Firewall e Segmentazione della Rete

Firewall: Funzione e Posizionamento

• I firewall fungono da barriera che controlla i flussi di dati tra sezioni di rete con diversi livelli di sicurezza.
• Impediscono la propagazione di comportamenti dannosi, proteggendo la rete da traffico potenzialmente dannoso.
• Sono posizionati ai confini della rete, controllando tutti i punti di accesso e imponendo politiche di accesso ai flussi di traffico.
• Possono bloccare il traffico non HTTP, permettendo solo quello autorizzato.
• Alcuni firewall possono anche impedire che attività dannose all'interno della rete influenzino le reti esterne.

Segmentazione della Rete e DMZ

• L'uso dei firewall consente la segmentazione di più reti, applicando politiche di sicurezza diverse a ogni segmento.
• Un esempio è la suddivisione tra la rete interna e la DMZ (zona demilitarizzata).
• La rete interna ospita dispositivi e utenti, mentre la DMZ contiene servizi accessibili dall'esterno, come server web pubblici, con politiche di accesso meno restrittive.
• Questo approccio bilancia accessibilità e sicurezza, minimizzando i rischi per la rete interna.
• Ad esempio, se un server web pubblico deve accedere a un database, potrebbe esserci una regola che consente flussi di dati dalla DMZ alla rete interna, ma non viceversa.

Configurazione dei Firewall e Tipologie

• La configurazione dei firewall è complessa e richiede una valutazione attenta dei flussi di dati legittimi per evitare disservizi.
• Un errore di configurazione potrebbe causare un Denial of Service (DoS) interno, bloccando servizi legittimi.
• I firewall operano a diversi livelli e si distinguono in varie tipologie:

Packet Filter

• Questi firewall controllano i pacchetti a livello IP, inclusi indirizzi IP e porte.
• Ad esempio, una regola potrebbe consentire il traffico verso un indirizzo IP specifico sulla porta 80 (HTTP).
• Sono veloci perché operano su pacchetti singoli, senza tenere traccia dello stato dei flussi.
• Hanno una granularità limitata nella gestione di contenuti applicativi.

Application Gateway

• I firewall di tipo Application Gateway analizzano il contenuto del traffico a livello applicativo.
• Possono consentire solo il protocollo HTTP e limitare ulteriormente l'uso di certi metodi (PUT, DELETE).
• Offrono un controllo dettagliato ma introducono latenza e richiedono risorse computazionali maggiori.

Sfide di Performance

• I firewall aggiungono complessità e potenziale latenza.
• I controlli a livello applicativo richiedono risorse extra per monitorare e confrontare il traffico con le politiche di sicurezza, aumentando le necessità computazionali.

Latenza e Application Gateway

• L'aggiunta di un application gateway può migliorare la sicurezza, ma può anche introdurre latenza.
• La complessità delle regole impostate nell'application gateway può causare un denial of service (DoS) se impediscono l'accesso ai servizi in determinate condizioni.

Reverse Proxy

• Il reverse proxy è un tipo di firewall che funge da gateway per i server web.
• Protegge il server ed ottimizza le prestazioni attraverso il load balancing, la cache, la compressione dei dati e lo spoon feeding.
• Il reverse proxy può anche fungere da acceleratore criptografico, ma la connessione tra il reverse proxy e il server finale potrebbe non essere criptata.

Web Application Firewall (WAF)

• Il WAF è un tipo specifico di application gateway progettato per HTTP.
• Protegge le applicazioni web analizzando i comandi del protocollo applicativo a livello di header e di body del messaggio HTTP.
• ModSecurity su Apache e Nginx forniscono funzionalità di WAF con set di regole standard come quelli di OWASP.
• Più approfonditi sono i controlli, maggiore sarà il rallentamento nella risposta.

Sistemi di Intrusion Detection (IDS)

• Gli IDS rilevano attività malevole che potrebbero sfuggire al firewall.
• Esistono due tipi di IDS: signature-based e anomaly-based.
• Gli IDS signature-based si basano su pattern noti di attacchi precedenti e sono precisi ma limitati agli attacchi già conosciuti.
• Gli IDS anomaly-based analizzano il traffico di rete rispetto a un modello statistico e sono in grado di identificare nuovi tipi di attacchi, ma possono essere più soggetti a falsi positivi e falsi negativi.
• Spesso i due tipi di IDS vengono utilizzati insieme per massimizzare l'efficacia nel rilevamento delle intrusioni.

Intrusion Prevention System (IPS)

• Gli IPS sono sistemi che modificano automaticamente il flusso di dati di rete per bloccare accessi non autorizzati e determinati flussi di traffico.
• Operano a livello di rete e sui flussi di dati, svolgendo un ruolo fondamentale nella sicurezza delle reti.
• Un IPS non è un singolo prodotto, ma un insieme di componenti che lavorano in modo coordinato, come il rilevamento delle anomalie e i meccanismi di controllo degli accessi.
• Sono spesso implementati insieme agli Intrusion Detection System (IDS) per un livello di sicurezza maggiore.
• Gli IPS possono configurare i firewall per bloccare specifici tipi di traffico.
• L'errata configurazione di un IPS può bloccare anche traffico legittimo, con effetti negativi superiori a quelli dell'attacco stesso.

Sicurezza Applicativa

• Mentre gli IPS forniscono protezione a livello di rete, è importante considerare anche la sicurezza a livello applicativo, poiché alcuni flussi di dati legittimi possono non essere filtrati dal firewall o rilevati come dannosi dall'IDS.
• Protocolli come HTTP richiedono meccanismi di sicurezza a livello applicativo.

TLS (Transport Layer Security)

• TLS è un protocollo crittografico utilizzato per creare un canale sicuro per il trasferimento di dati su Internet.
• È un'evoluzione di SSL (Secure Socket Layer).
• TLS prevede l'autenticazione del server (obbligatoria) e del client (opzionale).
• TLS è utilizzato principalmente per protocolli come SMTP e HTTP, creando HTTPS.
• Ogni versione sicura di un protocollo tende ad avere una porta dedicata, come HTTPS utilizza la porta 443 invece della 80 per HTTP.
• TLS offre protezione contro attacchi come il replay attack e il filtraggio di pacchetti.
• TLS utilizza sia crittografia asimmetrica che simmetrica. La crittografia asimmetrica viene utilizzata per l'autenticazione, mentre la crittografia simmetrica viene utilizzata per la riservatezza.

Versioni TLS

• Le versioni di TLS attualmente in uso vanno dalla 1.0 alla 1.3.
• TLS 1.3 è la versione più sicura e moderna.
• Versioni più vecchie come la 1.0 o la 1.1 non sono più sicure e dovrebbero essere disabilitate.

Negoziazione TLS

• Il processo di negoziazione TLS include la scelta degli algoritmi crittografici e la fase di autenticazione.
• Il server autentica la propria identità tramite un certificato, inviando al client un numero casuale crittografato con la propria chiave pubblica.
• Il client decifra il numero utilizzando la chiave privata del server, dimostrando così di comunicare con il server legittimo.
• L'autenticazione del client è opzionale.

Riservatezza con TLS

• TLS garantisce la riservatezza tramite crittografia simmetrica.
• La chiave simmetrica viene decisa tra le due entità (client e server) durante la negoziazione iniziale, usando crittografia asimmetrica.

Autenticazione e Integrità dei Dati

• L'autenticazione è opzionale per il client. Entrambi i lati possono autenticarsi, ma spesso non è così comune.
• L'integrità dei dati e l'autenticazione sono garantite tramite il key digest, che usa la crittografia simmetrica.
• Il key digest impedisce attacchi di replay e filtraggio dei dati. Ogni messaggio ha un identificativo unico che, se duplicato, viene bloccato.
• Gli identificativi sono in ordine crescente: la mancanza di un identificativo indica un messaggio filtrato o perso.

Sicurezza a Livello Applicativo

• Per la sicurezza a livello applicativo, è utile introdurre tecniche specifiche per HTTP.
• I dati applicativi possono essere vulnerabili anche se il canale di trasporto è sicuro.

Meccanismi di Autenticazione HTTP

• Autenticazione basata su indirizzo IP: poco sicura, perché l'IP è facilmente falsificabile.
• Autenticazione con password: credenziali inviate in Base64, quindi leggibili senza crittografia aggiuntiva.
• Autenticazione HTTP Basic: utilizza una sfida simmetrica con key digest (RFC 2717).
  • Il client invia una richiesta GET per la risorsa.
  • Il server risponde con un errore 401 e richiede l'autenticazione.
  • Il client invia le credenziali in Base64 nell'header Authorization.
  • Se le credenziali sono corrette, il server concede l'accesso.

Header HTTP per la Sicurezza

• Strict-Transport-Security: impone l'uso di HTTPS (opzione max-age per la durata della regola).
• X-XSS-Protection: rileva e blocca gli attacchi XSS (modalità report o block).
• X-Content-Type-Options: no-sniff: impedisce di interpretare il contenuto in base al file invece che all'header Content-Type.
• X-Frame-Options: controlla l'uso di iframe (DENY blocca qualsiasi contenuto iframe o object).
• Content-Security-Policy (CSP): specifica le fonti da cui possono essere caricati contenuti.
• Referrer-Policy: limita la divulgazione dell'header Referer per proteggere la privacy.

Policy e Autenticazione

• Le policy aiutano a controllare l'accesso alle funzionalità dei dispositivi, ad esempio specificando quali funzionalità sono consentite nelle interazioni con le pagine web.
• Le policy si applicano a funzionalità come la geolocalizzazione, l'accesso alla fotocamera o la visualizzazione a schermo intero.
• L'autorizzazione per le funzionalità può provenire dalla pagina stessa, da un dominio specifico o da tutti i domini (*).
• Diverse opzioni per l'autenticazione (come VPN IPsec, TLS, autenticazione HTTP di base, digest e a livello applicativo) offrono diversi livelli di sicurezza.
• Più un'autenticazione è a un livello alto, più si espone il sistema a potenziali vulnerabilità.
• Si consiglia di utilizzare IPsec o, al massimo, TLS per una maggiore sicurezza.

Sicurezza delle applicazioni

• La sicurezza delle applicazioni riguarda la protezione dei dati inviati tramite moduli di autenticazione e dei dati inseriti dagli utenti.
• È necessario controllare tutti i dati lato server per evitare attacchi malevoli.
• L'SQL injection è un attacco che sfrutta l'inserimento di dati non controllati direttamente in una query SQL, permettendo agli utenti malevoli di accedere ai dati senza autorizzazione.
• Per prevenire l'SQL injection, utilizzare query parametrizzate o prepared statements.
• Il Cross-Site Scripting (XSS) è un attacco che inietta script dannosi in una pagina web, consentendo a utenti malevoli di rubare informazioni o modificare il comportamento del browser.
• Per proteggere un database, è importante separare i dati in tabelle con sensibilità diversa, definire ruoli con permessi limitati, utilizzare una connessione sicura (TLS o IPsec) e validare l'input per evitare SQL injection.

Strumenti di sicurezza

• Strumenti come phpMyAdmin offrono meccanismi di sicurezza interni ed esterni per proteggere l'accesso al database.
• Captcha e sistemi di blocco come fail2ban limitano i tentativi di accesso da parte di bot e utenti malevoli.
• OWASP fornisce risorse per la sicurezza delle applicazioni web, tra cui la Top Ten, una lista dei 10 principali rischi di sicurezza.

Sistemi di pagamento

• I sistemi di pagamento online utilizzano TLS per proteggere le transazioni e separano chi vende dal gestore del pagamento.
• Gli standard internazionali per la gestione delle carte di credito richiedono misure tecniche e procedurali specifiche per proteggere i dati sensibili.

Conclusioni

• Un sistema di sicurezza efficace è un processo continuo che richiede aggiornamenti costanti, gestione delle vulnerabilità e coordinamento tra utenti, funzioni e risorse dell'organizzazione.

Scopri come i firewall controllano i flussi di dati e proteggono le reti. Questo quiz esplora la funzione, il posizionamento e l'importanza della segmentazione della rete, oltre al concetto di DMZ. Metti alla prova le tue conoscenze sulla sicurezza informatica con domande mirate.