel video della prossima settimana. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti cosa ne pensate e fate anche delle precisazioni tecniche se ne sapete più di me. Se volete approfondire trovate nella descrizione tutti i link alle principali fonti utilizzate per il video. Noi ci rivediamo la prossima settimana con il video dedicato a FortiBlid, il caso su FortiGate che a giugno ha fatto scalpore. A presto!