Newsgroup: it.comp.reti.locali
Titolo: parametri di valutazione caratteristiche firewall

Buonasera a tutti,
sto cercando di capire quali dovrebbero essere i calcoli da effettuare
per valutare correttamente l'acquisto di un nuovo firewall hardware.
Attualmente abbiamo un firewall (clavister) che ci ha servito
egregiamente per una decina di anni, durante i quali  però,
ovviamente, la situazione della rete si è modificata (è aumentato il
numero dei clients e dei server). L'architettura è rimasta
sostanzialmente la stessa (nel numero delle vlan, che sono gestite dal
firewall).
Le valutazioni che vorrei fare sono soprattutto rispetto alle
prestazioni ed al throughput, ma non so se esistano delle "formule" da
applicare e non è facile orientarsi correttamente tra i vari modelli
presentati anche dalla stessa casa (escluso, ovviamente, il numero
delle schede dell'appliance, che  è l'unico dato certo).
Ringrazio chi voglia fornirmi opinioni o anche links di
approfondimento.

 per valutare correttamente l'acquisto di un nuovo firewall hardware.
Non credo ci siano regole attendibili; io in genere considero il 
throughput di connessione e il numero di VPN gestite.
Potresti usare un pacchetto software, spaziando dall'ottimo m0n0wall 
(FreeBSD, 
http://m0n0.ch
) a pfSense (FreeBSD, 
www.pfsense.com
) fino a 
RedWall (linux, 
www.redwall-firewall.com
), installato su un hardware 
sufficientemente potente (es. un piccolo server 1U, CPU celeron o 
Pentium 4, 256MB RAM, porte gigabit dove servono).
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Server, Security

 Pentium 4, 256MB RAM, porte gigabit dove servono).
Grazie mille per i riferimenti: me li studierò con attenzione. Sono
soluzioni che non conoscevo, in particolare FreeBSD di cui ho sentito
parlare, ma non ho mai provato. L'ultima, immagino, sia basata su
RedHat e quindi penso usi iptables (netfilter) su cui so qualcosa di
più.
In effetti stavo anche valutando la sostituzione con un "firewall
linux", ovvero "iptables based".
Se dovessi decidere per tale soluzione, penso che mi orienterei su un
sistema Debian (anche perché conosco un po' questa distribuzione).
Avevo indagato un po' nel settore e studiato un po' la soluzione
"zeroshell", ma non mi era sembrata adeguata.
Il firewall in uso presenta dei vantaggi che - al momento - non ho
trovato in altri prodotti, ne indico due tra i principali:
- è possibile trasferire i files di boot e di configurazione su floppy/
flash memory e ripristinare quindi il firewall (in caso di emergenza)
su un qualsiasi vecchio hw fornito del numero di schede appropriato
(ma esistono fw con s.o. linux che girano su cd, immagino anche su
flash)
- il core è basato su un s.o. "proprietario". Mi rendo conto che
potrebbe non sembrare un vantaggio, ma a mio avviso lo è, poiché
l'assenza informazioni sulla struttura del s.o. diminuisce le
possibilità di intrusioni e modifiche dello stesso.
Da quel che ho potuto vedere il clavister è basato su linux (o almeno
usa da console parte dei comandi), ma non è una distribuzione "open".
- il supporto è ottimo: vengono frequentemente forniti aggiornamenti
del software e garantita la sostituzione dello stesso entro un giorno
(mi pare)
Chiunque voglia ancora fornirmi links/documentazione/consigli per
effettuare una valutazione delle prestazioni è il benvenuto...

 possibilità di intrusioni e modifiche dello stesso.
per quanto riguarda il primo punto, 
http://m0n0.ch/wall
 presenta la
stessa possibilità dato che permette di salvare l'intera config su un
supporto esterno (es. floppy), inoltre m0n0 gira tranquillamente da
una schedina flash; relativamente al secondo punto direi che più che
un vantaggio si tratta di uno svantaggio; la cosiddetta "security through
obscurity" (ossia il sentirsi sicuri perchè non sono note le caratteristiche
interne di un qualsiasi sistema/programma) è una benemerita fesseria
e si è dimostrata più volte totalmente insicura quindi.. non metterei una
tale caratteristica tra i "vantaggi" :)
Più che altro dovresti valutare cosa ti serve veramente al di là delle
caratteristiche "di base" di un normale firewall e del throughput; ad
esempio la necessità di effettuare "content filtering" o simili; in tal
caso hai due possibilità; la prima è quella di prendere un unico"box"
che implementi le features richieste, la seconda (che preferisco) è
quella di implementare un firewall "puro" (come ad es. m0n0wall)
ed usare un secondo "box" per il filtering aggiuntivo; la mia personale
preferenza, come ho scritto, va a questa seconda soluzione dato che,
se da un lato aggiunge un pochino di complessità all'architettura, 
dall'altro permette di evitare di concentrare "troppa roba" in un unico
box, cosa questa che oltre a rappresentare il classico "single point
of failure" potrebbe anche creare dei problemi di sicurezza
ciao

 del software e garantita la sostituzione dello stesso entro un giorno
Sulla sostituzione del firewall, se usi un sistema avviabile da 
chiavetta USB il problema e' pressoche' nullo; in genere puoi tenere 
una macchina minima, da sostituire all'occorrenza con il firewall 
principale.


Grazie mille: il vostro aiuto è stato veramente prezioso. Ora ho una
visione un po' più "ampia" sulle soluzioni percorribili: le
approfondirò

 effettuare una valutazione delle prestazioni è il benvenuto...
Se proprio vuoi una soluzione commerciale con tanto di supporto, ti
consiglio Astaro:
http://www.astaro.com/

 operativo intrinsecamente piu' sicuro esistente.
<OBSD jihadist>
Ciao, mi chiamo Theo e stasera pasteggerò col tuo cuore. :-D
</OBSD jihadist>

 operativo intrinsecamente piu' sicuro esistente.
Ah, interessante, visto che ad un road show ho stentito il loro uomo dire
(piu' o meno testualmente): "il nostro prodotto non e' basato su Linux, che
usano tutti, quindi e' insicuro, ma monta un sistema operativo che abbiamo
scritto noi apposta". :-)
 bye
P.S. Uso anch'io FreeBSD...

 scritto noi apposta". :-)
Non so se nelle ultime macchine ci sia qualche novita'; potrebbe anche 
essere un BSD compilato apposta, non so. Comunque, i miei F-50N, 
collegando la seriale, al boot escono con un banner inequivocabile :-)
Ciao
Luca

 
http://www.astaro.com/
Grazie, guarderò anche questo.
Sì, penso che una soluzione con supporto sia importante: la mia
opinione è che un'azienda, ufficio etc. debbano poter continuare la
propria attività indipendentemente dal "sapere" della singola persona.
Ciao

 installarlo su hd.
Mi sono sbagliata: è installabile anche su flash. Ho dato un'occhiata
ora, ma ci ritorno sopra: non mi ricordo più cosa mi aveva
"allontanata" [forse solo il problema del supporto]

per valutare correttamente l'acquisto di un nuovo firewall hardware.
1) budget
2) proprie competenze
3) quanta sicurezza è veramente necessaria nella tua azienda
4) dimensione della tua rete fra 5 anni
5) features
In ordine di importanza :)
Personalmente, credo che oggi come oggi la soluzione migliore per le
piccole/medie imprese italiane siano quelle appliance da circa
500-1000 euro (sonicwall, netscreen, fortigate, cisco asa) da piazzare
in un angolo delle quali ti puoi tranquillamente dimenticare per
parecchio tempo...

 grado di gestire il firewall
Io non credo che il problema sia la sintassi del firewall, ma che chi
deve gestire un firewall deve avere ben chiaro cosa sta facendo.
La sintassi e la logica di un firewall si imparano in due giorni, se si
è familiari con l'argomento.
Altrimenti ritengo che anche con GUI scintillanti ed ergonomiche il
rischio di fare danni sia troppo elevato.


Ecco, questa è un'altra informazione per me utilissima; sull'argomento
dovevo ancora iniziare le ricerche: li guarderò senz'altro. Sono
strumenti di event&log management applicabili eventualmente anche ad
un IDS? (tipo snort, ad esempio?)
Ancora grazie!
On 14 Lug, 11:02, sparkling wrote:
[cut]
[...]
Grazie anche a te per le tue opinioni, anche se il discorso sta
prendendo tutta un'altra piega rispetto a quella iniziale.
In effetti mi sento un po' "altalenante": dopo aver pensato a lungo
(favorevolmente) ad una soluzione linux, mi ero poi lasciata prendere
da una serie di timori...e ora ritorno nuovamente sui miei passi....[e
mi si aggiunge anche FreeBSD da approfondire].
Non penso proprio che riuscirò a prendere una decisione in brevissimo
tempo...ma credo che ne valga la pena, vista l'importanza di questa
componente della rete.


attenzione. i firewall netasq basano il loro firmware su un intrinseco
freebsd, oramai così alterato da non potersi nemmeno definire tale. la
positività di netasq sta proprio in questo: il controllo di livello 7,
l'intrusion prevention (ASQ) ed il controllo sulle anomalie
protocollari avviene proprio a livello di kernel. così facendo hanno
incrementato notevolmente le performance e assicurato una robustezza
ad alti livelli. praticamente di freebsd è rimasto solo il nome, non
solo una ricompilazione ma una profonda riscrittura di tutto. in
console si può trovare qualche comando tipico dei sistemi *nix
(tcpdump, ifconfig,..) e molti comandi creati appositamente da netasq.
poi la frase sui sistemi linux probabilmente voleva significare che
con tali sistemi condivide solamente una recondita radice e qualche
programma. perchè vista così è abbastanza fraintendibile (ma non del
tutto scorretta, avere un OS *nix non significa essere sicuri,
fondamentalmente la sicurezza di un sistema dipende dal 90% dagli
errori che commettiamo su di esso, dalla frequenza di aggiornamento e
dalla cura che abbiamo nell'esaminare i log (e solo nella restante
parte dall'OS adottato) IMHO.
claudio d.

 il sistema operativo intrinsecamente piu' sicuro esistente.
aHEm :) forse stai facendo confusione con OpenBSD; senza nulla
voler togliere a FreeBSD, quest'ultimo non č orientato in maniera
particolare alla sicurezza (come per OpenBSD) che poi NetASQ
utilizzi un kernel derivato da FreeBSD ed opportunamente rinforzato
o comunque personalizzato č cosa buona anche considerando che
lo stack di rete di BSD in generale č a mio modesto parere uno dei
migliori in circolazione e sicuramente il piů performante; ho visto
situazioni in cui un firewall linux si metteva "a sedere" e sostituendo
semplicemente l'OS con FreeBSD lo stesso firewall funzionava senza
fare una piega; non che voglia far partire un flame o una "guerra di
religione" ma l'efficienza di BSD č un fatto assodato :)

 fare una piega
Sarei curioso di conoscere il contesto e l'epoca dei fatti perchè,
francamente, a me è capitato di vedere abbattuti firewall proprietari
sotto determinati attacchi, mente, sotto gli stessi attacchi, linux
(kernel 2.6 ed opportuni tuning sysctl) si limava le unghie.

 un IDS? (tipo snort, ad esempio?)
Assolutamente sì; hanno anche un motore di correlazione di eventi.
Ciao.

whiplash ha scritto:
[...]
Grazie per tutte le informazioni.
---------------------------------------------
E' stato per me uno scambio di idee utilissimo, con persone
indubbiamente molto più esperte di me: non ha prezzo!
[per cui non presentatemi a parcella...:D]
Ciao

Scusate, un'ultima cosa... Poiché vorrei fare delle tabelle
comparative rispetto anche al costo delle diverse soluzioni
analizzate, sapete se c'è modo di avere su internet i prezzi dei
firewall netasq?