Cosa si intende per firewall di nuova generazione?

Firewall di nuova generazione e firewall tradizionale a confronto

I firewall tradizionali funzionano sui Layer 3 e 4 del modello Open Systems Interconnection (OSI). Questo consente loro di fornire le giuste informazioni per prendere decisioni e gestire il traffico di rete tra gli host e i sistemi finali. Questi strumenti consentono o bloccano il traffico in base alla porta e al protocollo, sfruttano l'ispezione di tipo stateful e prendono decisioni in base a policy di sicurezza definite.

Con l'emergere di minacce avanzate come i ransomware, i firewall stateful hanno iniziato a rivelarsi facilmente aggirabili; di conseguenza, si è sviluppata una grande domanda per una soluzione di sicurezza migliore e più intelligente.

L'NGFW, introdotto da Gartner attorno al 2007, è definito come "un firewall di ispezione approfondita dei pacchetti che va oltre l'ispezione e il blocco di porte/protocolli e aggiunge l'ispezione a livello di applicazione, la prevenzione delle intrusioni e l'apporto di informazioni di intelligence dall'esterno del firewall". È dotato di tutte le caratteristiche di un firewall tradizionale, ma dispone di funzionalità più granulari che consentono l'applicazione delle policy in base all'identità, alla posizione, all'applicazione e al contenuto.

Come funzionano gli NGFW?

Rispetto ai firewall tradizionali, gli NGFW scavano più a fondo nel traffico di rete per capirne la provenienza. Sono quindi in grado di raccogliere una maggiore quantità di informazioni sul traffico dannoso e sulle minacce integrate che tentano di infiltrarsi nel perimetro della rete e di accedere ai dati aziendali.

Mentre un firewall tradizionale funziona solo sui Layer 3 e 4 dell'OSI, gli NGFW possono operare fino al Layer 7, ossia a livello di applicazione. Ciò significa che le minacce a livello di applicazione, che sono tra le più pericolose e penetranti, vengono bloccate prima che avvenga una violazione, consentendo così di risparmiare tempo e costi nella procedura di risoluzione.

Quali sono le funzionalità di un NGFW?

Gli NGFW, come i loro predecessori con ispezione stateful, forniscono funzioni firewall di base, come il filtraggio degli URL, l'antivirus e il supporto per le VPN di accesso remoto, ma si distinguono dai firewall con ispezione stateful in quanto dispongono di una serie di funzionalità di sicurezza avanzate:

• Sensibilità alle applicazioni: consente l'esecuzione granulare delle policy e il controllo delle applicazioni basato sulle app specifiche, il loro contenuto, l'origine, la destinazione del traffico e altro; l'esecuzione non si limita quindi alla porta, al protocollo e all'indirizzo IP.
• Ispezione approfondita dei pacchetti (DPI): analizza il contenuto dei pacchetti di rete per identificare i dettagli a livello di applicazione e individuare le minacce nascoste nel traffico apparentemente legittimo.
• Sistema di prevenzione delle intrusioni (IPS): una funzionalità che rileva e blocca le minacce note e sconosciute, esaminando il traffico per individuare modelli e comportamenti sospetti.
• Identificazione degli utenti: consente all'NGFW di associare l'attività di rete a utenti specifici, e non solo ai luoghi da cui si connettono, e può essere utilizzata nell'applicazione delle policy e nel monitoraggio basati sull'utente.
• Ispezione TLS/SSL: decifra e ispeziona il traffico cifrato con il protocollo TLS/SSL, che rappresenta la stragrande maggioranza del traffico odierno, per individuare le minacce nascoste (tuttavia, l'ispezione richiede un utilizzo intensivo del processore e ostacola le prestazioni dei firewall con vincoli hardware).
• Integrazione dell'intelligence sulle minacce: consente a un NGFW di aggiornare le protezioni in base alle minacce appena scoperte tramite più fonti, inclusi i nodi di rete dell'organizzazione e feed pubblici e di terze parti.

Perché ho bisogno di un NGFW?

Il panorama delle minacce informatiche di oggi richiede una protezione di livello avanzato, e i firewall tradizionali non sono all'altezza di questo compito. Gli NGFW sono in grado di bloccare i malware avanzati e dispongono di strumenti migliori per contrastare le minacce avanzate persistenti (APT), come ad esempio Cozy Bear, responsabile dell'attacco alla catena di approvvigionamento di SUNBURST del 2020, e Deep Panda, noto per aver sfruttato la vulnerabilità Log4Shell.

Inoltre, grazie all'intelligence integrata sulle minacce e alle opzioni per il networking e l'automazione della sicurezza, gli NGFW offrono alle organizzazioni l'opportunità di semplificare le operazioni di sicurezza e di fare il primo passo verso lo sviluppo di un centro operativo di sicurezza (SOC) consolidato.

Tuttavia, questi potenziali vantaggi celano anche alcuni problemi.

Le sfide degli NGFW

A causa delle limitazioni lato hardware, ci sono molti casi in cui le apparecchiature NGFW fisiche non riescono a soddisfare in modo efficace le esigenze degli ambienti moderni, introducendo di conseguenza molteplici problematiche.

Il backhauling del traffico per la sicurezza

Il backhauling verso un NGFW aveva senso quando i data center, gli endpoint e le risorse erano per lo più on-premise. Ma oggi, con la costante crescita della mobilità degli utenti e l'adozione del cloud, l'hardware NGFW in un data center tradizionale non riesce a rimanere al passo.

Le app cloud come Microsoft 365 sono progettate per essere accessibili direttamente tramite Internet. Ma affinché VPN e NGFW nel data center di un'organizzazione forniscano accesso e sicurezza, tutto il traffico deve passare attraverso quel data center, con un conseguente rallentamento generale. Per offrire un'esperienza utente veloce, le organizzazioni devono instradare il traffico Internet a livello locale.

La protezione dei punti di accesso a Internet locali

Proteggere i punti di accesso a Internet locali con l'hardware NGFW è possibile, ma per farlo è necessario disporre di uno stack di soluzioni di sicurezza in ogni sede, con NGFW e potenzialmente più dispositivi per ogni filiale, e tutte queste soluzioni devono essere distribuite, gestite ed eventualmente sostituite manualmente; tutto questo può diventare rapidamente estremamente complesso e costoso.

L'ispezione di tutto il traffico cifrato con TLS/SSL

Attualmente, quasi tutto il traffico web è cifrato. Per eseguire l'ispezione SSL, la maggior parte degli NGFW utilizza funzionalità proxy integrate che eseguono l'ispezione nel software, anziché a livello di chip. Questo influisce pesantemente sulle prestazioni e compromette l'esperienza utente. Tuttavia, senza un'ispezione, oltre l'85% degli attacchi potrebbe passare del tutto inosservato.

Le tipologie di NGFW

Per definizione, gli NGFW sono firewall di ispezione approfondita dei pacchetti, che operano a livello di applicazione e includono la prevenzione delle intrusioni e l'integrazione dell'intelligence sulle minacce. Oltre alle diverse funzionalità principali, gli NGFW sono disponibili in tre modalità distinte:

• Gli NGFW hardware sono dispositivi fisici creati per la distribuzione on-premise. In qualità di hardware di sicurezza dedicato, questi strumenti vengono utilizzati principalmente nei data center o per altri casi d'uso che richiedono apparecchiature fisiche.
• Gli NGFW virtuali sono basati su software e vengono eseguiti su macchine virtuali (VM). Si tratta di strumenti sufficientemente flessibili e scalabili da risultare più adatti per le app e i servizi virtualizzati e con base cloud rispetto agli NGFW hardware, ma fanno comunque affidamento sull'infrastruttura dell'organizzazione e sono quindi vincolati dalla potenza di elaborazione dell'hardware da cui provengono.
• Gli NGFW con base cloud forniscono servizi firewall di terze parti tramite il cloud. Questo consente loro di proteggere il traffico che non passa attraverso un data center tradizionale. Sono progettati per proteggere gli ambienti nativi del cloud, le reti distribuite e gli utenti in remoto, offrendo una gestione centralizzata della sicurezza e maggiore scalabilità.

Perché i firewall cloud sono il futuro

Per garantire la sicurezza e mettere in atto controlli degli accessi che proteggano i dati, le aziende cloud-first di oggi hanno bisogno di funzionalità più dinamiche e moderne, che gli NFWG non sono in grado di offrire.

Anche se le aziende hanno ancora bisogno delle funzionalità del firewall aziendale in tutti i punti di accesso a Internet locali, specialmente se utilizzano provider di servizi cloud come AWS e Azure, gli NGFW non sono stati progettati per supportare le applicazioni e le infrastrutture cloud, e le loro controparti virtuali presentano le stesse limitazioni e problematiche degli apparecchi NGFW tradizionali.

Ha senso quindi che, man mano che le applicazioni si spostano sul cloud, vi si trasferiscano anche i firewall.

I 4 principali vantaggi dei firewall cloud

• Architettura basata su proxy: questo tipo di modello ispeziona il traffico di rete in modo dinamico per tutti gli utenti, le applicazioni, i dispositivi e le sedi e ispeziona in modo nativo il traffico SSL/TLS su larga scala per rilevare i malware nascosti nel traffico cifrato. Consente inoltre di abilitare policy granulari per i firewall su più livelli, in base alle app di rete, alle app cloud, al nome di dominio completo (FQDN) e all'URL.
• IPS cloud: un IPS con base cloud offre una protezione dalle minacce sempre attiva, indipendentemente dal tipo di connessione o dalla posizione. Ispeziona tutto il traffico degli utenti all'interno e all'esterno della rete, anche il traffico SSL difficile da monitorare, per ripristinare la piena visibilità su utenti, app e connessioni a Internet.
• Sicurezza e controllo del DNS: come prima linea di difesa, un firewall cloud protegge gli utenti dal raggiungimento di domini dannosi. Ottimizza inoltre la risoluzione DNS per offrire un'esperienza utente migliore e prestazioni ottimali con le applicazioni cloud, un aspetto fondamentale per le app basate su CDN; fornisce inoltre controlli granulari per rilevare e prevenire il tunneling DNS.
• Visibilità e gestione semplificata: un firewall con base cloud offre visibilità, controllo e l'applicazione immediata delle policy su tutta la piattaforma in tempo reale. Registra ogni sessione nel dettaglio e utilizza analisi avanzate per correlare gli eventi e fornire informazioni utili sulle minacce e sulle vulnerabilità, per tutti gli utenti, le applicazioni, le API e le posizioni, da un'unica console.

Solo pochi provider possono realmente implementare la suite completa di funzionalità dei firewall cloud, e solo uno è in grado di offrire questo strumento come parte di una piattaforma di sicurezza sul cloud completa e collaudata.

Zscaler Cloud Firewall

Zscaler Firewall offre più potenza rispetto agli apparecchi NGFW, senza i costi e la complessità che derivano da questi ultimi. Parte della piattaforma integrata Zscaler Zero Trust Exchange™, offre controlli firewall di nuova generazione e sicurezza avanzata a tutti gli utenti, in tutte le sedi, per tutte le porte e i protocolli. Consente inoltre di creare punti di accesso a Internet locali veloci e sicuri e, in quanto soluzione cloud al 100%, non richiede l'acquisto, la distribuzione o la gestione di hardware.

Gli NGFW obbligano a gestire una moltitudine di funzionalità di sicurezza, e questo si traduce in un profilo di sicurezza complessivamente rigido e debole. Zscaler Firewall consente di:

• Definire e applicare immediatamente policy granulari per i firewall
• Passare dalla visibilità globale a informazioni concrete in pochi secondi
• Offri ai tuoi utenti l'IPS sempre attivo