1. Cos'è la sicurezza perimetrale e il perimetro fluido
Sicurezza perimetrale = tecnologie, policy e procedure che proteggono la rete fidata (LAN) dalle reti non fidate (Internet, reti partner), controllando il perimetro come punto di separazione.
La sicurezza perimetrale rappresenta l'insieme delle tecnologie, politiche e procedure adottate per proteggere una rete LAN dalle minacce provenienti sia dall'esterno che dall'interno. Il perimetro di rete è il punto di separazione tra rete fidata (interna) e non fidata.
In passato il perimetro era netto: dentro = sicuro, fuori = ostile. Oggi con cloud, lavoro remoto e IoT, il perimetro è diventato fluido e distribuito. Questo ha portato all'emergere del modello Zero Trust, che non presuppone fiducia implicita nemmeno per il traffico interno.
Non solo bloccare
Prevenire, rilevare, contenere, tracciare per forensics. Il firewall è solo uno dei tasselli.
Castello e fossato
Un muro unico tra interno/esterno. Efficace negli anni '90, insufficiente oggi con SaaS e BYOD.
Identità al centro
Ogni accesso verificato: user, device, app. Da rete-centrico a identità-centrico.
La vostra scuola ha registro elettronico in cloud su classeviva.it, laboratori con PC fissi, e prof che accedono da casa in VPN. Se il perimetro fosse solo il firewall a bordo rete, chi usa il registro da casa bypasserebbe ogni controllo. Per questo servono anche firewall host-based sui PC, autenticazione MFA su ClasseViva e policy NGFW che filtrino per utente, non solo per IP. È il perimetro fluido in azione.
Tipologie di minacce
Accessi non autorizzati ai rack, furto hardware, sabotaggio, intercettazione su cavi (tapping).
Contromisure: badge, CCTV, rack chiusi, controllo accessi.
DoS/DDoS, MITM, malware (ransomware, spyware), intrusioni, sniffing.
Contromisure: firewall, IDS/IPS, antimalware, crittografia.
2. Defense in Depth — la difesa a strati e Zero Trust
Non un singolo prodotto ma più livelli sovrapposti. Se un livello cade, quelli successivi rallentano l'attaccante prima che raggiunga i dati critici. Principio della difesa in profondità.
Perimetro esterno
Firewall perimetrale, IPS, filtri email — prima linea vs Internet.
VLAN, DMZ, ACL
Dividi in zone con fiducia diversa: studenti, docenti, segreteria, server.
Host, App, Identità
EDR, patch, WAF, crittografia, DLP, MFA, AAA.
NIST SP 800-207 (2020): "never trust, always verify". Anche se sei dentro la LAN, devi autenticarti per ogni risorsa. Google BeyondCorp lavora così: niente VPN perimetrale, ogni richiesta verificata su identità + device health. In interrogazione: sappi collegare defense in depth → Zero Trust come evoluzione.
3. Il firewall — livelli TCP/IP e tipologie implementative
Sistema HW/SW che controlla e filtra il traffico tra reti a fiducia diversa in base a regole predefinite. Opera come choke point obbligatorio.
Letteralmente: muro tagliafuoco. Come in edilizia blocca un incendio tra locali, in rete blocca traffico non autorizzato tra zone.
Su quali livelli opera
| Livello TCP/IP | Cosa controlla | Esempio |
|---|---|---|
| Data-Link | Indirizzi MAC | Blocca device per MAC filtering |
| Network + Transport | IP, porte TCP/UDP, flag | Blocca 192.168.50.0/24 o porta 23 Telnet |
| Application (L7) | URL, contenuto, protocolli L7 | Blacklist siti, blocco BitTorrent, DNS inspection |
Un filtro MAC (L2) su Wi-Fi d'Istituto si spoofa in 2 secondi con macchanger. Un filtro IP/porta (L3/L4) non vede se dentro una connessione HTTP lecita su porta 80 c'è un malware. Per vedere il contenuto serve L7 → NGFW con DPI. Ogni livello aggiunge contesto, quindi sicurezza, ma anche costo CPU.
Tipologie implementative
Hardware dedicato
Cisco ASA, FortiGate, Palo Alto. Throughput elevato, HA, gestione centralizzata.
Router con ACL/ZBF
Cisco IOS con Zone-Based Firewall. Economico, comune in PMI.
Software & virtuale
Host-based con 2 NIC, o AWS Security Groups / Azure Firewall as-a-service.
4. Firewall stateless — Packet Filtering (1ª generazione)
I firewall stateless o packet filter analizzano ogni pacchetto isolatamente, senza memoria. Decisione permit/deny su: IP sorgente, IP destinazione, porta TCP/UDP, protocollo.
Per permettere risposte ai client interni, uno stateless deve permettere TCP da porte alte (>1024). Un attaccante invia pacchetto con solo flag ACK (senza SYN precedente) da porta 80 verso interno: lo stateless lo lascia passare perché vede "ACK = risposta". Non sa che non c'è stata SYN. È vulnerabile a IP spoofing e frammentazione.
Velocità e semplicità
Nessuna elaborazione contestuale → throughput massimo e basso consumo.
Cieco allo stato
Non riconosce TCP handshake, non blocca spoofing avanzato.
ACL su router
Filtri veloci L3/L4 in core, prima di NGFW più costoso.
5. Firewall stateful — Stateful Packet Inspection (SPI)
Tabella connessioni attive (5-tuple: IP src/dst, porta src/dst, protocollo + stato TCP). Permette automaticamente il ritorno di sessioni avviate dall'interno se ESTABLISHED.
I firewall stateful (SPI) tracciano lo stato di ogni sessione TCP/UDP. Non analizzano pacchetti isolati ma flussi.
| IP Src | Porta Src | IP Dst | Porta Dst | Proto | Stato |
|---|---|---|---|---|---|
| 192.168.1.10 | 52341 | 93.184.216.34 | 80 | TCP | ESTABLISHED |
| 192.168.1.11 | 48291 | 8.8.8.8 | 53 | UDP | UNCONFIRMED |
| 192.168.1.10 | 52342 | 172.217.16.46 | 443 | TCP | SYN_SENT |
Come funziona la verifica stateful
Stateless = "smemorato": guarda ogni pacchetto come se fosse il primo. Stateful = "ha memoria": ha un quadernetto (state table) dove segna chi ha aperto la connessione. In verifica: disegna SYN → SYN+ACK → ACK, e spiega perché il ritorno passa solo se la table contiene ESTABLISHED. È da 8+ all'orale.
6. Confronto stateless vs stateful
In laboratorio hai router Cisco con ACL: usi stateless per bloccare velocemente al core TELNET (23) da tutte le reti studenti → basso overhead. Sul firewall perimetrale verso Internet usi stateful perché deve gestire 400 client che navigano e garantire che solo risposte a richieste interne rientrino. Mix ideale: stateless veloce al core, stateful intelligente al bordo.
| Caratteristica | Stateless | Stateful |
|---|---|---|
| Memoria connessioni | ❌ Nessuna | ✅ State table (5-tuple + stato) |
| Velocità | ✅ Molto alta — no contesto | ⚠️ Leggermente inferiore — lookup table |
| Gestione ritorno | ❌ Servono regole esplicite (pericolose) | ✅ Automatica se ESTABLISHED |
| Protezione IP spoofing | ❌ Limitata — ACK spoof bypass | ✅ Buona — verifica handshake |
| Analisi contenuto L7 | ❌ No | ❌ No (serve NGFW/DPI) |
| Risorse HW | Basso consumo | RAM per state table, timeout management |
| Uso tipico oggi | ACL su router, filtri veloci core | Firewall perimetrali aziendali, SOHO, iptables |
| Esempio prodotto | Cisco ACL standard/estesa | FortiGate stateful, iptables con conntrack |
Sia stateless che stateful NON vedono dentro il payload. Un malware scaricato su porta 443 (HTTPS) passa come ESTABLISHED. Per ispezionare il contenuto serve NGFW con Deep Packet Inspection (DPI) e WAF — tema della prossima lezione.
7. Verifica / Esercizio
🔬 Attività — Analizza e progetta il filtraggio
Sei incaricato della sicurezza di una rete scolastica con VLAN Studenti 10.1.0.0/24, VLAN Docenti 10.2.0.0/24, server web interno 10.3.0.10:80/443. Internet su ETH0 firewall.
- Spiega con un diagramma SYN, SYN+ACK, ACK perché uno stateless che permette TCP ESTABLISHED è bypassabile con ACK spoofing. Come lo bloccherebbe uno stateful?
- Scrivi pseudo-ACL stateless vs regole stateful iptables per: permettere solo a Docenti di andare su Internet su 80/443, Studenti solo su 80 verso 10.3.0.10, e ritorno automatico. Indica dove metteresti le regole (inbound/outbound).
- Immagina che nella VLAN Studenti un PC sia infetto e faccia scan SYN verso Docenti su porta 445 (SMB). Quale firewall (stateless o stateful) lo rileva meglio? E se l'attacco fosse invece malware in download HTTPS ESTABLISHED, quale limite evidenzia e quale soluzione NGFW proporresti?
- Categorizza: intercettazione cavo in armadio, ransomware da email, MAC cloning Wi-Fi, DoS SYN flood. Per ciascuna, indica se serve controllo fisico o logico e dove in defense in depth intervieni.
1) ACK spoofing: Stateless vede flag ACK → crede sia risposta e permit. Attaccante invia: src=8.8.8.8:80 dst=10.0.0.5:12345 ACK senza SYN prima. Nessuna table → passa. Stateful cerca in table: nessuna entry SYN_SENT / ESTABLISHED con quel 5-tuple → drop. Protegge perché verifica handshake completo.
2) Regole:
Stateless ACL: permit tcp 10.2.0.0 0.0.0.255 any eq 80, permit tcp 10.2.0.0 0.0.0.255 any eq 443, permit tcp 10.1.0.0 0.0.0.255 host 10.3.0.10 eq 80, poi permit tcp any 10.0.0.0 0.255.255.255 established per ritorno (insicuro).
Stateful iptables: -A FORWARD -s 10.2.0.0/24 -o eth0 -p tcp --dport 80 -m conntrack --ctstate NEW -j ACCEPT, dport 443 NEW, -s 10.1.0.0/24 -d 10.3.0.10 --dport 80 NEW ACCEPT, -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT per ritorno sicuro, DROP finale. Outbound su LAN interface, inbound su ETH0 solo ESTABLISHED.
3) Scan vs malware: Scan SYN interno su 445: stateful vede molte SYN_SENT senza ESTABLISHED, log pieno → IPS può triggerare. Stateless vede solo pacchetti singoli → meno contesto. Malware su HTTPS ESTABLISHED: entrambi falliscono (payload cifrato/lecito su porta consentita) → serve NGFW con SSL decryption + DPI + AV + sandbox, proposto per Lezione 2.
4) Categorizzazione: Intercettazione cavo = fisica → livello fisico defense: rack chiuso + CCTV. Ransomware email = logica → perimetro esterno: filtri email + IPS. MAC cloning = Data-Link/logica + fisica: WPA3 Enterprise + 802.1X. SYN flood = logica L4 → perimetro: firewall stateful con SYN cookies + rate limiting. Defense in depth: ogni minaccia intercettata su livelli diversi.
8. Riepilogo e concetti chiave
📚 Prossimo passo — NGFW, UTM, Proxy e Bastion Host
Ora che sai filtrare per IP/porta/stato, scoprirai perché non basta più: Deep Packet Inspection, Application Control, IPS, proxy forward/reverse e il bastion host come unico ingresso amministrativo. Prepara un esempio di sito scolastico con Moodle dietro reverse proxy.