{"id":31395,"date":"2019-10-31T21:41:01","date_gmt":"2019-10-31T18:41:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\/"},"modified":"2019-10-31T21:41:01","modified_gmt":"2019-10-31T18:41:01","slug":"kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","title":{"rendered":"Come tenere sotto controllo l'infrastruttura di rete. Capitolo terzo. Sicurezza di rete. Parte terza","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><i>Questo articolo \u00e8 il quinto di un ciclo di articoli intitolato \u00abCome prendere il controllo dell'infrastruttura di rete\u00bb. Il contenuto di tutti gli articoli del ciclo e i collegamenti possono essere trovati <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447008\/\">qui<\/a><\/noindex><\/i>.<\/p>\n<p>Questa parte sar\u00e0 dedicata ai segmenti Campus (ufficio) e VPN per accesso remoto. <\/p>\n<p><img decoding=\"async\" alt=\"Come tenere sotto controllo l&#039;infrastruttura di rete. Capitolo terzo. Sicurezza di rete. Parte terza\" src=\"\/wp-content\/uploads\/2019\/04\/c20ea5e670105b5bf9b655a97b82f62f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nPotrebbe sembrare che il design della rete dell'ufficio sia semplice. <\/p>\n<p>Infatti, prendiamo switch L2\/L3, li colleghiamo tra loro. Poi, facciamo una configurazione elementare di VLAN, gateway predefiniti, attiviamo un semplice routing, colleghiamo i controller WiFi, i punti di accesso, installiamo e configuriamo l'ASA per l'accesso remoto, e siamo felici che tutto funzioni. In linea di principio, come ho gi\u00e0 scritto in uno degli articoli precedenti <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/434750\/\">articoli<\/a><\/noindex> di questo ciclo, progettare e configurare una rete d'ufficio in modo che \u00abfunzioni in qualche modo\u00bb pu\u00f2 farlo praticamente qualsiasi studente che ha frequentato (e assimilato) due semestri di un corso di telecomunicazioni.<\/p>\n<p>Ma pi\u00f9 apprendete, meno semplice comincia a sembrare questo compito. Personalmente, questo argomento, il design della rete d'ufficio, non mi sembra affatto semplice, e in questo articolo cercher\u00f2 di spiegare perch\u00e9.<\/p>\n<p>In breve, bisogna considerare un numero piuttosto elevato di fattori. Spesso questi fattori sono in conflitto tra loro e si deve cercare un compromesso ragionevole. <br \/>\nQuesta incertezza \u00e8 la principale difficolt\u00e0. Cos\u00ec, parlando di sicurezza, abbiamo un triangolo con tre vertici: sicurezza, comodit\u00e0 per i dipendenti, costo della soluzione. <br \/>\nE ogni volta si deve cercare un compromesso tra questi tre.<br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h2>Architettura<\/h2>\n<p>\nCome esempio di architettura per questi due segmenti, consiglio, come in articoli precedenti, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap1.html\">Cisco SAFE<\/a><\/noindex> il modello: <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap5.html#wpxref51616\">Enterprise Campus<\/a><\/noindex>, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap6.html#wpxref74611\">Enterprise Internet Edge<\/a><\/noindex>.<\/p>\n<p>Questi sono documenti un po' obsoleti. Li riporto qui perch\u00e9 essenzialmente i diagrammi e l'approccio non sono cambiati, ma il modo in cui sono esposti mi piace di pi\u00f9 rispetto alla <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/solutions\/enterprise\/design-zone-security\/landing_safe.html#~tab-architecture\">nuova documentazione.<\/a><\/noindex>.<\/p>\n<p>Senza invitarvi a utilizzare necessariamente soluzioni Cisco, credo sia comunque utile studiare attentamente questo design. <\/p>\n<p>Questo articolo, come al solito, non pretende in alcun modo di essere esaustivo, ma \u00e8 piuttosto un complemento a queste informazioni. <\/p>\n<p>Alla fine dell'articolo, analizzeremo il design Cisco SAFE per l'ufficio in base ai concetti esposti qui.<\/p>\n<h2>Principi generali<\/h2>\n<p>\nIl design della rete dell'ufficio, ovviamente, deve soddisfare i requisiti generali che sono stati trattati. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/434750\/\">qui<\/a><\/noindex> nella sezione \u00abCriteri di valutazione della qualit\u00e0 del design\u00bb. Oltre al prezzo e alla sicurezza, che intendiamo discutere in questo articolo, rimangono altri tre criteri da considerare nella progettazione (o nelle modifiche):<\/p>\n<ul>\n<li>scalabilit\u00e0<\/li>\n<li>facilit\u00e0 di gestione (gestibilit\u00e0)<\/li>\n<li>disponibilit\u00e0 (disponibilit\u00e0)<\/li>\n<\/ul>\n<p>\nMolto di quanto discusso per <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">di data center<\/a><\/noindex> vale anche per l'ufficio. <\/p>\n<p>Tuttavia, il segmento office ha le sue specificit\u00e0, che dal punto di vista della sicurezza sono critiche. La sostanza di queste specificit\u00e0 \u00e8 che questo segmento \u00e8 creato per fornire servizi di rete ai dipendenti (nonch\u00e9 ai partner e agli ospiti) dell'azienda, e, di conseguenza, al pi\u00f9 alto livello di analisi del problema abbiamo due compiti:<\/p>\n<ul>\n<li>proteggere le risorse aziendali da azioni dannose che possono provenire dai dipendenti (ospiti, partner) e dal software che utilizzano. Ci\u00f2 include anche la protezione contro le connessioni non autorizzate alla rete. <\/li>\n<li>proteggere i sistemi e i dati degli utenti<\/li>\n<\/ul>\n<p>\nE questo \u00e8 solo un lato del problema (o, pi\u00f9 precisamente, un vertice del triangolo). Dall'altro lato si trova la comodit\u00e0 dell'utente e il costo delle soluzioni applicate.<\/p>\n<p>Iniziamo a considerare cosa si aspetta l'utente da una rete d'ufficio moderna. <\/p>\n<h2>Comodit\u00e0<\/h2>\n<p>\nEcco come vedo io i \u00abcomfort di rete\u00bb per l'utente d'ufficio:<\/p>\n<ul>\n<li>Mobilit\u00e0<\/li>\n<li>Possibilit\u00e0 di utilizzare tutta la gamma di dispositivi e sistemi operativi familiari<\/li>\n<li>Accesso facile a tutte le risorse necessarie dell'azienda <\/li>\n<li>Disponibilit\u00e0 delle risorse internet, inclusi vari servizi cloud<\/li>\n<li>\u00abVelocit\u00e0\u00bb della rete<\/li>\n<\/ul>\n<p>\nTutto ci\u00f2 si applica sia ai dipendenti che agli ospiti (o partner), e questa \u00e8 gi\u00e0 una responsabilit\u00e0 degli ingegneri dell'azienda di differenziare gli accessi per gruppi diversi di utenti basandosi sulla loro autorizzazione.<\/p>\n<p>Consideriamo pi\u00f9 in dettaglio ciascuno di questi aspetti.<\/p>\n<h3>Mobilit\u00e0<\/h3>\n<p>\nSi parla della possibilit\u00e0 di lavorare e utilizzare tutte le risorse necessarie dell'azienda da qualsiasi punto del mondo (ovviamente dove \u00e8 disponibile internet).<\/p>\n<p>Questo vale pienamente anche per l'ufficio. \u00c8 comodo quando, da qualsiasi punto dell'ufficio, hai la possibilit\u00e0 di continuare a lavorare, ad esempio, ricevere email, comunicare tramite il messenger aziendale, essere disponibile per una videochiamata, \u2026 In questo modo, ti consente, da un lato, di affrontare alcune questioni tramite comunicazioni \"live\" (ad esempio, partecipare a riunioni), e dall'altro, di essere sempre online, tenere il polso della situazione e risolvere rapidamente alcune questioni urgenti e ad alta priorit\u00e0. \u00c8 molto comodo e, davvero, migliora la qualit\u00e0 della comunicazione.<\/p>\n<p>Questo si ottiene grazie a un design corretto della rete WiFi.<\/p>\n<blockquote><p><b>Nota<\/b><\/p>\n<p>Qui sorge generalmente la domanda, \u00e8 sufficiente utilizzare solo WiFi? Significa questo che si pu\u00f2 rinunciare all'uso delle porte Ethernet in ufficio? Se si parla solo di utenti e non di server, che comunque \u00e8 consigliabile collegare tramite una porta Ethernet standard, la risposta in generale \u00e8: s\u00ec, si pu\u00f2 limitare solo a WiFi. Ma ci sono delle sfumature.<\/p>\n<p>Ci sono gruppi di utenti importanti a cui \u00e8 necessario adottare un approccio specifico. Questi sono, ovviamente, gli amministratori. In linea di principio, la connessione WiFi \u00e8 meno affidabile (dal punto di vista della perdita di traffico) e meno veloce rispetto a una porta Ethernet standard. Questo pu\u00f2 essere cruciale per gli amministratori. Inoltre, i network administrator, ad esempio, possono avere una rete Ethernet dedicata per la connessione out-of-band.<\/p>\n<p>Potrebbe esserci anche altri gruppi\/dipartimenti nella tua azienda per i quali questi fattori sono altrettanto importanti.<\/p>\n<p>C'\u00e8 un altro punto importante: la telefonia. \u00c8 possibile che, per un motivo qualsiasi, tu non voglia utilizzare Wireless VoIP e desideri utilizzare telefoni IP con una normale connessione Ethernet. <\/p>\n<p>In generale, nelle aziende in cui ho lavorato, c'era sempre la possibilit\u00e0 di utilizzare sia la connessione WiFi che quella tramite porta Ethernet.<\/p><\/blockquote>\n<p>\nVorrei che la mobilit\u00e0 non fosse limitata solo all'ufficio.<\/p>\n<p>Per consentire la possibilit\u00e0 di lavorare da casa (o da qualsiasi altro luogo con internet disponibile) si utilizza una connessione VPN. Inoltre, sarebbe auspicabile che i dipendenti non sentano differenza tra lavorare da casa e lavorare in remoto, il che implica la presenza degli stessi accessi. Come organizzarlo ne discuteremo pi\u00f9 avanti nel capitolo \"Sistema centralizzato unico di autenticazione e autorizzazione\".<\/p>\n<blockquote><p><b>Nota<\/b><\/p>\n<p>Probabilmente non sarete in grado di fornire la stessa qualit\u00e0 dei servizi per il lavoro remoto che avete in ufficio. Supponiamo che stiate usando un gateway VPN Cisco ASA 5520. Secondo il <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/security\/asa-5500-series-next-generation-firewalls\/data_sheet_c78-345385.html\">data sheet<\/a><\/noindex> questo dispositivo \u00e8 in grado di gestire solo 225 Mbps di traffico VPN. Ovviamente, dal punto di vista della larghezza di banda, la connessione tramite VPN \u00e8 molto diversa dal lavoro in ufficio. Inoltre, se per qualche motivo la latenza, la perdita di pacchetti o il jitter (ad esempio, se desiderate utilizzare la telefonia IP dell'ufficio) sono significativi per i vostri servizi di rete, non otterrete lo stesso livello di qualit\u00e0 che avreste se foste in ufficio. Pertanto, quando si parla di mobilit\u00e0, dobbiamo tener presente le potenziali limitazioni.<\/p><\/blockquote>\n<p><\/p>\n<h3>Accesso facile a tutte le risorse aziendali<\/h3>\n<p>\nQuesto compito deve essere affrontato insieme ad altri reparti tecnici.<br \/>\nLa situazione ideale \u00e8 quando l'utente deve autenticarsi solo una volta, dopo di che ha accesso a tutte le risorse necessarie.<br \/>\nFornire un accesso facile senza compromettere la sicurezza pu\u00f2 aumentare significativamente l'efficienza del lavoro e ridurre il livello di stress per i vostri colleghi.<\/p>\n<blockquote><p><b>Nota 1<\/b><\/p>\n<p>La comodit\u00e0 di accesso non riguarda solo quante volte dovete inserire la password. Se, ad esempio, secondo la vostra politica di sicurezza, per collegarvi dall'ufficio al data center dovete prima connettervi al gateway VPN, e allo stesso tempo perdete l'accesso alle risorse dell'ufficio, questo \u00e8 davvero molto poco comodo.\n<\/p><\/blockquote>\n<blockquote><p><b>Nota 2<\/b><\/p>\n<p>Ci sono servizi (ad esempio, accesso a hardware di rete), dove di solito abbiamo i nostri server AAA dedicati ed \u00e8 normale doversi autenticare pi\u00f9 volte in questo caso.\n<\/p><\/blockquote>\n<p><\/p>\n<h3>Accessibilit\u00e0 delle risorse internet<\/h3>\n<p>\nInternet non \u00e8 solo intrattenimento, ma anche un insieme di servizi che pu\u00f2 essere molto utile per il lavoro. Ci sono anche fattori puramente psicologici. L'uomo moderno \u00e8 connesso agli altri attraverso l'internet con molteplici fili virtuali e, a mio avviso, non c'\u00e8 nulla di male se continua a sentire questo legame anche mentre lavora.<\/p>\n<p>Dal punto di vista della perdita di tempo, non c'\u00e8 nulla di sbagliato se un dipendente, ad esempio, ha Skype aperto e spende 5 minuti a parlare con una persona cara, se necessario.<\/p>\n<p>Significa che Internet deve sempre essere accessibile, significa che ai dipendenti pu\u00f2 essere consentito l'accesso a tutte le risorse senza alcun controllo?<\/p>\n<p>No, non significa affatto. Il livello di apertura di Internet pu\u00f2 variare da un'azienda all'altra: dalla chiusura totale all'apertura totale. Discuteremo in seguito le modalit\u00e0 di controllo del traffico nelle sezioni dedicate ai mezzi di protezione. <\/p>\n<h3>Possibilit\u00e0 di utilizzare l'intera gamma di dispositivi familiari<\/h3>\n<p>\n\u00c8 comodo quando, ad esempio, hai la possibilit\u00e0 di continuare a utilizzare tutti i mezzi di comunicazione a cui sei abituato anche al lavoro. Non \u00e8 tecnicamente difficile realizzarlo. Serve solo WiFi e un guest VLAN.<\/p>\n<p>\u00c8 anche utile se avete la possibilit\u00e0 di utilizzare il sistema operativo con cui vi avete familiarit\u00e0. Ma, per mia osservazione, di solito questo \u00e8 consentito solo ai manager, agli amministratori e ai programmatori. <\/p>\n<blockquote><p><b>Esempio<\/b><\/p>\n<p>Certo, si pu\u00f2 seguire il percorso dei divieti, vietare l'accesso remoto, vietare la connessione da dispositivi mobili, limitare tutto a connessioni Ethernet statiche, limitare l'accesso a Internet e ritirare obbligatoriamente i telefoni cellulari e i gadget all'ingresso\u2026 e in effetti, alcune organizzazioni con requisiti di sicurezza elevati stanno seguendo questa strada e, forse, in alcuni casi, pu\u00f2 essere giustificato, ma\u2026 ammetti che questo sembra un tentativo di fermare il progresso in un'organizzazione. Naturalmente, sarebbe desiderabile combinare le opportunit\u00e0 offerte dalle tecnologie moderne con un livello sufficiente di sicurezza.<\/p><\/blockquote>\n<p><\/p>\n<h3>\u00abVelocit\u00e0\u00bb della rete<\/h3>\n<p>\nLa velocit\u00e0 di trasmissione dei dati tecnicamente dipende da molti fattori. E la velocit\u00e0 della tua porta di connessione di solito non \u00e8 il pi\u00f9 importante di questi. Non sempre il malfunzionamento lento di un'applicazione \u00e8 legato a problemi di rete, ma ora ci interessa solo la parte di rete. Il problema pi\u00f9 comune di \"lentezza\" nella rete locale \u00e8 associato alla perdita di pacchetti. Questo di solito accade in presenza di un effetto di \"bottleneck\" o a causa di problemi L1 (OSI). Pi\u00f9 raramente, in alcuni design (ad esempio, quando in subnet ci si collega tramite un firewall, intrappolando cos\u00ec tutto il traffico attraverso di esso), potrebbe mancare la potenza di elaborazione dell'hardware. <\/p>\n<p>Pertanto, nella scelta dell'attrezzatura e dell'architettura, \u00e8 necessario correlare le velocit\u00e0 delle porte terminali, dei trunk e delle prestazioni dell'attrezzatura.<\/p>\n<blockquote><p><b>Esempio<\/b><\/p>\n<p>Supponiamo che tu stia utilizzando switch a livello di accesso con porte da 1 gigabit. Tra di loro sono collegati tramite Etherchannel 2 x 10 gigabit. Come gateway predefinito utilizzi un firewall con porte da gigabit, per collegarlo alla rete L2 dell'ufficio utilizzi 2 porte gigabit, unite in Etherchannel. <\/p>\n<p>Questa architettura \u00e8 abbastanza conveniente dal punto di vista funzionale, poich\u00e9 tutto il traffico passa attraverso il firewall, e puoi gestire comodamente le politiche di accesso e applicare complessi algoritmi di controllo del traffico e prevenzione di attacchi (vedi oltre), ma dal punto di vista della larghezza di banda e delle prestazioni, questo design ha sicuramente problemi potenziali. Ad esempio, 2 host che scaricano dati (alla velocit\u00e0 della porta di 1 gigabit) possono saturare completamente la connessione da 2 gigabit al firewall, portando cos\u00ec a una degradazione del servizio per tutto il segmento dell'ufficio.<\/p><\/blockquote>\n<p>\nAbbiamo esaminato un vertice del triangolo, ora vediamo quali mezzi possiamo utilizzare per garantire la sicurezza.<\/p>\n<h2>Mezzi di protezione<\/h2>\n<p>\nQuindi, ovviamente, il nostro desiderio (o, pi\u00f9 precisamente, il desiderio della nostra direzione) \u00e8 raggiungere l'impossibile, ossia fornire il massimo comfort con la massima protezione e al minimo prezzo.<\/p>\n<p>Esaminiamo quali metodi abbiamo a disposizione per fornire protezione.<\/p>\n<p>Per l'ufficio, evidenzierei i seguenti:<\/p>\n<ul>\n<li>approccio zero trust nel design<\/li>\n<li>alto livello di protezione <\/li>\n<li>visibilit\u00e0 della rete<\/li>\n<li>sistema centrale di autenticazione e autorizzazione<\/li>\n<li>verifica dell'host (host checking) <\/li>\n<\/ul>\n<p>\nSuccessivamente, ci soffermeremo in modo pi\u00f9 dettagliato su ciascuno di questi aspetti.<\/p>\n<h3>Zero Trust<\/h3>\n<p>\nIl mondo IT sta cambiando molto rapidamente. Negli ultimi 10 anni, l'emergere di nuove tecnologie e prodotti ha portato a una seria revisione dei concetti di sicurezza. Dieci anni fa, dal punto di vista della sicurezza, segmentavamo la rete in zone di fiducia, DMZ e di non fiducia, e si applicava la cosiddetta \u00abprotezione perimetrale\u00bb, con 2 linee di difesa: non fiducia -&gt; DMZ e DMZ -&gt; fiducia. Inoltre, la protezione era solitamente limitata a liste di accesso basate su intestazioni L3\/L4 (OSI) (IP, porte TCP\/UDP, flag TCP). Tutto ci\u00f2 che riguardava livelli pi\u00f9 alti, inclusa la L7, era lasciato agli OS e ai prodotti di sicurezza installati sui terminali.<\/p>\n<p>Ora la situazione \u00e8 radicalmente cambiata. Il concetto moderno di <noindex><a rel=\"nofollow\" href=\"https:\/\/doubleoctopus.com\/security-wiki\/network-architecture\/zero-trust\/\">zero trust<\/a><\/noindex> parte dal presupposto che non sia pi\u00f9 possibile considerare i sistemi interni, cio\u00e8 quelli all'interno del perimetro, come fidati, e il concetto stesso di perimetro \u00e8 diventato sfocato.<br \/>\nOltre alla connessione a Internet, abbiamo anche<\/p>\n<ul>\n<li>accesso remoto VPN per gli utenti<\/li>\n<li>vari gadget personali, laptop portati da casa, connessi tramite WiFi aziendale<\/li>\n<li>altri uffici (branch)<\/li>\n<li>integrazioni con l'infrastruttura cloud <\/li>\n<\/ul>\n<p>\nCome si presenta l'approccio Zero Trust nella pratica?<\/p>\n<p>In un mondo ideale, dovrebbe essere consentito solo il traffico necessario e, se parliamo di un ideale, il controllo dovrebbe avvenire non solo a livello L3\/L4, ma anche a livello applicativo. <\/p>\n<p>Se, ad esempio, hai la possibilit\u00e0 di far passare tutto il traffico attraverso un firewall, puoi cercare di avvicinarti all'ideale. Ma questo approccio pu\u00f2 ridurre significativamente la larghezza di banda totale della tua rete e, inoltre, la filtrazione a livello applicativo non funziona sempre bene.<\/p>\n<p>Con il controllo del traffico su un router o uno switch L3 (utilizzando ACL standard) ci si imbatte in altri problemi:<\/p>\n<ul>\n<li>si tratta solo di filtrazione L3\/L4. Nulla impedisce a un malintenzionato di utilizzare porte autorizzate (ad esempio, TCP 80) per la propria applicazione (non http)<\/li>\n<li>gestione complessa delle ACL (difficile analizzare le ACL)<\/li>\n<li>non \u00e8 un firewall stateful, quindi devi consentire esplicitamente il traffico di ritorno<\/li>\n<li>nel caso degli switch sei generalmente limitato dalla dimensione della TCAM, il che, applicando l'approccio \u00abconsenti solo ci\u00f2 che \u00e8 necessario\u00bb, pu\u00f2 rapidamente diventare un problema<\/li>\n<\/ul>\n<p><\/p>\n<blockquote><p><b>Nota<\/b><\/p>\n<p>Parlando di traffico di ritorno, dobbiamo ricordare che abbiamo la seguente possibilit\u00e0 (Cisco) <\/p>\n<p>permit tcp any any established<\/p>\n<p>Ma bisogna comprendere che questa riga \u00e8 equivalente a due righe:<br \/>\npermetti tcp any any ack<br \/>\npermetti tcp any any rst<\/p>\n<p>Questo significa che anche se non c'era un segmento TCP iniziale con il flag SYN (cio\u00e8 la sessione TCP non \u00e8 nemmeno iniziata), questo ACL permetter\u00e0 il pacchetto con il flag ACK, che un attaccante pu\u00f2 sfruttare per inviare dati.<\/p>\n<p>Quindi, questa riga in nessun modo trasforma il tuo router o lo switch L3 in un firewall stateful.<\/p><\/blockquote>\n<p><\/p>\n<h3>Alto livello di protezione<\/h3>\n<p>\nIn <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">abbiamo chiarito il corretto completamento dei programmi che utilizzano il mediastreamer.<\/a><\/noindex> Nella sezione dedicata ai data center, abbiamo esaminato i seguenti metodi di protezione.<\/p>\n<ul>\n<li>firewalling stateful (per impostazione predefinita)<\/li>\n<li>protezione ddos\/dos<\/li>\n<li>firewalling delle applicazioni<\/li>\n<li>prevenzione delle minacce (antivirus, anti-spyware e vulnerabilit\u00e0)<\/li>\n<li>filtraggio URL<\/li>\n<li>filtraggio dati (filtraggio dei contenuti)<\/li>\n<li>blocco file (blocco dei tipi di file)<\/li>\n<\/ul>\n<p>\nNel caso degli uffici, la situazione \u00e8 simile, ma le priorit\u00e0 sono leggermente diverse. La disponibilit\u00e0 dell'ufficio (availabilty) di solito non \u00e8 cos\u00ec critica come nel caso del data center, mentre la probabilit\u00e0 di traffico dannoso \"interno\" \u00e8 di gran lunga superiore. <br \/>\nPertanto, i seguenti metodi di protezione per questo segmento diventano critici:<\/p>\n<ul>\n<li>firewalling delle applicazioni<\/li>\n<li>prevenzione dalle minacce (antivirus, antispyware e vulnerabilit\u00e0)<\/li>\n<li>filtraggio URL<\/li>\n<li>filtraggio dati (filtraggio dei contenuti)<\/li>\n<li>blocco file (blocco dei tipi di file)<\/li>\n<\/ul>\n<p>\nSebbene tutti questi metodi di protezione, ad eccezione del firewalling per applicazioni, siano stati tradizionalmente affrontati e continuino a essere risolti sugli host finali (ad esempio, installando software antivirus) e utilizzando proxy, le moderne NGFW offrono anche questi servizi. <\/p>\n<p>I fornitori di apparecchiature di sicurezza mirano a creare una protezione complessiva, quindi, accanto alla protezione sulla scatola locale, vengono offerte varie tecnologie cloud e software client per gli host (protezione degli endpoint\/EPP). Ad esempio, dal <noindex><a rel=\"nofollow\" href=\"https:\/\/www.fairline.com.tw\/data\/editor\/files\/01%20%20Gartner%20-%20Magic%20Quad%20-%20Endpoint%20Protection%20Platforms%201-2018.pdf\">Quadrante Magico di Gartner (Gartner Magic Quadrant) del 2018<\/a><\/noindex> vediamo che Palo Alto e Cisco hanno i loro EPP (PA: Traps, Cisco: AMP), ma non si trovano certo fra i leader.<\/p>\n<p>L'attivazione di queste protezioni (di solito attraverso l'acquisto di licenze) sul firewall non \u00e8 obbligatoria (puoi seguire il percorso tradizionale), ma offre alcuni vantaggi:<\/p>\n<ul>\n<li>in questo caso emerge un unico punto di applicazione dei metodi di protezione, il che migliora la visibilit\u00e0 (vedi il prossimo argomento). <\/li>\n<li>se nella tua rete c'\u00e8 un dispositivo non protetto, esso rientra comunque sotto \"l'ombrello\" di protezione del firewall<\/li>\n<li> utilizzando le protezioni sul firewall insieme a quella sugli host finali, aumentiamo la probabilit\u00e0 di rilevare traffico dannoso. Ad esempio, l'uso della prevenzione delle minacce sugli host locali e sul firewall aumenta la probabilit\u00e0 di rilevamento (a condizione che, ovviamente, le soluzioni sottostanti utilizzino prodotti software diversi)<\/li>\n<\/ul>\n<blockquote><p><b>Nota<\/b><\/p>\n<p>Se, ad esempio, utilizzi Kaspersky come antivirus sia sul firewall che sugli host finali, \u00e8 chiaro che ci\u00f2 non aumenter\u00e0 significativamente le tue possibilit\u00e0 di prevenire un attacco virale nella tua rete.<\/p><\/blockquote>\n<p><\/p>\n<h3>Visibilit\u00e0 della rete<\/h3>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/blog.gigamon.com\/2017\/11\/01\/what-is-network-visibility\/\">L'idea principale<\/a><\/noindex> \u00e8 semplicemente \"vedere\" cosa sta accadendo nella tua rete, sia in tempo reale che nei dati storici. <\/p>\n<p>Suddividerei questa \"visione\" in due gruppi:<\/p>\n<p><b>Primo gruppo:<\/b> ci\u00f2 che di solito ti fornisce il tuo sistema di monitoraggio.<\/p>\n<ul>\n<li>carico delle apparecchiature<\/li>\n<li>carico delle linee<\/li>\n<li>utilizzo della memoria<\/li>\n<li>utilizzo dei dischi<\/li>\n<li>cambiamento della tabella di instradamento <\/li>\n<li>stato dei collegamenti<\/li>\n<li>disponibilit\u00e0 delle apparecchiature (o degli host)<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<p><b>Secondo gruppo: <\/b>informazioni relative alla sicurezza.<\/p>\n<ul>\n<li>varie statistiche (ad esempio, riguardanti le applicazioni, il traffico URL, quali tipi di dati sono stati scaricati, dati sugli utenti)<\/li>\n<li>cosa \u00e8 stato bloccato dalle politiche di sicurezza e per quale motivo, ovvero\n<ul>\n<li>applicazione bloccata<\/li>\n<li>bloccato in base a ip\/protocollo\/porta\/flags\/zone<\/li>\n<li>prevenzione delle minacce<\/li>\n<li>filtraggio degli URL<\/li>\n<li>filtraggio dei dati<\/li>\n<li>blocco dei file<\/li>\n<li>&#8230;<\/li>\n<\/ul>\n<\/li>\n<li>statistiche sugli attacchi DOS\/DDOS<\/li>\n<li>tentativi di identificazione e autorizzazione non riusciti<\/li>\n<li>statistiche per tutti i suddetti eventi di violazione delle politiche di sicurezza<\/li>\n<li>&#8230;<\/li>\n<\/ul>\n<p>\nIn questo capitolo, dedicato alla sicurezza, ci interessa proprio la seconda parte.<\/p>\n<p>Alcuni firewall moderni (nella mia esperienza, Palo Alto) offrono un buon livello di visibilit\u00e0. Tuttavia, ovviamente, il traffico che ti interessa deve passare attraverso questo firewall (in questo caso, hai la possibilit\u00e0 di bloccare il traffico) o essere riflesso sul firewall (usato solo per monitoraggio e analisi), e devono essere presenti licenze che consentano di attivare tutti questi servizi.<\/p>\n<p>Ci sono, ovviamente, anche percorsi alternativi, pi\u00f9 precisamente un percorso tradizionale, ad esempio,<\/p>\n<ul>\n<li>la statistica delle sessioni pu\u00f2 essere raccolta tramite netflow e poi utilizzare strumenti speciali per analizzare le informazioni e visualizzare i dati<\/li>\n<li>prevenzione delle minacce \u2013 programmi speciali (antivirus, antispyware, firewall) sugli host finali<\/li>\n<li>filtraggio degli URL, filtraggio dei dati, blocco dei file \u2013 su proxy<\/li>\n<li>puoi anche analizzare tcpdump utilizzando, ad esempio, <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/cisco\/blog\/268207\/\">snort<\/a><\/noindex><\/li>\n<\/ul>\n<p>\nPuoi combinare questi due approcci, completando le funzioni mancanti o duplicandole per aumentare la probabilit\u00e0 di rilevamento di un attacco.<\/p>\n<p>Quale approccio scegliere?<br \/>\nDipende molto dalle competenze e dalle preferenze del tuo team.<br \/>\nCi sono vantaggi e svantaggi in entrambi i casi.<\/p>\n<h3>Sistema centrale di autenticazione e autorizzazione unificata<br \/>\n<\/h3>\n<p>\nCon un buon design, la mobilit\u00e0 di cui abbiamo parlato in questo articolo implica che tu abbia gli stessi accessi, lavorando dall'ufficio o da casa, dall'aeroporto, da un caff\u00e8 o da qualsiasi altro luogo (con le limitazioni di cui abbiamo discusso sopra). Qual \u00e8 quindi il problema? <br \/>\nPer comprendere meglio la complessit\u00e0 di questa attivit\u00e0, consideriamo un design tipico.<\/p>\n<blockquote><p><b>Esempio<\/b><\/p>\n<ul>\n<li>Hai suddiviso tutti i dipendenti in gruppi. Hai deciso di fornire accessi per gruppi.<\/li>\n<li>All'interno dell'ufficio controlli gli accessi sul firewall dell'ufficio.<\/li>\n<li>Controlli il traffico dall'ufficio verso il data center sul firewall del data center.<\/li>\n<li>Come gateway VPN utilizzi Cisco ASA e per controllare il traffico in entrata nella tua rete dai clienti dedicati, applichi ACL locali (sull'ASA).<\/li>\n<\/ul>\n<p>\nOra, supponiamo che ti venga chiesto di aggiungere un accesso aggiuntivo a un certo dipendente. Ti viene chiesto di aggiungere l'accesso solo a lui e a nessun altro del suo gruppo.<\/p>\n<p>Per fare ci\u00f2, dobbiamo creare un gruppo separato per questo dipendente, ovvero<\/p>\n<ul>\n<li>creare un pool IP separato per questo dipendente sull'ASA.<\/li>\n<li>aggiungere una nuova ACL sull'ASA e collegarla a questo cliente remoto.<\/li>\n<li>creare nuove policy di sicurezza sui firewall dell'ufficio e del data center.<\/li>\n<\/ul>\n<p>\nVa bene se questo evento \u00e8 raro. Ma nella mia esperienza c'\u00e8 stata una situazione in cui i dipendenti partecipavano a progetti diversi, e questo insieme di progetti cambiava piuttosto frequentemente per alcuni di loro, e non erano solo 1-2 persone, ma decine. Certamente, qui c'era bisogno di apportare delle modifiche.<\/p>\n<p>\u00c8 stato risolto nel seguente modo.<\/p>\n<p>Abbiamo deciso che l'unica fonte di verit\u00e0 che determina tutti i possibili accessi dei dipendenti sarebbe stata LDAP. Abbiamo creato vari gruppi che definiscono set di accessi e ogni utente veniva assegnato a uno o pi\u00f9 gruppi. <\/p>\n<p>Quindi, ad esempio, supponiamo che ci fossero gruppi <\/p>\n<ul>\n<li>guest (accesso a Internet)<\/li>\n<li>common access (accessi a risorse comuni: email, knowledge base, \u2026)<\/li>\n<li>accounting<\/li>\n<li>project 1<\/li>\n<li>project 2<\/li>\n<li>data base administrator<\/li>\n<li>linux administrator<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<p>\nE se qualcuno dei dipendenti fosse stato coinvolto, sia nel progetto 1 che nel progetto 2, e avesse bisogno degli accessi necessari per lavorare a questi progetti, allora quel dipendente veniva collegato rispettivamente ai gruppi:<\/p>\n<ul>\n<li>guest <\/li>\n<li>common access<\/li>\n<li>project 1<\/li>\n<li>project 2<\/li>\n<\/ul>\n<p>\nCome possiamo ora trasformare queste informazioni in accessi sui dispositivi di rete? <\/p>\n<p>La Politica di Accesso Dinamico (DAP) Cisco ASA (vedi <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/support\/docs\/security\/asa-5500-x-series-next-generation-firewalls\/108000-dap-deploy-guide.html\">www.cisco.com\/c\/en\/us\/support\/docs\/security\/asa-5500-x-series-next-generation-firewalls\/108000-dap-deploy-guide.html<\/a><\/noindex>) \u00e8 proprio la soluzione adatta per questo compito.<\/p>\n<p>Per riassumere la nostra implementazione, durante il processo di identificazione\/autenticazione, l'ASA riceve da LDAP un insieme di gruppi corrispondenti a quell'utente e \"costruisce\" un ACL dinamico da pi\u00f9 ACL locali (ognuno dei quali corrisponde a un gruppo) con tutti i permessi necessari, il che soddisfa completamente le nostre esigenze.<\/p>\n<p>Ma questo vale solo per le connessioni VPN. Per rendere la situazione identica sia per i dipendenti connessi tramite VPN che per quelli presenti in ufficio, \u00e8 stato fatto il passo successivo. <\/p>\n<p>Quando ci si connette dall'ufficio, gli utenti tramite il protocollo 802.1x vengono collocati nel VLAN ospiti (per gli ospiti), o in un VLAN con accessi condivisi (per i dipendenti). Inoltre, per ottenere accessi specifici (ad esempio, ai progetti nel data center), i dipendenti devono connettersi tramite VPN.<\/p>\n<p>Per la connessione dall'ufficio e da casa sono stati utilizzati gruppi di tunnel diversi su ASA. Questo \u00e8 necessario affinch\u00e9 il traffico verso le risorse condivise (utilizzate da tutti i dipendenti, come la posta, i server di file, il sistema di ticketing, DNS, \u2026) proveniente dagli utenti in ufficio non passi attraverso ASA, ma attraverso la rete locale. In questo modo, non abbiamo sovraccaricato ASA con traffico inutile, compreso quello ad alta intensit\u00e0.<\/p>\n<p>Pertanto, il problema \u00e8 stato risolto. <br \/>\nAbbiamo ottenuto <\/p>\n<ul>\n<li>un insieme di accessi identico, sia per le connessioni dall'ufficio che per le connessioni remote<\/li>\n<li>assenza di degrado del servizio durante il lavoro dall'ufficio, legato al traffico ad alta intensit\u00e0 tramite l'ASA<\/li>\n<\/ul>\n<p>\nQual \u00e8 un ulteriore vantaggio di questo approccio?<br \/>\nNell'amministrazione degli accessi. Gli accessi possono essere facilmente modificati in un unico posto.<br \/>\nAd esempio, se un dipendente lascia l'azienda, basta rimuoverlo da LDAP e perder\u00e0 automaticamente tutti gli accessi.\n<\/p><\/blockquote>\n<p><\/p>\n<h3>Controllo dell'host (host checking)<\/h3>\n<p>\nCon la possibilit\u00e0 di connessione remota, abbiamo il rischio di consentire l'accesso alla rete non solo a un dipendente dell'azienda, ma anche a tutto il software dannoso che con alta probabilit\u00e0 \u00e8 presente sul suo computer (ad esempio, quello domestico), e soprattutto, tramite questo software, potremmo fornire l'accesso alla nostra rete a un malintenzionato che sta utilizzando questo host come proxy.<\/p>\n<p>\u00c8 ragionevole per l'host collegato da remoto applicare gli stessi requisiti di sicurezza che si applicano a un host situato in ufficio.<\/p>\n<p>Questo include anche l'uso della \u00abversione corretta\u00bb del sistema operativo, antivirus, antispyware e software firewall e aggiornamenti. Di solito, questa funzionalit\u00e0 esiste sul gateway VPN (per ASA vedi, ad esempio, <noindex><a rel=\"nofollow\" href=\"https:\/\/community.cisco.com\/t5\/security-documents\/how-to-configure-anyconnect-host-scan\/ta-p\/3118732\">qui<\/a><\/noindex>).<\/p>\n<p>\u00c8 anche saggio applicare gli stessi metodi di analisi e blocco del traffico (vedi \u00abAlto livello di protezione\u00bb), che secondo la tua politica di sicurezza si applicano al traffico d'ufficio. <\/p>\n<p>\u00c8 ragionevole partire dall'ipotesi che ora la tua rete d'ufficio non sia limitata all'edificio dell'ufficio e agli host presenti in esso.<\/p>\n<blockquote><p><b>Esempio<\/b><\/p>\n<p>Un buon approccio \u00e8 fornire a ciascun dipendente che necessita di accesso remoto un laptop adeguato e richiedere di lavorare, sia in ufficio che da casa, solo su quello.<\/p>\n<p>Questo non solo aumenta il livello di sicurezza della tua rete, ma \u00e8 anche davvero comodo e di solito \u00e8 visto positivamente dai dipendenti (se si tratta davvero di un laptop buono e comodo).<\/p><\/blockquote>\n<p><\/p>\n<h2>Senso delle misure e equilibrio<\/h2>\n<p>\nIn linea di principio, si tratta della terza cima del nostro triangolo: il costo.<br \/>\nConsideriamo un esempio ipotetico.<\/p>\n<blockquote><p><b>Esempio<\/b><\/p>\n<p>Hai un ufficio con 200 persone. Hai deciso di renderlo il pi\u00f9 comodo e sicuro possibile.<\/p>\n<p>Pertanto, hai deciso di far passare tutto il traffico attraverso il firewall e in questo modo per tutte le sotto-reti dell'ufficio il firewall \u00e8 il gateway predefinito. Oltre al software di sicurezza installato su ciascun host finale (antivirus, antispyware e software firewall), hai anche deciso di applicare tutti i possibili metodi di protezione sul firewall.<\/p>\n<p>Per garantire un'alta velocit\u00e0 di connessione (tutto per comodit\u00e0) come switch di accesso hai scelto switch con porte di accesso da 10 gigabit, come firewall hai scelto firewall NGFW ad alte prestazioni, ad esempio, Palo Alto serie 7K (con porte da 40 gigabit), ovviamente con tutte le licenze attive e, naturalmente, una coppia di alta disponibilit\u00e0.<\/p>\n<p>Inoltre, naturalmente, per lavorare con questa gamma di attrezzature abbiamo bisogno di almeno un paio di ingegneri della sicurezza altamente qualificati.<\/p>\n<p>In seguito, hai deciso di fornire a ciascun dipendente un buon laptop.<\/p>\n<p>In totale, circa 10 milioni di dollari per l'implementazione, centinaia di migliaia di dollari (penso pi\u00f9 vicino a un milione) per il supporto annuale e stipendi per gli ingegneri.<\/p>\n<p>Ufficio, 200 persone...<br \/>\nComodo? Probabilmente s\u00ec. <\/p>\n<p>Presentate questa proposta al vostro management...<br \/>\nForse, nel mondo esistono alcune aziende per le quali questa \u00e8 una soluzione accettabile e corretta. Se sei un dipendente di questa azienda, congratulazioni, ma nella stragrande maggioranza dei casi sono certo che le tue conoscenze non saranno valorizzate dal management.<\/p><\/blockquote>\n<p>\n\u00c8 un esempio esagerato? Il prossimo capitolo risponder\u00e0 a questa domanda.<\/p>\n<p>Se nella tua rete non vedi nulla di quanto sopra, allora \u00e8 normale.<br \/>\nPer ogni caso specifico devi trovare un compromesso ragionevole tra comodit\u00e0, costo e sicurezza. Spesso non \u00e8 nemmeno necessario avere un NGFW nel tuo ufficio, n\u00e9 \u00e8 necessaria la protezione L7 sul firewall. \u00c8 sufficiente garantire un buon livello di visibilit\u00e0 e avvisi, e questo pu\u00f2 essere fatto utilizzando prodotti open source, ad esempio. S\u00ec, la tua reazione a un attacco non sar\u00e0 immediata, ma la cosa importante \u00e8 che lo vedrai, e con i giusti processi nel tuo dipartimento riuscirai a neutralizzarlo rapidamente.<\/p>\n<p>E, ricordo che secondo l'idea della serie di questi articoli, non stai progettando una rete, ma stai semplicemente cercando di migliorare ci\u00f2 che ti \u00e8 stato dato.<\/p>\n<h2>Analisi dell'architettura SAFE dell'ufficio<\/h2>\n<p>\nFai attenzione a questo quadrato rosso, con cui ho evidenziato un'area nello schema di <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/dam\/en\/us\/solutions\/collateral\/enterprise\/design-zone-security\/safe-architecture-guide-secure-campus.pdf\">Guidelines for SAFE Secure Campus Architecture<\/a><\/noindex>, che vorrei discutere qui.<\/p>\n<p><img decoding=\"async\" alt=\"Come tenere sotto controllo l&#039;infrastruttura di rete. Capitolo terzo. Sicurezza di rete. Parte terza\" src=\"\/wp-content\/uploads\/2019\/04\/617b6561b6ebb17d4f015251abcadf9b.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n\u00c8 uno dei punti chiave dell'architettura e una delle pi\u00f9 importanti incertezze.<\/p>\n<blockquote><p><b>Nota<\/b><\/p>\n<p>Non ho mai configurato e non ho mai lavorato con FirePower (della linea di firewall Cisco \u2014 solo con ASA), quindi lo considerer\u00f2 come qualsiasi altro firewall, ad esempio Juniper SRX o Palo Alto, supponendo che abbia le stesse funzionalit\u00e0.<\/p><\/blockquote>\n<p>\nDai normali schemi vedo solo 4 possibili varianti di utilizzo del firewall con questo tipo di connessione:<\/p>\n<ul>\n<li>il gateway predefinito per ogni sottorete \u00e8 uno switch, con il firewall in modalit\u00e0 trasparente (ossia tutto il traffico passa attraverso di esso, ma non crea un hop L3)<\/li>\n<li>il gateway predefinito per ogni sottorete sono i sub-interfaccia del firewall (o interfacce SVI), mentre lo switch gioca il ruolo di L2<\/li>\n<li>sullo switch vengono utilizzati diversi VRF, e il traffico tra i VRF passa attraverso il firewall, il traffico all'interno di un VRF \u00e8 controllato da ACL sullo switch<\/li>\n<li>tutto il traffico \u00e8 mirrorato al firewall per analisi e monitoraggio, ma non vi passa attraverso<\/li>\n<\/ul>\n<p><\/p>\n<blockquote><p><b>Nota 1<\/b><\/p>\n<p>Possono esserci combinazioni di queste opzioni, ma per semplicit\u00e0 non le prenderemo in considerazione.<\/p><\/blockquote>\n<blockquote><p><b>Nota2<\/b><\/p>\n<p>C'\u00e8 anche la possibilit\u00e0 di utilizzare PBR (architettura service chain), ma per ora, sebbene sia una soluzione che considero elegante, \u00e8 piuttosto esotica, quindi non la prender\u00f2 in considerazione qui.<\/p><\/blockquote>\n<p>\nDalla descrizione dei flussi nel documento vediamo che il traffico passa attraverso il firewall, quindi, secondo il design Cisco, la quarta opzione cade.<\/p>\n<p>Iniziamo a esaminare prima le prime due opzioni.<br \/>\nCon queste opzioni, tutto il traffico passa attraverso il firewall.<\/p>\n<p>Adesso guardiamo <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/collateral\/security\/firepower-ngfw\/data_sheet-c78-736661.html\">data sheet<\/a><\/noindex>, guardiamo <noindex><a rel=\"nofollow\" href=\"https:\/\/itprice.com\">Cisco GPL<\/a><\/noindex> e vediamo che se vogliamo avere una larghezza di banda totale per il nostro ufficio di almeno 10 \u2014 20 gigabit, dobbiamo acquistare la versione 4K.<\/p>\n<blockquote><p><b>Nota<\/b><\/p>\n<p>Quando parlo di larghezza di banda totale, mi riferisco al traffico tra le sottoreti (e non all'interno dello stesso VLAN).<\/p><\/blockquote>\n<p>\nDal GPL vediamo che per HA Bundle con Threat Defense il prezzo varia a seconda del modello (4110 \u2014 4150) da ~0,5 a 2,5 milioni di dollari.<\/p>\n<p>Quindi il nostro design inizia a somigliare all'esempio precedente.<\/p>\n<p>Significa che questo design \u00e8 errato?<br \/>\nNo, non significa. Cisco ti offre la massima protezione possibile in base alla gamma di prodotti che ha. Ma non significa che sia un \"must-do\" per te. <\/p>\n<p>In linea di principio, \u00e8 una domanda comune che sorge durante la progettazione di un ufficio o di un data center, e significa solo che \u00e8 necessario cercare un compromesso. <\/p>\n<p>Ad esempio, non far passare tutto il traffico attraverso il firewall, e in questo caso la terza opzione mi sembra piuttosto gradevole, oppure (vedi sezione precedente), potresti non aver bisogno di \"Threat Defense\" o anche di un firewall in questo segmento di rete, e puoi limitarti a un monitoraggio passivo utilizzando soluzioni a pagamento (non costose) o open source, oppure pu\u00f2 servirti un firewall ma di un altro fornitore.<\/p>\n<p>Di solito c'\u00e8 sempre questa incertezza e nessuna risposta definitiva su quale soluzione sia la migliore per te.<br \/>\nQuesta \u00e8 la complessit\u00e0 e la bellezza di questo compito.<br \/>\n<br \/>Fonte: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447610\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb. \u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u0441\u0442\u0430\u0442\u0435\u0439 \u0446\u0438\u043a\u043b\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0437\u0434\u0435\u0441\u044c. \u042d\u0442\u0430 \u0447\u0430\u0441\u0442\u044c \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u0430 Campus (Office) &amp; Remote access VPN \u0441\u0435\u0433\u043c\u0435\u043d\u0442\u0430\u043c. \u041c\u043e\u0436\u0435\u0442 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u044c\u0441\u044f, \u0447\u0442\u043e \u0434\u0438\u0437\u0430\u0439\u043d \u043e\u0444\u0438\u0441\u043d\u043e\u0439 \u0441\u0435\u0442\u0438 \u2013 \u044d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e. \u0414\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0431\u0435\u0440\u0435\u043c L2\/L3 \u043a\u043e\u043c\u043c\u0443\u0442\u0430\u0442\u043e\u0440\u044b, \u0441\u043e\u0435\u0434\u0438\u043d\u044f\u0435\u043c \u0438\u0445 \u043c\u0435\u0436\u0434\u0443 \u0441\u043e\u0431\u043e\u0439. \u0414\u0430\u043b\u0435\u0435, \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u043c \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u0430\u0440\u043d\u0443\u044e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0443 [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23359,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-31395","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.1.1 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\" \/>\n\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.1.1\" \/>\n\t\t<meta property=\"og:locale\" content=\"it_IT\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0442\u0440\u0435\u0442\u044c\u044f | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T18:41:01+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T18:41:01+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Come controllare la tua infrastruttura di rete. Capitolo terzo. Sicurezza della rete. Parte terza | ProHoster","description":"Questo articolo \u00e8 il quinto di un ciclo di articoli \"Come controllare la tua infrastruttura di rete\".","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0442\u0440\u0435\u0442\u044c\u044f | ProHoster","og:description":"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:41:01+00:00","article:modified_time":"2019-10-31T18:41:01+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"31395","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 05:58:22","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:17:26","updated":"2026-01-21 05:58:22","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/31395","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=31395"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/31395\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/23359"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=31395"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=31395"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=31395"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}