La sicurezza di rete non si costruisce con un singolo dispositivo, ma con una difesa a strati (defense-in-depth) in cui ogni tecnologia occupa una posizione precisa nel flusso di traffico. Capire dove si colloca ciascun componente e quale comportamento ha è esattamente ciò che la certificazione CCST Cybersecurity verifica.
Il firewall come punto di controllo
Il firewall è il guardiano che separa zone a diverso livello di fiducia (trust level): rete interna (trusted), Internet (untrusted) e DMZ. Un NGFW (Next-Generation Firewall) come Cisco Secure Firewall (Firepower/FTD) va oltre il filtraggio per porta/indirizzo: applica application visibility and control (AVC), ispezione a livello 7, URL filtering e IPS integrato.
La gestione centralizzata avviene tramite FMC (Secure Firewall Management Center), che distribuisce access control policy, regole e aggiornamenti delle firme a più appliance FTD. FMC è il piano di gestione; FTD è il piano di enforcement in linea sul traffico.
La DMZ (screened subnet)
La DMZ ospita i servizi esposti al pubblico (web server, mail relay, reverse proxy) senza che questi tocchino direttamente la LAN interna. Se un server in DMZ viene compromesso, l’attaccante è comunque isolato dalla rete critica.
| Zona | Trust | Esempio di risorse |
|---|---|---|
| Inside | Alto | Client, database, AD |
| DMZ | Medio | Web server, reverse proxy pubblico |
| Outside | Nullo | Internet |
La regola d’oro: il traffico da Internet raggiunge solo la DMZ; la DMZ non inizia connessioni verso l’inside.
IDS vs IPS: la distinzione chiave
Questo è il concetto più frequentemente frainteso.
- IDS (Intrusion Detection System): opera fuori linea (out-of-band), riceve una copia del traffico tramite una porta SPAN/mirror o un network TAP. Rileva e allerta, ma non può bloccare in tempo reale il pacchetto malevolo, perché quel pacchetto è già transitato. Non introduce latenza né rischio di interruzione.
- IPS (Intrusion Prevention System): è posizionato in linea (inline), il traffico reale lo attraversa. Può bloccare, resettare o scartare (drop) la connessione dannosa in tempo reale. Introduce potenziale latenza e, in caso di guasto, può fermare il traffico (da qui i meccanismi fail-open/fail-close).
Sintesi: IDS = rileva, passivo, fuori linea. IPS = previene, attivo, in linea. Cisco Secure IPS si basa sul motore Snort.
Un falso positivo su un IDS genera solo un allarme superfluo; lo stesso falso positivo su un IPS può bloccare traffico legittimo — motivo per cui l’IPS richiede tuning attento delle firme.
Proxy e honeypot
Il proxy server (forward proxy) si interpone nelle richieste in uscita dei client verso il web: fa URL/content filtering, caching, ispezione TLS e applica policy di navigazione. Cisco Secure Web Appliance (WSA) è l’esempio on-premise; Cisco Umbrella fornisce sicurezza a livello DNS cloud-delivered. Un reverse proxy, invece, protegge i server pubblicati mascherandone l’origine.
L’honeypot è un sistema esca deliberatamente vulnerabile, privo di valore produttivo, il cui unico scopo è attirare e osservare l’attaccante. Qualsiasi interazione con un honeypot è per definizione sospetta: serve a threat detection, raccolta di intelligence e distrazione (deception), non a bloccare.
Virtualizzazione e cloud
In ambienti virtualizzati il traffico critico è east-west (server-to-server dentro l’hypervisor), che un firewall perimetrale tradizionale non vede. La risposta è la microsegmentazione e i firewall virtuali (FTDv/NGFWv) che ispezionano il traffico tra VM.
Nel cloud il perimetro si dissolve: la sicurezza si sposta su servizi cloud-delivered (Umbrella per DNS/SIG, cloud firewall, SASE). Il modello di responsabilità condivisa resta centrale: il provider protegge l’infrastruttura, il cliente protegge dati, identità e configurazioni.
Trappole tipiche d’esame
- Scenario: serve bloccare in tempo reale un exploit noto mentre attraversa il perimetro → risposta: IPS inline, non IDS (l’IDS solo allerta a posteriori).
- Scenario: un sensore riceve traffico da una porta SPAN e non può fermare i pacchetti → è un IDS (out-of-band) per definizione, indipendentemente dal marchio.
- Scenario: dove pubblicare un web server raggiungibile da Internet senza esporre la LAN → DMZ/screened subnet, mai nella rete interna.
- Scenario: filtrare la navigazione web e applicare URL filtering in uscita → proxy/Secure Web Appliance o Umbrella, non un IDS/IPS.
- Scenario: un sistema esca che registra ogni tentativo di accesso per studiare l’attaccante → honeypot (rileva e inganna; non previene né filtra).
- Scenario: gestire firme e policy di più appliance FTD da un unico punto → FMC, il piano di management centralizzato.