Oltre lo stateful — perché i firewall tradizionali non bastano più
Nella lezione precedente abbiamo visto come il firewall stateful rappresenti un notevole passo avanti rispetto allo stateless: mantiene lo stato delle connessioni e gestisce automaticamente il traffico di ritorno. Tuttavia ha un limite fondamentale: non vede il contenuto dei pacchetti.
Considera questo scenario: un attaccante invia un payload malevolo all’interno di una risposta HTTP sulla porta 80 — una porta che qualsiasi firewall stateful lascia passare perché “è traffico web”. Il firewall vede solo porta 80, connessione ESTABLISHED, e lascia passare tutto. Il codice malevolo entra indisturbato.
NGFW — Next Generation Firewall
I Next Generation Firewall (NGFW) rappresentano la terza generazione della sicurezza perimetrale. Mantengono tutte le capacità dei firewall stateful ma aggiungono funzionalità che operano al livello applicativo, consentendo di vedere non solo chi comunica con chi ma anche cosa viene comunicato e da quale applicazione.
Il WAF è un componente specializzato che alcuni NGFW integrano, ma che esiste anche come prodotto indipendente. Protegge specificamente le applicazioni web da attacchi come SQL Injection, Cross-Site Scripting (XSS), CSRF e attacchi DDoS a livello applicativo. A differenza del DPI generico, il WAF conosce la semantica di HTTP/HTTPS e delle API REST. Esempi: AWS WAF, Cloudflare WAF, ModSecurity (open source).
UTM — Unified Threat Management
Un apparato UTM integra in un’unica piattaforma molteplici servizi di sicurezza che tradizionalmente richiedevano dispositivi separati. L’obiettivo è semplificare la gestione della sicurezza perimetrale, soprattutto nelle PMI e nelle organizzazioni con team IT limitati.
Un solo apparato da configurare, aggiornare e monitorare al posto di 5-8 dispositivi separati. Riduzione drastica della complessità operativa e del costo totale di gestione (TCO).
Il Single Point of Failure: se l’UTM è compromesso o guasto, tutta la sicurezza perimetrale viene meno. Nei contesti enterprise si preferisce stratificare più vendor diversi.
Proxy Server
Un proxy server è un intermediario che si interpone tra client e server, ricevendo le richieste per conto dei client e inoltrandole verso la destinazione. Dal punto di vista del server di destinazione, la richiesta sembra provenire dal proxy, non dal client originale.
Esistono due tipologie principali con funzioni opposte:
Forward Proxy
Il forward proxy si posiziona davanti ai client interni, gestendo le loro richieste verso Internet. Il client è configurato esplicitamente per usare il proxy (oppure il traffico viene reindirizzato trasparentemente).
→
→
- Filtraggio contenuti — blocca categorie di siti
- Caching — memorizza risorse frequenti, riduce latenza
- Anonimizzazione — nasconde gli IP interni
- Logging — traccia le attività degli utenti
- Scuole e uffici pubblici — web filtering obbligatorio
- Aziende — controllo navigazione dipendenti
- Reti aziendali — ottimizzazione banda con caching
Reverse Proxy
Il reverse proxy si posiziona davanti ai server interni, ricevendo le richieste provenienti da Internet e distribuendole ai server di backend. Dal punto di vista del client esterno, sta parlando con il reverse proxy — i server reali sono invisibili.
→
→
- Nasconde IP reali dei server backend
- WAF integrato — filtra SQL injection, XSS
- Terminazione TLS — gestisce la cifratura HTTPS
- Protezione DDoS — assorbe picchi di traffico
- Load balancing — distribuisce il carico
- Caching — riduce il carico sui server
- Compressione — ottimizza la trasmissione
- Esempi: Nginx, Apache, AWS ALB, Cloudflare
Proxy pubblici e rischi di sicurezza
Molti utenti usano proxy pubblici gratuiti per aggirare restrizioni geografiche o nascondere il proprio IP. I rischi sono concreti: il gestore del proxy può intercettare tutto il traffico non cifrato, iniettare pubblicità o malware nelle pagine, registrare le attività. Per attività sensibili si raccomanda sempre l’uso di VPN controllate internamente o provider fidati.
Forward vs Reverse — confronto diretto
Bastion Host
Il bastion host (letteralmente: bastione) è un sistema appositamente progettato per essere esposto verso reti non fidate — Internet o una DMZ — e costituisce il punto di accesso critico alla rete. È il sistema più vulnerabile agli attacchi, e per questo viene sottoposto al massimo livello di hardening.
- Il NGFW supera lo stateful aggiungendo DPI, Application Control, IPS, Identity Management e SSL Inspection — vede il contenuto e il contesto, non solo IP e porte
- Il WAF è un componente specializzato per la protezione delle applicazioni web (SQL injection, XSS) — può essere integrato nel NGFW o deployato separatamente
- Un apparato UTM unifica firewall, antivirus, IPS, VPN, web filtering e logging in una piattaforma — vantaggio in semplicità, rischio di single point of failure
- Il forward proxy protegge i client interni verso Internet; il reverse proxy protegge i server interni dall’esterno — posizioni e obiettivi opposti
- Il bastion host è il sistema più esposto della rete e per questo il più hardened — principio del servizio minimo essenziale