Che cos'e' un firewall

CHE COS'E' UN FIREWALL

Quando una rete locale usa tecnologie tipiche di Internet (protocollo TCP/IP, servizi telnet, mail, ftp, http), si parla di una INTRANET.

Quando più Intranet si collegano via Internet il risultato è una EXTRANET.

Questo procedimento introduce problemi di sicurezza: virus, accessi indesiderati alle risorse informatiche aziendali e lettura di dati riservati in transito su Internet sono situazioni che devono essere evitate.

La necessità di un firewall nasce per rispondere a queste esigenze di sicurezza.

Per firewall (lett. muro tagliafuoco) intendiamo un meccanismo di protezione/controllo per accessi da Intranet a Internet e viceversa. Si tratta essenzialmente di un software residente su un'apparecchiatura (router, server) posta tra la rete locale ed Internet.

I firewall che puoi trovare sul mercato sono realizzati usando tecnologie diverse. Esistono firewall che si basano su:

packet filtering: esaminano pacchetti di dati che transitano attraverso il firewall secondo regole fissate dall'amministratore, e permettono o negano il transito del pacchetto dalla rete esterna verso l'interno e viceversa.

I firewall packet filtering

Quando la tua rete locale è collegata ad Internet con una connessione permamente tramite un router puoi realizzare una funzione di firewall configurando opportunamente il router.

Il compito principale di un router è l'instradamento dei pacchetti, mentre quello di filtro di sicurezza è un compito accessorio: il router controlla pacchetto per pacchetto il flusso dei dati da e verso l'Intranet controllandone la direzione di provenienza (in sostanza può decidere se i pacchetti devono essere inoltrati oppure no).

Quando i router sono dotati di queste funzionalità sono chiamati router filtro o router di screening.

L'amministratore stabilisce le regole secondo le quali i pacchetti sono consegnati o scartati.

Ogni pacchetto entrante o uscente da un'Intranet contiene diverse tipologie di informazioni. Tra le tipologie di informazioni le più importanti sono:

i dati veri e propri spediti

il servizio ( FTP, Telnet, Mail), a cui si appoggia la trasmissione dati

l'indirizzo del mittente e del destinatario.

Quando un pacchetto arriva al router filtro, quest'ultimo legge le informazioni e in base ad una tabella di filtraggio decide le azioni da intraprendere esaminando l'intestazione del pacchetto.

Le regole possono essere differenti per i pacchetti in ingresso e quelli in uscita; questo significa che possono essere riservati diversi livelli di accesso ai servizi e ai dati alle persone all'interno della Intranet e che non si permette a persone all'esterno di accedere alle risorse ed ai dati della Intranet.

Ad esempio, un router filtro può permettere ad una persona all'interno di utilizzare il Telnet per fare login su un server visibile in Internet ma non permette a nessuno dall'esterno di fare Telnet su un server interno della Intranet.

Ci sono certi tipi di attacco alla sicurezza della rete interna che sono difficili da identificare in base alle informazioni presenti nell'intestazione di un pacchetto di dati. È molto difficile proteggersi da questi attacchi utilizzando le sole regole di packet filtering.

Attacchi di questo tipo possono essere:

Attacchi Source IP Address Spoofing

Chi vuole introdursi nella rete trasmette pacchetti dall'esterno come se fossero originati da un nodo della rete interna; i pacchetti contengono falsamente un indirizzo della rete interna come indirizzo IP sorgente. Chi attacca usando questo metodo spera di superare il controllo effettuato dal packet filtering, in quanto in genere non si impongono controlli ferrei per i pacchetti originati dalla rete interna.

Questi attacchi di spoofing possono essere bloccati scartando ogni pacchetto che ha un indirizzo IP mittente interno ma arriva dall'interfaccia esterna del router.

Attacchi Source Routing

La stazione sorgente sceglie l'opzione 'Source Routing' e quindi specifica l'instradamento che il pacchetto dovrebbe prendere quando attraversa Internet.

Questo tipo di attacco aggira le misure di sicurezza in quanto fa sì che il pacchetto raggiunga la sua destinazione.

QUANDO UTILIZZARE UN FIREWALL

I firewall hanno due funzioni completamente diverse: proteggono da un attacco alla sicurezza proveniente da Internet, ed allo stesso tempo permettono di controllare la comunicazione con l'esterno di utenti interni all'organizzazione.

Perciò prima di tutto analizza le necessità della tua azienda, tenendo presenti le dimensioni, le disponibilità di spesa ed i rischi che l'azienda correrebbe se subisse un attacco.

Cosa analizzare

In tutte le politiche di sicurezza è necessario trovare un equilibrio tra le misure di sicurezza, che impongono alcune restrizioni agli utenti e che possono costare tempo, e la produttività degli utenti.

È importante quindi fare un'analisi, prima di definire una politica di sicurezza. Quando farai un'analisi tieni presente i seguenti punti:

Conoscere il 'nemico'

Cerca di immaginare chi potrebbe avere interesse a causare danni alla tua rete privata. Le misure di sicurezza non possono rendere impossibile un attacco ma lo possono rendere difficile. Puoi ridurre il numero di hacker e di tipologie di possibili intrusi che troveranno la via per attaccare la tua rete privata.

Valutare il costo

Quando disegni le misure di sicurezza valuta il costo e i benefici. Se le misure di sicurezza costano molto di più del danno che un'eventuale intrusione potrebbe causare, analizza nuovamente la situazione per trovare misure di sicurezza a costi più ridotti.

Esplicita le caratteristiche della situazione di partenza

Se espliciti tutte le caratteristiche della situazione nella quale vuoi introdurre misure di sicurezza, successivamente sarà più facile verificare se le misure scelte sono ancora adatte a esigenze e situazioni parzialmente modificate.

Tieni sotto controllo i tuoi segreti

Password ed encryption key devono essere ben protette. Un sistema sicuro ha un numero limitato di password ed encryption keys, in modo da circoscrivere il numero di informazioni da tenere segrete.

Ricordati del fattore umano

Molti fallimenti delle politiche di sicurezza sono dovuti ad una scarsa considerazione dell'impatto sugli utenti.

Attenzione quindi a non definire un sistema troppo rigido che l'utente possa percepire negativamente.

Per reazione l'utente potrebbe essere portato a disattendere anche le norme più banali.

Conosci le tue debolezze

Ogni sistema di sicurezza ha dei punti deboli che devono essere noti e tenuti sotto controllo costantemente.

Definisci diversi livelli d'accesso

Crea le appropriate barriere nel tuo sistema di sicurezza, in modo che se un intrusore penetra in una parte del tuo sistema non abbia automaticamente accesso al resto del sistema.

Tieni sotto controllo il tuo ambiente di lavoro

Dovresti conoscere bene il funzionamento usuale del tuo sistema e dei dispositivi hardware, in modo da poter riconoscere eventi inaspettati.

Usa strumenti di audit per analizzare e riconoscere eventi non abituali, per valutarli e gestirli. Potrai così individuare potenziali hacker prima che possano agire.

Sii consapevole dei limiti del software che utilizzi

Dovresti conoscere il software su cui ti basi e non essere sicuro che esso sia sempre funzionante. Anche i software firewall possono avere degli errori (bug).

Ricordati della sicurezza fisica

Limita l'accesso fisico ai server o ai router da parte del personale non autorizzato. È inutile avere un sistema sofisticato di sicurezza se chiunque può accedervi facilmente senza controllo. Inoltre proteggi il tuo sistema dai danni causati da eventi naturali (allagamenti, incendi, fulmini, ).

Tutta l'organizzazione deve essere informata delle ragioni per cui c'è un sistema di sicurezza, delle proprie responsabilità e dei propri doveri.

Il coinvolgimento di tutti renderà più facile la gestione del sistema.

Se vuoi controllare soprattutto l'attività dei tuoi dipendenti interni o limitare le attività di specifici utenti, valuta soluzioni di firewall basate su un application proxy server con software elementare. Se la rete aziendale è piccola, puoi scegliere di utilizzare pacchetti software poco costosi, come Wingate PRO o Eutron PlanetShare.

Deerfield Wingate Pro

Eutron PlanetShare

Se invece la tua azienda ospita nella rete locale un server che deve essere visibile in Internet/Extranet, è essenziale utilizzare un firewall. Fai una previsione sul numero di connessioni contemporanee che possono avvenire sul server e valuta la soluzione più opportuna rispetto a questo valore. Se le connessioni non sono elevate puoi scegliere una soluzione basata su un application proxy server.

Se si prevede un numero elevato di connessioni contemporanee o se la rete è complessa, con tanti punti d'accesso dall'esterno, valuta se è il caso di utilizzare soluzioni più costose e complesse, come quelle basate su tecnologia stateful inspection.

Vi sono poi innumerevoli architetture che combinano le diverse teconologie a seconda delle esigenze e del portafoglio. Chi ha bisogno di un livello alto di sicurezza non può fare a meno di usare l'encryption per proteggere le proprie comunicazioni. Per encryption si intende la possibilità di cifrare il contenuto di un'informazione attraverso l'uso di una chiave, in modo che solo attraverso l'uso della chiave stessa o di un'altra chiave sia possibile decodificare l'informazione cifrata.

Grazie all'encryption si possono creare reti logiche proprietarie, le cosidette Virtual Private Networks (VPN), anche senza disporre di linee dedicate.

I firewall e l'encryption

Un computer host che deve spedire dati attraverso una rete insicura come Internet può comunicare, grazie al firewall e all'encryption, con un altro host, come se usasse una rete privata.

L'host invia i propri pacchetti di dati in chiaro (ovvero non ancora cifrati). Questi pacchetti di dati giungono al firewall che protegge la rete interna alla quale l'host appartiene.

Qui i pacchetti vengono codificati dal firewall e inviati al corrispondente firewall che protegge la rete dell'host destinatario. Il firewall che riceve i pacchetti di dati decodifica i pacchetti e li invia in chiaro all'host destinatario.

Vi sono diverse tipologie di codifica; tra i più usati vi è SKIP, che si basa sullo standard IPSec e utilizza una chiave variabile.

IP Security (IPSec) è una commissione che fa capo allo IETF ed ha la responsabilità di standardizzare le questioni legate alla sicurezza del livello IP, come la trasmissione dati con l'autenticazione e l'encryption.

Gli standard pubblicati sono, tra gli altri, il DES ed il 3-DES per l'encryption, ed il MD5 e lo SHA per l'autenticazione. Inoltre IPSec ha definito un protocollo di trasporto sicuro usato con la corrente versione di IP (la 4) e incapsulato nella futura versione 6 (IPv6) che crittografa i pacchetti IP in transito così che non possano essere intercettati e riconosciuti sulla linea.

È il protocollo base per costruire reti private virtuali sfruttando linee Internet pubbliche. Questo meccanismo è noto anche come tunnel mode (o IP tunnelling).

Il tunnel viene realizzato all'interno del firewall in modo tale che risulti una connessione diretta tra l'applicazione client su un host e l'applicazione server sull'host di destinazione.

Si viene così a creare un Virtual Private Network (VPN) , una rete in cui si presuppone che il firewall conosca il mittente e il destinatario dei pacchetti che transitano.