Cos'è un firewall?

Un firewall è il punto di controllo che decide, secondo regole scritte, quale traffico di rete può passare tra due zone: tipicamente tra la rete aziendale e Internet, o tra due segmenti interni. Filtra in base a indirizzi, porte, protocolli o contenuto applicativo, e blocca per default ciò che nessuna regola autorizza esplicitamente. Esistono tre generazioni tecniche, non intercambiabili: il packet filtering valuta ogni pacchetto da solo, senza memoria di ciò che è passato prima, ed è il livello più semplice e oggi quasi mai sufficiente da solo; il firewall stateful tiene traccia delle connessioni aperte e distingue una risposta legittima a una richiesta interna da un pacchetto che arriva dal nulla, colmando il buco più evidente del packet filtering; il firewall di nuova generazione (NGFW) aggiunge l'ispezione del contenuto applicativo, il riconoscimento di quale programma genera il traffico e funzioni di prevenzione delle intrusioni, ed è oggi lo standard per il traffico che entra ed esce da una rete aziendale.

Leggi anche: Segmentazione di rete · Divisione della rete in zone separate con transiti controllati, per limitare quanto un intruso può raggiungere dopo il primo accesso.

Il caso a parte: il WAF

Il web application firewall (WAF) non è una generazione più avanzata dello stesso strumento, è un dispositivo diverso che risolve un problema diverso: protegge un'applicazione web specifica dal traffico che la raggiunge già legittimamente sulla porta 443, riconoscendo pattern di attacco applicativo come SQL injection o cross-site scripting dentro richieste che un firewall di rete, NGFW compreso, lascerebbe passare senza guardarle, perché per lui sono semplice traffico HTTPS autorizzato verso un server web. Un sito o un'API esposti al pubblico hanno bisogno di entrambi i livelli: il firewall di rete decide chi può raggiungere il server, il WAF decide se ciò che arriva è una richiesta o un attacco travestito da richiesta.

Perché un firewall da solo non basta

Il riferimento tecnico primario resta la guida del NIST SP 800-41 Rev. 1, che tratta il firewall come un componente di una strategia di difesa, non come la difesa stessa: un firewall filtra il traffico che lo attraversa, ma non vede cosa succede dentro una connessione già autorizzata, non riconosce credenziali rubate usate legittimamente, e non protegge da chi entra tramite un allegato di phishing aperto da un dipendente. È per questo che nella pratica industriale il firewall perimetrale si accompagna alla segmentazione di rete interna, che limita quanto un intruso raggiunge dopo il primo accesso, e a un modello Zero Trust che non si fida per default nemmeno di chi è già dentro il perimetro filtrato.

Un esempio concreto

Un'azienda di trenta persone ha lo stesso firewall da anni, e le sue regole sono cresciute a ogni esigenza del momento. Tra queste ce n'è una che lascia passare qualunque traffico da qualunque origine, aperta a suo tempo per l'accesso remoto di un vecchio fornitore di assistenza e mai richiusa: il contratto è finito, la regola è rimasta, perché nessuno ha il compito dichiarato di rivederle. Intanto il firmware è fermo alla versione dell'installazione, perché nessuno ha mai pianificato gli aggiornamenti. Il prodotto scelto era buono; a tradire è la manutenzione. Un audit periodico delle regole attive, con scadenza automatica per le eccezioni temporanee, costa molto meno di un incidente.

Perché conta per chi decide

Il firewall resta l'investimento con il rapporto costo-beneficio più immediato in sicurezza perimetrale, ma va valutato come componente di un sistema e non come acquisto risolutivo: un ransomware entrato via phishing attraversa un firewall perfettamente configurato senza toccarlo, perché la connessione parte da dentro. La domanda utile in fase di budget non è quale firewall comprare, ma se le regole attuali sono documentate, riviste e coerenti con ciò che l'azienda usa oggi, e se il traffico che il firewall lascia passare viene poi osservato da strumenti di rilevamento come EDR, XDR e MDR.