Come sottolinea Forcepoint, forse non tutti sanno è che i firewall sono ovunque: access point, router e Internet hanno moduli di firewalling che garantiscono, fra le tante cose, una fondamentale funzionalità, ovvero “nascondono” le reti, altrimenti avremmo già esaurito il cosiddetto “Spazio IP”.
Negli anni, i Firewall si sono evoluti verso l’attuale Next Generation Firewall, grazie all’introduzione di nuove funzionalità adatte alle esigenze moderne. Un NGFW, infatti, oltre a controllare chi, dove, come (sorgente, destinazione, protocollo, proprie delle tecnologie “Traditional FWs”) dovrà anche ispezionare il traffico (funzionalità prima erogate da prodotti dedicati IDS/IPS), o controllare le applicazioni che utilizziamo, ad esempio in un ambiente di lavoro per garantire l’accesso ai siti di Social Networking ai soli gruppi interessati, come il Marketing.
Forcepoint NGFW nasce nel 2001 dalla finlandese Stonesoft ed è stato sviluppato, fin da subito, con una Governance Centralizzata, offrendo alle aziende la possibilità di configurare e gestire gli apparati da un unico punto, semplificando l’amministrazione delle grandi reti Enterprise. Inoltre, l’idea di realizzare un prodotto software, basato su hardware Intel, ha permesso di massimizzarne la sicurezza, rivelandosi una scelta assolutamente future-proof. NGFW rappresenta un punto di enforcement, la cui configurazione è indipendente dall’“aspetto”, sia esso un appliance fisico, una macchina virtuale, o un’istanza in un Public Cloud.
Si potrebbe parlare a lungo delle funzionalità di base, di come sono pensate e sviluppate, ma al posto di un noioso elenco è bene ricordare che i prodotti non sono tutti uguali, un NGFW non è equivalente ad un altro, bisogna valutare il prodotto a 360 gradi. Ad esempio, con una struttura di ICT Security di poche risorse, utilizzando la soluzione adeguata è possibile semplificare la conduzione day-by-day, lasciando liberi gli operatori di concentrarsi sugli aspetti critici e sugli incident più importanti.
Inoltre, gli NGFW fanno forse il lavoro più complesso nelle architetture ICT, e sicuramente quello meno evidente. Nel tempo i budget si sono assottigliati, quelli di Network assorbiti in quelli di Security (o viceversa), per cui si è pensato di far rientrare un po’ di tutto nella “scatola magica” dell’NGFW, come ad esempio la Web Security.
C’è da dire, però, che quest’approccio è da valutarsi attentamente: ci sono differenze sostanziali fra un prodotto Web Security dedicato e la funzionalità url filtering/web filtering di un NGFW. Il mercato ha spinto per l’introduzione di nuove funzionalità, ed è ad oggi un add-on disponibile per qualsiasi vendor, ma il problema fondamentale è che la protezione garantita da un prodotto dedicato non sarà mai eguagliata da quella di una funzionalità aggiunta su un prodotto che nasce per altri scopi. Lo stesso discorso lo si potrebbe fare per i moduli DLP, presenti su tutti i NGFW, ma che risultano essere assolutamente basici e non adatti alle attuali esigenze di Data Security, anche a seguito dell’introduzione di nuove normative come il GDPR.
Quindi, continua Forcepoint, nel tempo i firewall si sono sicuramente evoluti, introducendo nuove funzionalità che garantiscano la copertura di un grande numero di use case. In alcuni casi si è anche raggiunto il risultato sperato, senza far rimpiangere i prodotti “originali” (si pensi ad esempio agli IPS), in altri, invece, non è stato possibile raggiungere lo stesso livello di qualità. Alcuni prodotti devono quindi essere focused (seppur integrati, si pensi ad esempio a CASB e Web Security), ma le componenti architetturali “di servizio” non trovano più tanto spazio nei Datacenter, anche perché non totalmente virtualizzabili.
C’è quindi l’esigenza di soluzioni di alta qualità senza necessità hardware, e come spesso succede il Cloud risulta essere la risposta.
Nel 2019, con l’introduzione da parte di Gartner del concetto di SASE (Secure Access Service Edge), si è assistito al passaggio da un heavy-branch (ovvero un branch office che, affacciato ad Internet, ha le stesse necessità di sicurezza di un HQ) a un branch office in cui l’NGFW resta sempre il punto di enforcement al perimetro, ma integrato con un’architettura di sicurezza totalmente Cloud Enabled.
Secondo Forcepoint, il Next generation firewall si sposta nella nuvola, ma resta legato al perimetro (Edge) perché, anche se stiamo assistendo a quella che viene definita come “dematerializzazione del perimetro” con utenti sempre più roaming, ci sarà sempre l’esigenza di controllare e proteggere i flussi di traffico, sia inbound che outbound. In questo caso la lungimiranza della scelta di creare un prodotto con una reale Governance centralizzata permette di gestire i nodi nel Public Cloud (ma anche quelli in private/Hybrid) esattamente come fossero fisici.
Con SASE, inoltre, viene superato il concetto di integrazione (quindi diversi prodotti che comunichino fra loro) per focalizzarsi sulla convergenza, ovvero un singolo prodotto che garantisca il meglio delle funzionalità Network Security, Web Security, Data Security e Behavioral Security, magari in ottica di Service Chaining. Tutti questi neologismi possono essere semplicemente riassunti in un unico prodotto: Forcepoint Dynamic Edge Protection, sul quale è possibile attivare funzionalità aggiuntive a seconda degli use case e delle necessità dell’azienda.
Tale approccio risulta evidente nel caso di Virtual Workplace: gli utenti, “affacciati” su Internet e in passato senza protezione, adesso possono contare su una “catena” di prodotti abilitati dalla nuvola che in maniera totalmente trasparente garantiscono lo stesso livello di protezione dei sistemi aziendali. Si potrà poi modulare la “lunghezza” di questa catena in base alle esigenze di security dell’Azienda stessa, in relazione al budget disponibile, lasciando spazio per future evoluzioni.
I Next Generation Firewall subiscono un ulteriore cambiamento, ma restano una delle componenti fondamentali di qualsiasi infrastruttura di sicurezza. Forcepoint Next generation firewall è un prodotto affidabile e di semplice utilizzo e l’avvento di SASE ha permesso di evidenziarne la flessibilità architetturale, indispensabile utilizzando ambienti Public Cloud come Amazon AWS e Microsoft Azure. In questo caso proteggere le macchine nel cloud sarà esattamente lo stesso che proteggerle nei Datacenter fisici, di cui l’ambiente cloud diventa a tutti gli effetti una semplice estensione.
