LA PROSSIMA GENERAZIONE È LA GENERAZIONE INTELLIGENTE

Transcript

1 ebook TECNOLOGIA DEL FIREWALL LA PROSSIMA GENERAZIONE È LA GENERAZIONE INTELLIGENTE Come le funzionalità di controllo intelligente delle applicazioni e di prevenzione permettono di proteggere la rete sulla scia del Web 2.0, del cloud computing e della mobilità. Custom Solutions Group SOMMARIO +INTRODUZIONE+ +NUOVE TECNOLOGIE, NUOVE MINACCE+ +LE SOLUZIONI TRADIZIONALI NON BASTANO PIÙ+ +I FIREWALL DIVENTANO INTELLIGENTI + +CONCLUSIONE+

2 2 SOMMARIO Il presente documento indaga il modo in cui innovazioni come mobilità, Web 2.0, social media e cloud computing hanno cambiato drasticamente il panorama delle tecnologie informatiche (IT) e introdotto nuove minacce alla sicurezza nelle reti governative e aziendali. I fi rewall tradizionali stanno diventando sempre più inadeguati poiché le classifi cazioni dei protocolli e dei numeri delle porte sono state rese ineffi caci a bloccare le minacce. Con un audace iniziativa volta a ristabilire il controllo, i CIO e i responsabili IT stanno valutando i fi rewall della prossima generazione dotati di funzioni intelligenti a livello dell applicazione e capaci di opporsi effi cacemente alle minacce attuali. Si tratta del tipo di protezione rafforzata che permetterà alle organizzazioni di abbracciare e sfruttare al meglio tali innovazioni. INTRODUZIONE I firewall sono presenti da lungo tempo nella topografia delle reti contribuendo a limitare l accesso non autorizzato al dominio aziendale. Originariamente sono stati progettati per bloccare le minacce a livello della rete. Mentre alcuni sono diventati più multidimensionali integrando ulteriori livelli di sicurezza come la rilevazione delle intrusioni e la protezione antivirus, altri si stanno rivelando palesemente inefficaci contro le minacce attuali. Nuove vulnerabilità stanno causando danni gravissimi, in parte a causa di un cambiamento basilare nel modo di operare delle aziende legato soprattutto all interazione tra dipendenti, clienti e altri interlocutori. I rapporti tradizionali

3 3 Adesso gli attacchi sono rivolti al livello dell applicazione. In questo breve video, Dmitriy illustra come gli amministratori possono tenere sotto controllo e stabilire priorità sul traffico di rete. NEI SOLI STATI UNITI VI SONO 223 MILIONI DI UTENTI DI TELEFONI CELLULARI DI ETÀ SUPERIORE A 13 ANNI E IL 25% DEI DISPOSITIVI POR- TATILI VENDUTI NEL TER- ZO TRIMESTRE DEL 2009 RANO TELEFONI INTELLIGENTI. FONTE: NIELSEN sono stati sistematicamente sostituiti da forme di comunicazione e collaborazione più innovative, frutto dell era digitale. Ovviamente c è una differenza abissale tra l importanza e la mole attuale degli scambi elettronici e quella in cui si iniziava appena a usare i firewall. Le aziende hanno investito notevolmente nelle comunicazioni unificate: la posta elettronica, la messaggistica istantanea e applicazioni VoIP come Skype hanno ormai eclissato le tradizionali interazioni telefoniche e via fax, rendendo Internet una risorsa costante per i dipendenti e un punto di integrazione essenziale per l IT. Inoltre, i social media si diffondono sempre di più negli ambienti di lavoro: Facebook ha oltre 400 milioni di utenti, LinkedIn ne ha 70 milioni e Tagged 16 milioni. Le persone guardano su YouTube due miliardi di video al giorno. Sebbene i social media intervengano nelle interazioni giornaliere dei dipendenti, le imprese stanno adottando applicazioni Web 2.0 per svolgere le varie attività aziendali: coinvolgere gli azionisti tramite Facebook, raggiungere i clienti su Twitter e collaborare con i partner attraverso BitTorrent. La mobilità agli endpoint, in vertiginoso aumento, rende ancora più complessa la situazione. Secondo Nielsen, infatti, nei soli Stati Uniti vi sono 223 milioni di utenti di telefoni cellulari con età superiore ai 13 anni e il 25% dei dispositivi portatili venduti nel terzo trimestre del 2009 erano telefoni intelligenti. Con apparecchi basati su tecnologie di grande successo come notebook, Android, BlackBerry e ipad utilizzati apparentemente da tutte le persone di età compresa fra 13 e 73 anni, si impone sempre di più la consumerizzazione della IT, ossia la socializzazione delle tecnologie digitali volte a favore degli utenti. I dipendenti cercano ora di persuadere i datori di lavoro ad accettare questi strumenti, per poter usare i dispositivi personali sulla rete aziendale. Contemporaneamente, anche il cloud computing ha iniziato a penetrare nell infrastruttura IT. In particolare, le aziende stanno trasferendo più servizi nel cloud. Varie applicazioni contenenti dati sensibili, comprese e documenti per la gestione dei rapporti con i clienti (CRM), risiedono in server di terzi. A dimostrazione di ciò si prevede che nel 2013 le entrate derivanti da servizi correlati al cloud computing raggiungeranno i 150,1 miliardi di dollari (stime della società di ricerca Gartner). Innovazioni come mobilità, Web 2.0 e cloud computing rappresentano un enorme vantaggio per le aziende dice Jason Tate, direttore reti presso Aaron Rents, un azienda specializzata nella rivendita di mobili per abitazioni e uffici, elettrodomestici e accessori con sede ad Atlanta, nello Stato della Georgia. Non si può prescindere dalle tecnologie informatiche. Nonostante ciò, l uso di queste tecnologie suscita accesi dibattiti: quanta libertà personale si può concedere? Chi può essere autorizzato a usare certe applicazioni? I dati sensibili possono uscire dalla rete? Qual è il protocollo necessario per contrastare i dispositivi canaglia? «

4 4 SONDAGGIO NUOVE TECNOLOGIE, NUOVE MINACCE QUAL È LA LINEA DI CONDOTTA STABILITA DALLA SUA AZIEN- DA PER QUANTO RIGUARDA L ACCESSO DA PARTE DEI DI- PENDENTI AI SITI DI SOCIAL NETWORKING COME TWITTER E FACEBOOK UTILIZZANDO LA RETE AZIENDALE? PERMETTIAMO A TUTTI I DIPENDENTI DI ACCEDERE A TUTTI I SITI DI SOCIAL NETWORKING. LIMITIAMO L ACCESSO SOLO AD ALCUNI SITI DI SOCIAL NETWORKING. LIMITIAMO L ACCESSO AI SITI DI SOCIAL NETWORKING DA PARTE DI ALCUNI DIPENDENTI. BLOCCHIAMO L ACCESSO A TUTTI I SITI DI SOCIAL NETWORKING DA PAR- TE DI TUTTI I DIPENDENTI. VOTA Mentre prosegue il dibattito con la promessa di una maggiore produttività, sotto certi aspetti l adozione di queste tecnologie sta producendo l effetto opposto, afferma Patrick Sweeney, vicepresidente della gestione prodotti presso SonicWALL TM Inc., un azienda che sviluppa soluzioni per la protezione delle reti con sede a San Jose, California. I dipendenti socializzano sfruttando le risorse aziendali occupando quasi tutta la larghezza di banda per attività non correlate al proprio lavoro e a discapito di importanti mansioni lavorative. Ad esempio, in un azienda in cui il canale televisivo ESPN viene trasmesso in streaming ai PC della rete e in cui 100 dipendenti si collegano per seguire una partita della Coppa del Mondo, la rete non può che congestionarsi rallentando così le prestazioni delle applicazioni aziendali. Non si può certamente reagire in modo monolitico bloccando semplicemente tutti i siti che trasmettono in streaming; per risolvere il problema occorre invece una maggiore granularità delle policy. Una causa più rilevante della perdita di produttività è però costituita dai nuovi rischi per la sicurezza. La tradizionale minaccia dei virus è scomparsa, sostiene Tate adesso le applicazioni web e il cloud espongono le reti a possibili attacchi di malware drive-by che possono colpire anche siti legittimi e utenti diligenti. Le applicazioni web e i siti di social media più diffusi non solo i soliti siti pornografici, farmaceutici o di gioco d azzardo aprono nuove porte di oscura natura quando gli utenti scaricano inconsapevolmente contenuti infetti. Nel frattempo, le minacce classiche si trasmettono a nuovi strumenti aziendali, come si è già visto con il recente attacco alle password degli ipad e le varie campagne di spamming contro Facebook e Twitter. Il proliferare di nuove falle a tutti i livelli delle reti governative e aziendali ha sconvolto il panorama della difesa contro il malware. Per gli amministratori delle reti diventa sempre più difficile distinguere tra buono e cattivo, dice Sweeney. E ciò mette a rischio le aziende e le loro risorse digitali. Oggi incombe in particolare il pericolo della perdita di dati, causando controlli più attenti da parte degli enti normativi. Quali sono quindi gli effetti sulla conformità? Dove sono più vulnerabili i dati? Queste applicazioni web possono essere gestite e controllate? A causa dell ampliarsi delle aree potenzialmente vulnerabili, probabilmente i reparti IT preferirebbero scollegarsi del tutto, afferma Tate. I genitori potrebbero dire ai figli di no dati i rischi del Web 2.0, mentre invece, sostiene, dobbiamo trovare il modo di dire sì senza sembrare opprimenti poliziotti della rete. Un modo per ottenere questo risultato è aggiornare l antiquata tecnologia del firewall per far fronte alle complessità dell odierno panorama IT. «

5 5 LE SOLUZIONI TRADIZIONALI NON BASTANO PIÙ destinazione dei pacchetti ossia protocollo e numero di porta. Ma poiché oggi quasi due terzi del traffico utilizza HTTP e HTTPS, i dettagli sul protocollo e sulla porta sono diventati praticamente inutili al momento di impostare e applicare le policy di sicurezza, secondo AimPoint Group, una società di analisi con sede nello Stato del Maryland. I TRADIZIONALI FIREWALL SONO STATI COSTRUITI SENZA FUNZIONALITÀ IN- TELLIGENTI SUFFICIENTI PER BLOCCARE LE MINACCE ATTUALI, PER CUI STA DI- VENTANDO SEMPRE PIÙ IM- PORTANTE IDENTIFICARE E GESTIRE LE APPLICAZIONI. PATRICK SWEENEY, VICEPRESIDENTE DELLA GESTIONE PRODOTTI, SONICWALL I primi firewall semplicemente non erano concepiti per le novità introdotte dalla consumerizzazione dell IT e dal Web 2.0. Certamente nessuno avrebbe potuto prevedere i cambiamenti che sarebbero intervenuti in un paio di decenni. Adesso questi firewall si stanno rivelando inadeguati. I firewall tradizionali possono resistere agli attacchi dei dilettanti, spiega Tate, ma questi nuovi attacchi sono sofisticati, per cui dobbiamo essere più selettivi nella modalità di concessione degli accessi. In particolare, i firewall più vecchi sono dispositivi di rete di livello 3. Poiché funzionano secondo i livelli della rete, ispezionano il traffico solo in base alle informazioni riguardanti una combinazione degli indirizzi di origine e di I firewall tradizionali si dimostrano inoltre inefficaci contro le minacce alle applicazioni basate sul Web, poiché si avvalgono di signature contro attacchi statici e non dispongono di tecnologie specifiche di applicazioni per determinare cosa rappresenti realmente una minaccia. Le loro configurazioni delle policy sono basate solo su minacce note. Utilizzando la crittografia SSL e porte non standard che tradizionalmente erano chiuse, le applicazioni web possono infiltrarsi. Ad esempio, un programma di messaggistica istantanea potrebbe aprire la porta 80 e quindi riprogrammarsi dinamicamente per sembrare uno stream standard, come spiega Sweeney. Sfortunatamente, i tradizionali firewall sono stati costruiti senza funzionalità intelligenti sufficienti per bloccare le minacce attuali, aggiunge Sweeney, per cui sta diventando sempre più importante identificare e gestire le applicazioni. «

6 6 I FIREWALL DIVENTANO INTELLIGENTI Mentre quindi non cessa la crescita esponenziale delle applicazioni Web 2.0 che diventa voluminosa, ma al tempo stesso parte integrante delle attività quotidiane nell azienda i firewall devono diventare intelligenti. I FIREWALL INTELLIGENTI NEL MONDO REALE Come si attua concretamente questo concetto di funzionalità di controllo intelligente delle applicazioni e di prevenzione? Patrick Sweeney, vicepresidente del marketing prodotti presso SonicWALL, descrive come queste funzionalità possono essere applicate ai fini della protezione quotidiana: Imporre l uso esclusivo di applicazioni autorizzate. Le aziende possono bloccare sistematicamente l accesso a tutti i siti di social networking, come Facebook, o solo a quelli che presentano i rischi più gravi. Si impedisce così ai dipendenti di scaricare inavvertitamente contenuti infetti nella rete aziendale. Mantenere il controllo sulle applicazioni. Le aziende possono consentire l accesso a siti che occupano gran parte della larghezza di banda, come YouTube, ma limitarne l utilizzo ai dipendenti che ne hanno bisogno per svolgere le proprie mansioni. Possono inoltre limitare l utilizzo secondo il tipo di media o la fascia oraria, preservando così la larghezza di banda per le applicazioni utili ai fini del lavoro aziendale. Prevenire la perdita di dati sensibili. Le aziende possono impedire che i dipendenti inviino per documenti in cui è incorporato un watermark o un tag. Con maggiore visibilità e controllo sul traffico crittografato possono evitare, qualora non fosse necessario, l esposizione di dati sensibili dei clienti e di proprietà intellettuale. Combinare policy relative alle applicazioni, al controllo e alla prevenzione della perdita di dati. Le aziende possono soprattutto combinare tutti i controlli, secondo l utente o il gruppo, per creare la policy più adatta che si tratti di stabilire priorità della larghezza di banda per applicazioni cruciali o di limitarla per i gruppi non produttivi per ottenere il massimo aumento di produttività eseguendo al contempo le ispezioni atte a rilevare malware e perdite di dati. Secondo l AimPoint Group Le organizzazioni devono concentrarsi sempre di più su soluzioni di sicurezza delle reti che siano in grado di definire e applicare policy basate su attributi di livello superiore, come l identità degli utenti, la specifica applicazione utilizzata e l effettivo contenuto trasmesso, anziché su quelle che continuano a dipendere principalmente da informazioni relative al livello di rete, come l indirizzo di origine/destinazione della porta. A tal fine, i CIO devono prendere in considerazione la prossima generazione di firewall che implementano le funzionalità di controllo intelligente delle applicazioni. Si tratta di un firewall intelligente in grado di identificare e capire le applicazioni e il possibile rischio che comportano per la rete aziendale, nonché proteggere, gestire e controllare tutto ciò che passa attraverso il firewall stesso, indipendentemente dal tipo di applicazione social media, peer-to-peer o SaaS (software as a service). I CIO devono aspettarsi che i firewall si adattino in modo dinamico alle richieste aziendali, in continuo mutamento, e alle nuove minacce alla sicurezza mantenendo al contempo elevati livelli prestazionali. La velocità con cui oggi si fanno progressi nell hardware permette ai firewall di ottenere risultati migliori, afferma Tate. La tecnologia è ora in grado di applicare tutte le misure di sicurezza necessarie compresa l ispezione deep packet, pur continuando a commutare pacchetti ad alta velocità.

7 7 QUAL È LA MINACCIA PIÙ GRAVE ALLA SUA AZIENDA QUANDO SI TRATTA DI PRO- TEGGERE I DATI NEL PAN- ORAMA ATTUALE? HACKER SONDAGGIO MALWARE PERDITE DI DATI INEFFICACIA DELL ATTUALE TECNOLOGIA DELLA SICUREZZA VOTA I FIREWALL DIVENTANO INTELLIGENTI (segue) Non sorprende perciò che Tate abbia scelto i firewall della prossima generazione di SonicWALL per proteggere l infrastruttura IT di Aaron Rents. Una ovvia funzionalità essenziale dei firewall della prossima generazione è la gestione attiva delle minacce tramite livelli integrati di sicurezza. Ciò include l interoperabilità uniforme con altre aree come i servizi antivirus, antispyware, di prevenzione delle intrusioni e antispamming. I firewall della prossima generazione ampliano ulteriormente le funzionalità di sicurezza estendendo la tradizionale protezione dalle minacce a livello della rete così da includere l ispezione a livello dell applicazione. Continueranno a segnalare violazioni di porte e protocolli, ma il loro vero pregio risiederà principalmente nella gestione intelligente del traffico che applica inoltre le policy in base all applicazione, all utente o al gruppo e al contenuto. Identificando e classificando il traffico delle applicazioni, le aziende potranno controllare l accesso e regolare il traffico web, la posta elettronica e i trasferimenti di file. È altrettanto importante la natura dinamica delle configurazioni delle signature delle minacce implementate nel firewall. Il punto di partenza è un riferimento di signature di minacce predefinite in base alle quali applicare le policy, ma il firewall permette anche aggiornamenti continui e automatici, nonché la personalizzazione per la gestione delle minacce più probabili attraverso la creazione granulare e l applicazione delle policy. È cruciale anche l ispezione deep packet dei contenuti della rete. Il firewall non solo deve ispezionare ogni pacchetto per rilevare eventuale malware a livello dell applicazione, ma deve farlo senza danneggiare le prestazioni della rete. L ispezione comporta la decrittografia e l analisi del traffico SSL in entrata e in uscita, indipendentemente dalla porta e dal protocollo. Il traffico può quindi essere crittografato di nuovo e inviato a destinazione, in modo del tutto invisibile per l utente. Alla base dei firewall della prossima generazione c è la soluzione Application Intelligence, che offre funzionalità essenziali come la prevenzione delle intrusioni e il blocco del malware per ottenere una piattaforma di sicurezza della rete unifi cata e completa, spiega Sweeney. Questo è il futuro della tecnologia del firewall. «I FIREWALL DELLA PROSSIMA GENERA- ZIONE AMPLIANO ULTERIORMENTE LE FUNZIONALITÀ DI SICUREZZA ESTEN- DENDO LA TRADIZIONALE PROTEZIO- NE DALLE MINACCE A LIVELLO DELLA RETE COSI DA INCLUDERE L ISPEZIONE A LIVELLO DELL APPLICAZIONE.

8 8 CONCLUSIONE Cosa comporta tutto ciò per le aziende pubbliche o private? Un fi rewall della prossima generazione può bloccare l accesso ai siti di social networking che presentano il massimo rischio, segnalare trasmissioni di dati sensibili o contrassegnati da un watermark tramite upload o allegati in Webmail per prevenire la perdita di dati e limitare l utilizzo della larghezza di banda base secondo l applicazione, l utente o l orario, al fi ne di ottimizzare le prestazioni. Con questo tipo di protezione le aziende possono adottare senza riserve gli innovativi strumenti aziendali, inclusi mobilità, Web 2.0 e cloud computing, sfruttando così tutti i vantaggi che ne derivano. Per Tate, questo signifi ca molto: Adesso possiamo accogliere le richieste giustifi cate in tempi brevi e in tutta tranquillità, poiché ci sentiamo protetti. Tale accesso senza vincoli ad applicazioni e innovazioni conclude, assicura risultati migliori e maggiore profi tto. «APPLICATION INTELLIGENCE TRAMITE SONICWALL Custom Solutions Group SonicWALL, Inc. è un leader nello sviluppo di soluzioni per la protezione delle reti che aiutano a ridurre i costi e le complessità offrendo al contempo un infrastruttura più sicura. In particolare, abbiamo portato i firewall al livello successivo integrando funzionalità di controllo intelligente delle applicazioni e di prevenzione. Estendendo la protezione oltre le minacce a livello della rete, i firewall della prossima generazione sono concepiti per sbarrare tutte le vie di accesso dell azienda alle minacce odierne e assicurare il massimo controllo su tutti i dati e le applicazioni che attraversano la rete. L azienda beneficia così del controllo sull accesso a livello dell applicazione, delle limitazioni nel trasferimento di specifici file e documenti e di una migliore gestione della larghezza di banda. Per ulteriori informazioni visitare il sito