Modalità di deployment: routed vs transparent
La prima decisione architetturale su un Cisco Secure Firewall (FTD) è la modalità delle interfacce.
- Routed mode: FTD è un hop di Layer 3. Ogni interfaccia ha un proprio indirizzo IP, appartiene a subnet diverse, esegue routing (statico, OSPF, BGP, EIGRP) e NAT. È la scelta tipica come gateway perimetrale o firewall tra segmenti.
- Transparent mode: FTD lavora a Layer 2 come “bump in the wire”. Le interfacce di un bridge group stanno nella stessa subnet; il firewall è invisibile agli host (nessun cambio di gateway o di IP) e si inserisce senza riprogettare l’indirizzamento. Filtra e ispeziona comunque il traffico, ma non fa routing dinamico né NAT nel modo classico.
| Aspetto | Routed | Transparent |
|---|---|---|
| Livello | L3 (IP per interfaccia) | L2 (bridge group) |
| NAT / routing dinamico | Sì | Limitato / no |
| Impatto sulla rete | Cambia gateway/subnet | Inserimento trasparente |
| Uso tipico | Perimetro, inter-VLAN | Inserzione in un segmento esistente |
Deployment IPS: inline vs passive/monitor
Il motore NGIPS (Snort) può operare in due posizioni logiche:
- Inline (IPS): il traffico attraversa il sensore. Le regole intrusion possono droppare i pacchetti malevoli in tempo reale (prevenzione). Richiede coppie di interfacce inline set.
- Passive / monitor (IDS): il sensore riceve una copia del traffico (SPAN/TAP). Rileva ma non blocca: nessun drop, solo eventi. Utile per baseline e tuning senza rischio di impatto sul traffico produttivo.
In passive mode, azioni come Block o Drop generano l’evento ma il pacchetto non viene mai fermato: è già passato.
La catena delle policy
FTD valuta il traffico in un ordine preciso. Conoscerlo è essenziale.
1. Prefilter policy (prima di tutto)
Opera solo su Layer 3/4 (niente deep inspection). Ha due tipi di regole (tunnel e prefilter) e tre azioni:
- Fastpath: il flusso bypassa completamente Snort, gestito dal solo motore LINA. Massime prestazioni per traffico fidato e ad alto volume (backup, replica). Nessuna intrusion/file inspection.
- Block: scarto precoce a L3/4, prima di sprecare cicli di deep inspection.
- Analyze: passa il flusso all’Access Control Policy per la valutazione completa.
2. Security Intelligence
Applicata prima delle regole ACP: blocklist/allowlist basate su reputazione per IP, URL e DNS (feed Cisco Talos o liste custom). È un filtro rapido a monte che elimina sorgenti/destinazioni note come malevole.
3. Access Control Policy (ACP)
Le regole si valutano top-down, first-match: appena una regola combacia, si applica la sua azione e la valutazione si ferma. Azioni principali:
- Trust: consente senza deep inspection (ma SI e QoS restano attivi).
- Allow: consente e può invocare intrusion e file policy.
- Block / Block with reset / Interactive Block.
- Se nessuna regola combacia → Default Action (es. Block All Traffic o Intrusion Prevention).
4. Intrusion, File e Malware policy
Non sono applicate globalmente: sono richiamate dalle singole regole ACP con azione Allow.
- Intrusion policy: set di regole Snort (NGIPS) per exploit e attacchi noti.
- File policy: file control (blocco per tipo) e malware/AMP (analisi hash, spero-analysis, sandboxing).
Ordine mnemonico: Prefilter → Security Intelligence → ACP (in ordine) → Intrusion/File/Malware sul traffico Allowed.
Trappole tipiche d’esame
- “Le regole ACP vengono valutate tutte e vince la più specifica” → Falso. Sono first-match top-down: la prima regola che combacia vince, le successive non vengono valutate. L’ordine conta più della specificità.
- “Serve massima velocità per un flusso fidato bypassando l’ispezione” → Fastpath nella Prefilter policy, non Trust nell’ACP. Fastpath è gestito da LINA e salta del tutto Snort; Trust agisce più tardi e passa comunque per SI.
- “Il sensore in passive/monitor deve bloccare l’attacco” → Non può: passive rileva soltanto. Per il drop serve un inline set (IPS mode).
- “La modifica al deployment interrompe brevemente il traffico ispezionato” → alcune modifiche richiedono un restart di Snort (es. update VDB, cambio MTU, prima abilitazione di una SSL policy, modifiche di sistema). Durante il restart, il comportamento dipende da Snort Fail Open/Fail Close (preserve-connection vs drop).
- “Voglio scartare traffico malevolo il prima possibile risparmiando risorse” → usa Block in Prefilter (L3/4) o Security Intelligence, non una regola ACP a fondo lista.