{"id":31058,"date":"2019-10-31T21:39:12","date_gmt":"2019-10-31T18:39:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya\/"},"modified":"2019-10-31T21:39:12","modified_gmt":"2019-10-31T18:39:12","slug":"kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya","title":{"rendered":"Come prendere il controllo dell'infrastruttura di rete. Capitolo terzo. Sicurezza di rete. Parte prima","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><i>Questo articolo \u00e8 il terzo di una serie di articoli \"Come prendere il controllo della tua infrastruttura di rete\". Puoi trovare il contenuto di tutti gli articoli della serie e i link. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447008\/\">qui<\/a><\/noindex><\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"Come prendere il controllo dell&#039;infrastruttura di rete. Capitolo terzo. Sicurezza di rete. Parte prima\" src=\"\/wp-content\/uploads\/2019\/04\/cdf33cc6797d26df8fef5533f2570c47.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nNon ha senso parlare di una completa eliminazione dei rischi di sicurezza. In linea di principio, non possiamo ridurli a zero. Inoltre, \u00e8 necessario comprendere che, nel tentativo di rendere la rete sempre pi\u00f9 sicura, le nostre soluzioni diventano sempre pi\u00f9 costose. \u00c8 necessario trovare un compromesso ragionevole tra prezzo, complessit\u00e0 e sicurezza per la tua rete. <\/p>\n<p>Ovviamente, il design della sicurezza \u00e8 organicamente integrato nell'architettura generale e le soluzioni di sicurezza utilizzate influenzano la scalabilit\u00e0, l'affidabilit\u00e0, la gestibilit\u00e0, ... della tua infrastruttura di rete, che deve essere presa in considerazione.<\/p>\n<p>Ma, ricordo che ora non stiamo parlando della creazione di una rete. In conformit\u00e0 con i nostri <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/433614\/\">requisiti iniziali<\/a><\/noindex> abbiamo gi\u00e0 scelto il design, l'hardware \u00e8 stato selezionato e l'infrastruttura \u00e8 stata creata; a questo punto dobbiamo, per quanto possibile, \"vivere\" e trovare soluzioni nel contesto dell'approccio precedentemente deciso.<\/p>\n<p>Il nostro compito ora \u00e8 identificare i rischi legati alla sicurezza a livello di rete e ridurli a un livello ragionevole. <noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h1>Audit della sicurezza della rete<\/h1>\n<p>\nSe nella tua organizzazione sono stati implementati processi ISO 27k, l'audit di sicurezza e le modifiche alla rete devono essere organicamente integrati nei processi generali di questo approccio. Tuttavia, queste norme non riguardano specifiche soluzioni, configurazioni o design... Non ci sono consigli univoci, n\u00e9 standard che dictano in dettaglio come deve essere la tua rete, in questo sta la complessit\u00e0 e la bellezza di questa sfida.<\/p>\n<p>Vorrei evidenziare alcuni possibili audit della sicurezza della rete:<\/p>\n<ul>\n<li>audit della configurazione dell'hardware (hardening)<\/li>\n<li>audit del design della sicurezza<\/li>\n<li>audit degli accessi<\/li>\n<li>audit dei processi<\/li>\n<\/ul>\n<p><\/p>\n<h1>Audit della configurazione hardware (hardening)<\/h1>\n<p>\nSembra che, nella maggior parte dei casi, questo sia il miglior punto di partenza per l'audit e il miglioramento della sicurezza della tua rete. IMHO, \u00e8 una buona dimostrazione della legge di Pareto (il 20% dello sforzo produce l'80% del risultato, mentre il restante 80% dello sforzo offre solo il 20% del risultato). <\/p>\n<p>La sostanza \u00e8 che di solito abbiamo raccomandazioni dai fornitori riguardo alle \"best practices\" di sicurezza durante la configurazione dell'hardware. Questo \u00e8 chiamato \"hardening\".<\/p>\n<p>Spesso si pu\u00f2 anche trovare un questionario (o crearne uno da soli) basato su queste raccomandazioni, che ti aiuter\u00e0 a determinare quanto la configurazione del tuo hardware soddisfi queste \"best practices\" e, in base ai risultati, apportare modifiche alla tua rete. Questo ti permetter\u00e0 di ridurre in modo significativo i rischi per la sicurezza, in modo relativamente facile e senza costi.<\/p>\n<blockquote><p>Alcuni esempi per alcuni sistemi operativi Cisco.<\/p>\n<p><noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/support\/docs\/ip\/access-lists\/13608-21.html\">Cisco IOS Configuration Hardening<\/a><\/noindex><br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/tools.cisco.com\/security\/center\/resources\/increase_security_ios_xr_devices.html\">Cisco IOS-XR Configuration Hardening<\/a><\/noindex><br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/tools.cisco.com\/security\/center\/resources\/securing_nx_os.html\">Cisco NX-OS Configuration Hardening<\/a><\/noindex><br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/Baseline_Security\/securebasebook\/appendxD.html\">Cisco Baseline Security Check List<\/a><\/noindex><\/p>\n<p>Sulla base di questi documenti pu\u00f2 essere creato un elenco di requisiti per la configurazione di ciascun tipo di hardware. Ad esempio, per il Cisco N7K VDC, questi requisiti possono essere: <noindex><a rel=\"nofollow\" href=\"https:\/\/www.dropbox.com\/s\/hnat6yriyptigzb\/7k_hard.xlsx?dl=0\">cos\u00ec<\/a><\/noindex>.<\/p><\/blockquote>\n<p>\nIn questo modo possono essere creati file di configurazione per diversi tipi di hardware attivo nella tua infrastruttura di rete. Successivamente, manualmente o utilizzando l'automazione, puoi \"caricare\" questi file di configurazione. Come automatizzare questo processo sar\u00e0 trattato pi\u00f9 dettagliatamente in un'altra serie di articoli dedicati all'orchestrazione e all'automazione.<\/p>\n<h1>Audit del design della sicurezza<\/h1>\n<p>\nDi solito nella rete di un'azienda (enterprise network) sono presenti, in un modo o nell'altro, i seguenti segmenti: <\/p>\n<ul>\n<li>DC (Servizi pubblici DMZ e data center intranet)<\/li>\n<li>Accesso a Internet<\/li>\n<li>Remote access VPN<\/li>\n<li>WAN edge<\/li>\n<li>Filiale<\/li>\n<li>Campus (Office)<\/li>\n<li>Core<\/li>\n<\/ul>\n<p>\nI nomi sono tratti da <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap1.html\">Cisco SAFE<\/a><\/noindex> un modello, ma non \u00e8 necessario legarsi necessariamente a questi nomi e a questo modello. Vogliamo parlare dell'essenza e non perderci nelle formalit\u00e0.<\/p>\n<p>Per ciascuno di questi segmenti, i requisiti per il livello di sicurezza, i rischi e, di conseguenza, le soluzioni differiranno.<\/p>\n<p>Esamineremo ciascuno di essi singolarmente per rilevare i problemi che potresti incontrare dal punto di vista del design della sicurezza. Certo, ripeto, che nemmeno questa articolo pretenda di essere esaustivo; raggiungere la completezza in questo tema veramente profondo e sfaccettato \u00e8 difficile (se non impossibile), ma rispecchia la mia esperienza personale.<\/p>\n<p>Non esiste una soluzione ideale (almeno per ora). Si tratta sempre di un compromesso. Ma \u00e8 importante che la decisione di applicare un determinato approccio venga presa consapevolmente, con comprensione sia dei suoi vantaggi che dei suoi svantaggi.<\/p>\n<h2>Centro dati<\/h2>\n<p>\nSegmento pi\u00f9 critico dal punto di vista della sicurezza.<br \/>\nE, come al solito, qui non esiste una soluzione universale. Tutto dipende fortemente dai requisiti della rete. <\/p>\n<h3>Serve o meno un firewall?<\/h3>\n<p>\nSembrerebbe che la risposta sia ovvia, ma non \u00e8 affatto cos\u00ec chiaro come potrebbe sembrare. E la tua scelta pu\u00f2 essere influenzata non solo da<b> il prezzo<\/b>. <\/p>\n<blockquote><p>Esempio 1. <b>Ritardi.<\/b><\/p>\n<p>Se tra alcuni segmenti della rete la latenza bassa \u00e8 un requisito fondamentale, come ad esempio nel caso di una borsa, allora tra questi segmenti non possiamo utilizzare i firewall. \u00c8 difficile trovare studi sulla latenza nei firewall, ma solo pochissimi modelli di switch possono fornire latenze inferiori o dell'ordine di 1 microsecondo, quindi penso che se i microsecondi sono importanti per te, i firewall non fanno per te.<\/p><\/blockquote>\n<blockquote><p>Esempio 2. <b>Prestazioni.<\/b><\/p>\n<p>La larghezza di banda dei migliori switch L3 \u00e8 solitamente di un ordine superiore rispetto alla larghezza di banda dei firewall pi\u00f9 performanti. Quindi, in caso di traffico ad alta intensit\u00e0, dovrai probabilmente bypassare i firewall.<\/p><\/blockquote>\n<p><\/p>\n<blockquote><p>Esempio 3. <b>Affidabilit\u00e0.<\/b><\/p>\n<p>I firewall, in particolare i moderni NGFW (Next-Generation FW), sono dispositivi complessi. Sono significativamente pi\u00f9 complessi degli switch L3\/L2. Offrono una grande quantit\u00e0 di servizi e opzioni di configurazione, quindi non sorprende che la loro affidabilit\u00e0 sia significativamente pi\u00f9 bassa. Se la continuit\u00e0 del servizio \u00e8 critica per la rete, dovrai probabilmente scegliere cosa garantisce una migliore disponibilit\u00e0: la protezione tramite firewall o la semplicit\u00e0 di una rete basata su switch (o vari tipi di fabric) utilizzando normali ACL.<\/p><\/blockquote>\n<p> Nel caso degli esempi sopra, dovrai probabilmente (come al solito) trovare un compromesso. Dai un'occhiata alle seguenti soluzioni: <\/p>\n<ul>\n<li>se hai deciso di non utilizzare firewall all'interno del data center, devi pianificare come limitare al massimo gli accessi perimetrali. Ad esempio, puoi aprire solo le porte necessarie da Internet (per il traffico dei clienti) e concedere accesso amministrativo al data center solo da host di salto. Su questi host di salto, esegui tutti i controlli necessari (autenticazione\/autorizzazione, antivirus, registrazione, ...)<\/li>\n<li>puoi utilizzare una suddivisione logica della rete del data center in segmenti, simile allo schema descritto in PSEFABRIC <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/nihole\/PSEFABRIC\/wiki\/p002-design\">esempio p002<\/a><\/noindex>. In questo caso, il routing deve essere configurato in modo che il traffico sensibile alla latenza o il traffico ad alta intensit\u00e0 circoli \"internamente\" a un segmento (nel caso di p002, del VRF) e non attraversi il firewall. Il traffico tra segmenti differenti continuer\u00e0 comunque ad essere instradato attraverso il firewall. \u00c8 inoltre possibile utilizzare il route leaking tra i VRF per evitare il reindirizzamento del traffico attraverso il firewall.<\/li>\n<li>\u00e8 anche possibile utilizzare il firewall in modalit\u00e0 trasparente e solo per quelle VLAN in cui questi fattori (latenza\/performance) non sono significativi. Ma \u00e8 necessario esaminare attentamente le limitazioni associate all'uso di questa modalit\u00e0 per ogni fornitore.<\/li>\n<li>puoi considerare l'applicazione di un'architettura di service chain. Questo permetter\u00e0 di instradare attraverso il firewall solo il traffico necessario. Teoricamente suona bene, ma non ho mai visto questa soluzione in produzione. Abbiamo testato la service chain per Cisco ACI\/Juniper SRX\/F5 LTM circa 3 anni fa, ma a quel tempo questa soluzione sembrava \"grezza\".<\/li>\n<\/ul>\n<p><\/p>\n<h3>Livello di protezione<\/h3>\n<p>\nOra bisogna rispondere alla domanda su quali strumenti desideri applicare per filtrare il traffico. Ecco alcune delle funzionalit\u00e0 che sono solitamente presenti nei NGFW (ad esempio, <noindex><a rel=\"nofollow\" href=\"https:\/\/docs.paloaltonetworks.com\/pan-os\/8-0\/pan-os-admin\/policy\/security-profiles.html\">qui<\/a><\/noindex>):<\/p>\n<ul>\n<li>firewalling stateful (di default)<\/li>\n<li>firewalling applicativo<\/li>\n<li>prevenzione dalle minacce (antivirus, anti-spyware e vulnerabilit\u00e0)<\/li>\n<li>filtraggio URL<\/li>\n<li>filtraggio dati (filtraggio dei contenuti)<\/li>\n<li>blocco file (blocco dei tipi di file)<\/li>\n<li>protezione dos<\/li>\n<\/ul>\n<p>\nE anche non \u00e8 tutto cos\u00ec chiaro. Sembrerebbe che pi\u00f9 alto \u00e8 il livello di protezione, meglio \u00e8. Ma devi anche considerare che<\/p>\n<ul>\n<li>pi\u00f9 funzionalit\u00e0 del firewall sopra elencate utilizzi, naturalmente sar\u00e0 pi\u00f9 costoso (licenze, moduli aggiuntivi).<\/li>\n<li>l'uso di alcuni algoritmi pu\u00f2 ridurre significativamente la larghezza di banda del firewall e aumentare anche la latenza, vedi ad esempio <noindex><a rel=\"nofollow\" href=\"https:\/\/www.paloaltonetworks.com\/products\/secure-the-network\/next-generation-firewall\/pa-7000-series\">qui<\/a><\/noindex><\/li>\n<li>come qualsiasi soluzione complessa, l'utilizzo di metodi di protezione complessi pu\u00f2 ridurre l'affidabilit\u00e0 della tua soluzione, ad esempio, utilizzando il firewalling a livello di applicazione ho riscontrato il blocco di alcune applicazioni che funzionano normalmente (dns, smb).<\/li>\n<\/ul>\n<p>\nCome al solito, devi trovare la soluzione ottimale per la tua rete.<\/p>\n<p>Non \u00e8 possibile rispondere in modo univoco alla domanda quali funzioni di protezione potrebbero essere necessarie. Innanzitutto, perch\u00e9 chiaramente dipende dai dati che stai trasmettendo o memorizzando e cercando di proteggere. In secondo luogo, in realt\u00e0, spesso la scelta dei mezzi di protezione \u00e8 una questione di fede e fiducia nel fornitore. Non conosci gli algoritmi, non sai quanto siano efficaci e non puoi testarli in modo completo. <\/p>\n<p>Pertanto, nei segmenti critici, una buona soluzione potrebbe essere utilizzare offerte di diverse aziende. Ad esempio, puoi attivare l'antivirus sul firewall, ma anche utilizzare la protezione antivirus (di un altro fornitore) localmente sugli host.<\/p>\n<h3>Segmentazione<\/h3>\n<p>\nSi tratta di segmentazione logica della rete del data center. Ad esempio, la suddivisione in VLAN e sottoreti \u00e8 anch'essa una segmentazione logica, ma non la considereremo per la sua ovviet\u00e0. \u00c8 interessante la segmentazione tenendo conto di entit\u00e0 come le zone di sicurezza FW, VRF (e i loro equivalenti per diversi fornitori), dispositivi logici (PA VSYS, Cisco N7K VDC, Cisco ACI Tenant, \u2026), \u2026<\/p>\n<blockquote><p>Un esempio di tale segmentazione logica e di un design attualmente richiesto del data center \u00e8 riportato in <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/nihole\/PSEFABRIC\/wiki\/p002-design\">p002 del progetto PSEFABRIC<\/a><\/noindex>.<\/p><\/blockquote>\n<p> Dopo aver definito le parti logiche della tua rete, puoi descrivere come si muove il traffico tra i diversi segmenti, su quali dispositivi avverr\u00e0 la filtrazione e con quali mezzi.<\/p>\n<p>Se non c'\u00e8 una chiara suddivisione logica nella tua rete e non sono formalizzate le regole di applicazione delle politiche di sicurezza per i diversi flussi di dati, significa che quando si apre un certo accesso ti trovi a dover affrontare questa questione, e con grande probabilit\u00e0 ogni volta la risolverai in modo diverso. <\/p>\n<p>Spesso la segmentazione si basa solo sulle zone di sicurezza FW. Quindi devi rispondere alle seguenti domande:<\/p>\n<ul>\n<li>quali zone di sicurezza ti servono<\/li>\n<li>quale livello di protezione desideri applicare a ciascuna di queste zone <\/li>\n<li>il traffico intra-zone sar\u00e0 consentito per impostazione predefinita <\/li>\n<li>se no, quali politiche di filtrazione del traffico saranno applicate all'interno di ciascuna delle zone<\/li>\n<li>quali politiche di filtrazione del traffico saranno applicate per ogni coppia di zone (source\/destination)<\/li>\n<\/ul>\n<p><\/p>\n<h3>TCAM<\/h3>\n<p>\nSpesso si riscontra il problema della TCAM (Ternary Content Addressable Memory) insufficiente, sia per la routizzazione che per gli accessi. IMHO, questo \u00e8 uno dei problemi pi\u00f9 importanti nella scelta dell'hardware, quindi bisogna trattarlo con la dovuta cautela.<\/p>\n<blockquote><p>Esempio 1. TCAM della Forwarding Table.<\/p>\n<p>Consideriamo <noindex>Palo Alto 7k<\/noindex> firewall.<br \/>\nVediamo che la dimensione della forwarding table IPv4* = 32K<br \/>\nQuesto numero di rotte \u00e8 totale per tutti i VSYS.<\/p>\n<p>Supponiamo che secondo il tuo design tu abbia deciso di utilizzare 4 VSYS.<br \/>\nOgnuno di questi VSYS \u00e8 collegato tramite BGP a due PE della rete MPLS che stai utilizzando come BB. Pertanto, i 4 VSYS si scambiano tutte le rotte specifiche tra di loro e hanno una forwarding table con set di rotte approssimativamente identici (ma con NH diversi). Poich\u00e9 ogni VSYS ha 2 sessioni BGP (con impostazioni identiche), ogni rotta ricevuta tramite MPLS ha 2 NH e, di conseguenza, 2 registrazioni FIB nella Forwarding Table. Se si suppone che questo sia l'unico firewall nel data center e debba conoscere tutte le rotte, significa che il numero totale di rotte nel nostro data center non pu\u00f2 superare 32K\/(4 * 2) = 4K. <\/p>\n<p>Ora, supponiamo di avere 2 data center (con lo stesso design) e di voler utilizzare VLAN \"estese\" tra i data center (ad esempio, per vMotion). Per risolvere il problema del routing, dobbiamo utilizzare route host. Ma questo significa che nei 2 data center avremo non pi\u00f9 di 4096 host possibili e questo potrebbe non essere sufficiente.<\/p><\/blockquote>\n<blockquote><p>Esempio 2. TCAM ACL.<\/p>\n<p>Se intendi filtrare il traffico sui commutatori L3 (o altre soluzioni che utilizzano commutatori L3, ad esempio, Cisco ACI), nella scelta dell'hardware devi prestare attenzione alla TCAM ACL.<\/p>\n<p>Supponiamo che tu voglia controllare gli accessi sugli SVI interface Cisco Catalyst 4500. Allora, come si pu\u00f2 vedere da <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/support\/docs\/switches\/catalyst-4000-series-switches\/66978-tcam-cat-4500.html\">di questo articolo<\/a><\/noindex>, per il controllo del traffico in uscita (cos\u00ec come di quello in entrata) sulle interfacce puoi utilizzare solo 4096 righe di TCAM. Ci\u00f2, utilizzando il TCAM3, ti dar\u00e0 circa 4000 righe ACE (righe ACL).<\/p><\/blockquote>\n<p> Nel caso tu abbia incontrato il problema di TCAM insufficiente, la prima cosa da considerare \u00e8 certamente l'ottimizzazione. Ad esempio, nel caso di problemi con le dimensioni della Forwarding Table, dovresti considerare l'aggregazione delle rotte. In caso di problemi con le dimensioni della TCAM per gli accessi, l'audit degli accessi, la rimozione delle registrazioni obsolete e sovrapposte, oltre a riesaminare la procedura di apertura degli accessi (che sar\u00e0 trattata dettagliatamente nel capitolo dedicato all'audit degli accessi).<\/p>\n<h3>High Availability<\/h3>\n<p>\nLa questione \u00e8 se utilizzare HA per i firewall o installare due unit\u00e0 indipendenti \"in parallelo\" e nell'eventualit\u00e0 di un guasto di una di esse instradare il traffico attraverso l'altra?<\/p>\n<p>A prima vista, la risposta sembra ovvia \u2013 utilizzare HA. La ragione per cui questa questione \u00e8 comunque sollevata \u00e8 che, purtroppo, le teoriche e pubblicitarie percentuali di disponibilit\u00e0 del 99 e qualche numero decimale si rivelano nella pratica ben diverse. L'HA \u00e8 una cosa logicamente abbastanza complessa e su diverse attrezzature, e con diversi fornitori (non ci sono state eccezioni) abbiamo riscontrato problemi, bug e interruzioni del servizio.<\/p>\n<p>Utilizzando l'HA, avrai la possibilit\u00e0 di spegnere nodi singoli e passare tra di essi senza interrompere il servizio, il che \u00e8 importante ad esempio durante gli aggiornamenti. Tuttavia, c'\u00e8 una probabilit\u00e0 non trascurabile che entrambi i nodi si guastino contemporaneamente, oltre al rischio che l'aggiornamento non proceda cos\u00ec senza intoppi come promesso dal fornitore (questo problema pu\u00f2 essere evitato se hai la possibilit\u00e0 di testare l'aggiornamento su attrezzature di laboratorio).<\/p>\n<p>Se non utilizzi l'HA, dal punto di vista di un guasto doppio, i tuoi rischi sono significativamente inferiori (poich\u00e9 hai 2 firewall indipendenti), ma poich\u00e9 le sessioni non sono sincronizzate, ogni volta che si verifica un passaggio tra questi firewall perderai traffico. Certo, puoi usare un firewall stateless, ma in tal caso il senso di utilizzare un firewall viene in gran parte meno.<\/p>\n<p>Pertanto, se a seguito di un audit scopri firewall isolati e stai pensando di aumentare l'affidabilit\u00e0 della tua rete, l'HA \u00e8 certamente una delle soluzioni raccomandate, ma dovresti anche considerare gli svantaggi associati a questo approccio e, forse, per la tua rete, sar\u00e0 pi\u00f9 appropriata un'altra soluzione.<\/p>\n<h3>Facilit\u00e0 di gestione (managability)<\/h3>\n<p>\nIn linea di principio, l'HA riguarda anche la gestibilit\u00e0. Invece di configurare 2 apparecchi separatamente e risolvere il problema della sincronizzazione delle configurazioni, li gestisci in gran parte come se avessi un unico dispositivo. <\/p>\n<p>Ma, se hai molti data center e molti firewall, questa questione si pone su un altro piano. E la questione non riguarda solo la configurazione, ma anche<\/p>\n<ul>\n<li>il backup delle configurazioni<\/li>\n<li>gli aggiornamenti<\/li>\n<li>gli upgrade<\/li>\n<li>monitoraggio<\/li>\n<li>la registrazione<\/li>\n<\/ul>\n<p>\nE tutto ci\u00f2 pu\u00f2 essere risolto da sistemi di gestione centralizzati. <\/p>\n<blockquote><p>Ad esempio, se utilizzi firewall Palo Alto, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.paloaltonetworks.com\/products\/management\/panorama\">Panorama<\/a><\/noindex> \u00e8 una di queste soluzioni.\n<\/p><\/blockquote>\n<p>\n<i>Continua.<\/i><br \/>\n<br \/>Fonte: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb. \u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u0441\u0442\u0430\u0442\u0435\u0439 \u0446\u0438\u043a\u043b\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0437\u0434\u0435\u0441\u044c. \u041d\u0435\u0442 \u0441\u043c\u044b\u0441\u043b\u0430 \u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u043f\u043e\u043b\u043d\u043e\u043c \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0438 security \u0440\u0438\u0441\u043a\u043e\u0432. \u041c\u044b \u0432 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0435 \u043d\u0435 \u043c\u043e\u0436\u0435\u043c \u0441\u043d\u0438\u0437\u0438\u0442\u044c \u0438\u0445 \u0434\u043e \u043d\u0443\u043b\u044f. \u0422\u0430\u043a\u0436\u0435 \u043d\u0443\u0436\u043d\u043e \u043f\u043e\u043d\u0438\u043c\u0430\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u0438 \u0441\u0442\u0440\u0435\u043c\u043b\u0435\u043d\u0438\u0438 \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0441\u0435\u0442\u044c \u0431\u043e\u043b\u0435\u0435 \u0438 \u0431\u043e\u043b\u0435\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0439 \u043d\u0430\u0448\u0438 \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u0441\u0442\u0430\u043d\u043e\u0432\u044f\u0442\u0441\u044f [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23033,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-31058","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.0.1 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb. \u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u0441\u0442\u0430\u0442\u0435\u0439 \u0446\u0438\u043a\u043b\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0437\u0434\u0435\u0441\u044c. \u041d\u0435\u0442 \u0441\u043c\u044b\u0441\u043b\u0430 \u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u043f\u043e\u043b\u043d\u043e\u043c \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0438 security \u0440\u0438\u0441\u043a\u043e\u0432. \u041c\u044b \u0432 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0435 \u043d\u0435 \u043c\u043e\u0436\u0435\u043c \u0441\u043d\u0438\u0437\u0438\u0442\u044c \u0438\u0445 \u0434\u043e \u043d\u0443\u043b\u044f. \u0422\u0430\u043a\u0436\u0435 \u043d\u0443\u0436\u043d\u043e \u043f\u043e\u043d\u0438\u043c\u0430\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u0438 \u0441\u0442\u0440\u0435\u043c\u043b\u0435\u043d\u0438\u0438 \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0441\u0435\u0442\u044c \u0431\u043e\u043b\u0435\u0435 \u0438 \u0431\u043e\u043b\u0435\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0439 \u043d\u0430\u0448\u0438 \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u0441\u0442\u0430\u043d\u043e\u0432\u044f\u0442\u0441\u044f\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya\" \/>\n\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.0.1\" \/>\n\t\t<meta property=\"og:locale\" content=\"it_IT\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u043f\u0435\u0440\u0432\u0430\u044f | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb. \u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u0441\u0442\u0430\u0442\u0435\u0439 \u0446\u0438\u043a\u043b\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0437\u0434\u0435\u0441\u044c. \u041d\u0435\u0442 \u0441\u043c\u044b\u0441\u043b\u0430 \u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u043f\u043e\u043b\u043d\u043e\u043c \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0438 security \u0440\u0438\u0441\u043a\u043e\u0432. \u041c\u044b \u0432 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0435 \u043d\u0435 \u043c\u043e\u0436\u0435\u043c \u0441\u043d\u0438\u0437\u0438\u0442\u044c \u0438\u0445 \u0434\u043e \u043d\u0443\u043b\u044f. \u0422\u0430\u043a\u0436\u0435 \u043d\u0443\u0436\u043d\u043e \u043f\u043e\u043d\u0438\u043c\u0430\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u0438 \u0441\u0442\u0440\u0435\u043c\u043b\u0435\u043d\u0438\u0438 \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0441\u0435\u0442\u044c \u0431\u043e\u043b\u0435\u0435 \u0438 \u0431\u043e\u043b\u0435\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0439 \u043d\u0430\u0448\u0438 \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u0441\u0442\u0430\u043d\u043e\u0432\u044f\u0442\u0441\u044f\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T18:39:12+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T18:39:12+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Come prendere il controllo dell'infrastruttura di rete. Capitolo tre. Sicurezza di rete. Parte prima | ProHoster","description":"Questo articolo \u00e8 il terzo di una serie di articoli \"Come prendere il controllo dell'infrastruttura di rete\". Puoi trovare il contenuto di tutti gli articoli della serie e i collegamenti qui. Non ha senso parlare di un'eliminazione completa dei rischi di sicurezza. Non possiamo ridurli a zero. \u00c8 importante capire che nel tentativo di rendere la rete sempre pi\u00f9 sicura, le nostre soluzioni diventano","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u043f\u0435\u0440\u0432\u0430\u044f | ProHoster","og:description":"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb. \u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u0441\u0442\u0430\u0442\u0435\u0439 \u0446\u0438\u043a\u043b\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0437\u0434\u0435\u0441\u044c. \u041d\u0435\u0442 \u0441\u043c\u044b\u0441\u043b\u0430 \u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u043f\u043e\u043b\u043d\u043e\u043c \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0438 security \u0440\u0438\u0441\u043a\u043e\u0432. \u041c\u044b \u0432 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0435 \u043d\u0435 \u043c\u043e\u0436\u0435\u043c \u0441\u043d\u0438\u0437\u0438\u0442\u044c \u0438\u0445 \u0434\u043e \u043d\u0443\u043b\u044f. \u0422\u0430\u043a\u0436\u0435 \u043d\u0443\u0436\u043d\u043e \u043f\u043e\u043d\u0438\u043c\u0430\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u0438 \u0441\u0442\u0440\u0435\u043c\u043b\u0435\u043d\u0438\u0438 \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0441\u0435\u0442\u044c \u0431\u043e\u043b\u0435\u0435 \u0438 \u0431\u043e\u043b\u0435\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0439 \u043d\u0430\u0448\u0438 \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u0441\u0442\u0430\u043d\u043e\u0432\u044f\u0442\u0441\u044f","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:39:12+00:00","article:modified_time":"2019-10-31T18:39:12+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"31058","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 04:20:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:24:14","updated":"2026-01-21 04:20:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/31058","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=31058"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/31058\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/23033"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=31058"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=31058"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=31058"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}