Che cos'è Firewall as a Service (FWaaS)?

Che cos'è Firewall as a Service (FWaaS)?

Firewall as a service (FWaaS) è un modello di sicurezza di rete erogato dal cloud che ispeziona il traffico, applica le policy e blocca gli attacchi da un'infrastruttura gestita dal provider, senza alcun appliance on-premises nel percorso. Le tue policy risiedono in un unico piano di controllo e punti di applicazione distribuiti le applicano ovunque si connettano utenti e workload.

Gli attaccanti non devono violare un perimetro attraverso cui possono semplicemente accedere. CISA e l'FBI citano intrusioni come Volt Typhoon, in cui gli attori hanno usato credenziali valide per confondersi nel traffico normale, nelle linee guida congiunte per l'accesso alla rete che sollecitano un allontanamento dall'accesso remoto esteso.

Se i tuoi utenti raggiungono le applicazioni SaaS senza passare dalla rete aziendale, i tuoi appliance non si trovano più nel percorso del traffico di cui sei responsabile.

Come Firewall as a Service si relaziona alla cybersecurity

FWaaS cambia dove avviene l'applicazione e chi la gestisce. L'ispezione si sposta dal perimetro di rete al margine del cloud, quindi un lavoratore remoto che apre un'applicazione SaaS riceve la stessa policy applicata anche se quella sessione non attraversa mai la rete aziendale. Anche la creazione delle policy si separa dalla loro applicazione: scrivi le regole una volta in una console centrale e il provider le distribuisce, eliminando la deriva di configurazione che allontana i firewall delle filiali dalla sede centrale.

La threat intelligence segue lo stesso percorso. Una firma o un indicatore distribuito dal provider raggiunge subito ogni punto di applicazione, senza finestre di aggiornamento per sito da pianificare e senza lasciare indietro alcun sito. Le implementazioni di firewall hardware lasciano una lacuna in tutti e tre i punti. Più traffico salta già la rete aziendale, più grande è quella lacuna.

Componenti principali di Firewall as a Service

Un servizio firewall è costruito a partire da un motore di ispezione, punti di applicazione distribuiti, un piano di policy centrale, un feed di threat intelligence e un livello di logging. La risoluzione dei problemi e il confronto tra fornitori diventano entrambi più rapidi una volta che sai a quale di questi appartiene un determinato problema.

1. Motore di ispezione cloud-native

Il motore di ispezione legge il traffico a livello applicativo e applica deep packet inspection, decrittografia TLS dei payload dei pacchetti e prevenzione delle intrusioni. NIST SP 800-215 elenca queste tre capacità per un firewall di nuova generazione e indica l'erogazione come servizio cloud, FWaaS, come una delle sue opzioni di implementazione. Poiché un motore firewall-as-a-service viene eseguito su risorse di calcolo cloud elastiche, la profondità di ispezione non è limitata dal silicio di un appliance acquistato tre anni fa.

2. Punti di applicazione distribuiti

I provider gestiscono punti di applicazione in diverse aree geografiche e ogni sessione viene instradata verso quello più vicino per l'ispezione prima di raggiungere la destinazione. Questa distribuzione geografica elimina l'hairpin per cui un utente a Singapore aspetta un appliance in Ohio per raggiungere un'applicazione ospitata a pochi chilometri dalla sua scrivania.

3. Gestione centralizzata delle policy

La policy risiede in un unico piano di controllo che distribuisce le regole a ogni punto di applicazione. Scrivere la policy e applicarla smettono di essere lo stesso compito. Un singolo aggiornamento si propaga in pochi minuti e nessun tecnico deve intervenire su decine di appliance per mantenere le configurazioni delle filiali allineate allo standard.

4. Integrazione della threat intelligence

Le piattaforme di firewall service acquisiscono feed da agenzie governative, gruppi di condivisione del settore e team di ricerca dei fornitori, quindi aggiornano automaticamente ogni punto di applicazione. Il tuo team smette di gestire le sottoscrizioni ai feed e di pianificare la distribuzione delle firme. Un nuovo indicatore si applica ovunque al primo passaggio.

5. Infrastruttura di logging e analytics

I log di ogni punto di applicazione vengono aggregati in uno storage centrale per indagini, reporting di conformità e correlazione con il resto della tua telemetria. Considera il periodo di conservazione dei log, il formato di esportazione e le prestazioni delle query come requisiti di approvvigionamento: determinano se i record FWaaS diventano prove di sicurezza di rete utilizzabili o una fattura di storage.

Una piattaforma costruita su uno schema aperto, come Singularity Data Lake di SentinelOne, mantiene questi record insieme alla telemetria di endpoint e identità. Una singola query copre quindi l'evento di rete e l'attività dell'endpoint correlata.

Come funziona Firewall as a Service

FWaaS intercetta il traffico a livello di rete, lo ispeziona al margine del cloud e applica la tua policy prima che la sessione raggiunga la destinazione. Ogni connessione passa attraverso intercettazione, valutazione dell'identità, corrispondenza della policy, ispezione e azione, in quest'ordine:

1. Intercettazione del traffico. Il dispositivo dell'utente raggiunge l'infrastruttura di applicazione tramite instradamento basato su agent, reindirizzamento basato su DNS o un tunnel IPsec da un sito. Nessun traffico aggira l'ispezione.
2. Valutazione dell'identità. Il punto di applicazione risolve l'utente, la postura del dispositivo, la posizione e l'applicazione richiesta prima che venga applicata qualsiasi policy.
3. Corrispondenza della policy. Il sistema verifica la sessione rispetto al tuo set centrale di policy: controlli delle applicazioni, categorie URL, requisiti di conformità e regole di prevenzione delle minacce, dalla corrispondenza più specifica a quella più generale.
4. Deep packet inspection. FWaaS decritta la sessione TLS, analizza il contenuto a livello applicativo e applica firme di prevenzione delle intrusioni per la visibilità Layer 7.
5. Azione e logging. FWaaS consente, blocca, reindirizza o isola la sessione in base al risultato dell'ispezione e scrive una voce di log con l'identità, l'applicazione, l'azione e la regola corrispondente.

La valutazione dell'identità, la corrispondenza della policy e l'ispezione si ripetono in ogni sessione. La capacità dei punti di applicazione e l'igiene delle policy determinano se questa ripetizione protegge davvero qualcosa o aggiunge solo hop.

Capacità principali e metodi di ispezione di FWaaS

Le capacità riportate di seguito si sovrappongono appena. Questo conta in fase di approvvigionamento: una capacità che il provider omette diventa una lacuna nella tua copertura, non una versione più limitata della stessa protezione.

• Controllo delle applicazioni e filtro URL: L'ispezione Layer 7 identifica le applicazioni in base ai modelli di comportamento, non ai numeri di porta. Puoi consentire Salesforce bloccando gli account Dropbox personali, anche se entrambi usano HTTPS sulla porta 443.
• Prevenzione e rilevamento delle intrusioni: Il rilevamento basato su firme corrisponde a modelli di attacco noti. L'analisi comportamentale identifica anomalie che suggeriscono exploit zero-day o minacce persistenti avanzate.
• Decrittografia TLS/SSL: FWaaS termina le connessioni TLS, ispeziona il contenuto decrittografato, quindi lo crittografa nuovamente per la trasmissione. Questo intercetta le minacce nascoste nella crittografia, che ora rappresentano la maggior parte del traffico web.
• Sicurezza DNS: Il filtering DNS blocca i domini dannosi prima che le connessioni vengano stabilite, impedendo la comunicazione di comando e controllo del malware e i tentativi di phishing.
• Anti-malware e sandboxing: L'ispezione dei file analizza i download alla ricerca di firme malware. I file sospetti vengono eseguiti in ambienti di sandboxing isolati per l'analisi comportamentale.

FWaaS in distribuzioni ibride e multi-cloud

La maggior parte delle organizzazioni utilizza infrastrutture on-premises, più di un provider cloud e un lungo elenco di applicazioni SaaS, e un servizio firewall mantiene un unico set di policy per tutti e tre. I provider collocano punti di enforcement all'interno delle principali regioni cloud, quindi il traffico tra ambienti multi-cloud viene ispezionato senza hairpinning di ritorno al data center. L'integrazione on-premises di solito utilizza un tunnel IPsec o un circuito dedicato dal sito al punto di enforcement più vicino.

La parte difficile è verificare che la policy scritta sia la policy effettivamente applicata. La gestione distribuita tra regioni riduce la visibilità sul set di regole effettivo in qualsiasi singolo punto di enforcement e la configurazione errata rimane la causa più comune dei guasti del firewall.

Come Firewall as a Service cambia l'enforcement di rete

Le regole che scrivi appaiono pressoché identiche su un'appliance o in un servizio cloud. Ciò che cambia è tutto ciò che segue le regole: dove viene eseguito l'enforcement, quanta capacità di calcolo lo supporta e chi applica le patch.

Decrittografare, ispezionare e crittografare nuovamente ogni sessione richiede un uso intensivo della capacità di calcolo e le appliance raggiungono un limite che impone una scelta tra copertura dell'ispezione e throughput. Un firewall cloud scala tale capacità di calcolo su richiesta. I team che eseguono la decrittografia completa di solito arrivano prima al modello cloud.

Firewall as a Service e architettura SASE

Firewall as a service fornisce il livello di enforcement di rete di un'architettura SASE. linee guida CISA e FBI descrivono SASE come un'architettura cloud che combina cinque capacità: rete WAN definita dal software, Secure Web Gateway, Cloud Access Security Broker, Zero Trust Network Access e un firewall, che in una distribuzione SASE viene eseguito come servizio cloud. La metà di sicurezza di tale architettura è il security service edge e le stesse linee guida indicano FWaaS come una delle sue quattro capacità di sicurezza.

I due conteggi differiscono di un elemento e l'elemento è SD-WAN. SD-WAN è una capacità di rete, non di sicurezza, quindi rimuovendola dai cinque restano le quattro capacità di sicurezza che compongono il security service edge. I componenti con cui FWaaS condivide un control plane sono:

• SD-WAN, per il routing del traffico e le prestazioni WAN tra i siti.
• Secure Web Gateway, per il controllo dell'accesso web, la protezione dalle minacce e la prevenzione della perdita di dati.
• Cloud Access Security Broker, per la visibilità e il controllo sull'uso delle applicazioni SaaS.
• Zero Trust Network Access, per decisioni di accesso a livello di applicazione basate su identità verificata e postura del dispositivo.

Questo piano di controllo condiviso mantiene coerente la policy di sicurezza SASE. Un'unica console copre il traffico web, applicativo e di rete, e le regole smettono di divergere come fanno nel tempo insiemi di policy separati. Un'unica console significa anche un'unica risposta per un revisore che chiede quale controllo sia stato applicato a una determinata sessione. Più ampi framework di sicurezza SASE estendono la stessa logica all'identità e all'accesso alle applicazioni.

Vantaggi principali di Firewall as a Service

FWaaS elimina il sovraccarico di gestione dell'hardware, si adatta automaticamente durante i picchi di traffico, viene distribuito in giorni invece che in settimane e include la convalida dei framework di sicurezza federali.

1. Riduzione della complessità operativa: Elimini la gestione per singolo appliance. Invece di configurare singolarmente 50 firewall di filiali, imposti le policy una sola volta. L'infrastruttura basata su cloud è diventata la struttura SOC predominante, con la maggior parte delle organizzazioni che integra meccanismi di risposta automatizzati.
2. Scalabilità elastica: Gli appliance hardware falliscono durante i picchi di traffico perché la capacità di elaborazione è fissa. FWaaS scala orizzontalmente aggiungendo automaticamente risorse di calcolo. L'architettura cloud-native gestisce in modo più efficace operazioni ad alta intensità di calcolo come la decrittazione TLS/SSL perché i provider mantengono capacità in eccesso tra le regioni.
3. Distribuzione rapida: L'apertura di una nuova filiale richiede tradizionalmente approvvigionamento hardware, spedizione, installazione e configurazione. FWaaS richiede credenziali di autenticazione utente e assegnazione delle policy. Secondo l'analisi Magic Quadrant di Gartner, l'adozione di FWaaS passerà da meno del 5% nel 2020 a oltre il 30% delle nuove distribuzioni di firewall per filiali distribuite entro il 2026.
4. Riconoscimento dei framework governativi: Le linee guida multi-agenzia di CISA, FBI, GCSB, CERT-NZ e CCCS identificano esplicitamente FWaaS come una capacità di sicurezza SSE fondamentale insieme a Zero Trust Network Access, Cloud Secure Web Gateway e Cloud Access Security Broker. NIST SP 800-215 fornisce la convalida federale dei framework SASE con FWaaS come componente fondamentale.

Questi vantaggi operativi rendono FWaaS interessante per le organizzazioni distribuite, ma l'architettura cloud-native introduce una nuova complessità che i firewall tradizionali non devono affrontare.

Sfide e limitazioni di Firewall as a Service

L'applicazione centralizzata centralizza anche i guasti, quindi una regola errata ora raggiunge tutti contemporaneamente. Eseguire l'ispezione sull'infrastruttura di qualcun altro mette inoltre latenza, giurisdizione e uptime fuori dal tuo controllo.

• Complessità di configurazione. La gestione centralizzata delle policy è un vantaggio finché una regola errata non si propaga globalmente nel giro di pochi minuti. L'automazione guidata da API amplia lo spazio per gli errori e una singola regola difettosa può influire su ogni utente contemporaneamente. Hai bisogno di una convalida automatizzata delle policy e di un ambiente non di produzione che rispecchi la produzione.
• Latenza per le applicazioni in tempo reale. L'instradamento attraverso punti di applicazione cloud aggiunge millisecondi a ogni sessione. La maggior parte delle applicazioni aziendali non se ne accorge. Le comunicazioni vocali in tempo reale, le piattaforme di trading e gli ambienti di tecnologia operativa sì, e piccoli aumenti in questi casi causano degrado funzionale.
• Granularità limitata per conformità specialistiche. Le piattaforme cloud standardizzate scambiano la personalizzazione con la scalabilità. Le organizzazioni con requisiti di segmentazione granulari ai sensi di PCI DSS, HIPAA o CMMC spesso scoprono che un servizio firewall non può soddisfare ogni controllo senza strumenti supplementari.
• Complessità della residenza dei dati. L'ispezione elabora i dati nella posizione del punto di applicazione. Se il punto di applicazione più vicino si trova al di fuori di un confine richiesto da GDPR, CCPA o dalla normativa di settore, potresti elaborare dati regolamentati in una giurisdizione non conforme. Verifica la geografia dei punti di applicazione prima della distribuzione.
• Dipendenza dall'infrastruttura del provider. La disponibilità della tua applicazione dipende dalla disponibilità del provider. Valuta SLA, architettura di ridondanza e uptime storico pubblicato come parte della selezione del fornitore e sappi quale aspetto assume la tua postura durante un guasto regionale.
• Punti ciechi per gli attacchi non di rete. FWaaS ispeziona il traffico. Non blocca il malware che viene eseguito oltre i controlli di endpoint security, un attaccante in possesso di credenziali valide o un attacco runtime a un workload cloud. Nel compromesso SolarWinds del 2020, MITRE ATT&CK documented una backdoor firmata con i certificati di firma del codice della stessa SolarWinds, nomi host di comando e controllo impostati per corrispondere a nomi host legittimi all'interno dell'ambiente della vittima e infrastruttura VPN ricavata dallo stesso paese della vittima. Nulla di tutto ciò appare anomalo all'ispezione di rete. Valutare un binario firmato validamente in base a ciò che fa dopo l'esecuzione è un lavoro a livello di esecuzione, ed è qui che si colloca uno strumento come Singularity Endpoint.

Quanto ti costa ciascuno di questi aspetti dipende più dal provider che dall'architettura. Questo mette l'intero elenco nell'agenda della selezione del fornitore.

Errori comuni di Firewall as a Service

Le organizzazioni falliscono con FWaaS distribuendo configurazioni non testate, selezionando i fornitori in base ad affermazioni di marketing, saltando la revisione legale, sottovalutando la complessità dell'integrazione e trattando la sicurezza di rete come protezione completa. Ecco cinque errori comuni principali:

1. Distribuzione senza test di configurazione: Le organizzazioni distribuiscono le policy direttamente in produzione senza convalida in ambienti non di produzione. Singoli errori di configurazione si propagano simultaneamente in tutti i punti di applicazione.
2. Selezione basata su affermazioni di marketing: I team di procurement selezionano una rosa ristretta di fornitori in base alle specifiche invece di richiedere risultati di test indipendenti e aggiornati che utilizzino metodologie riconosciute.
3. Saltare la revisione legale durante il procurement: Le organizzazioni scoprono violazioni di GDPR o CCPA durante gli audit di conformità perché non hanno verificato la gestione dei dati del provider e le posizioni di archiviazione prima della distribuzione.
4. Sottovalutare i requisiti di integrazione: I team presumono che le proiezioni del fornitore sulla complessità dell'integrazione siano accurate, per poi scoprire incompatibilità con piattaforme SIEM, provider di identità e protezione degli endpoint dopo l'acquisto.
5. Sostituzione di stack di sicurezza completi: Le organizzazioni trattano FWaaS come una protezione completa quando affronta solo minacce a livello di rete, lasciando senza difesa la compromissione degli endpoint e gli attacchi basati sull'identità.

Evitare questi errori richiede pratiche deliberate di approvvigionamento e distribuzione che convalidino le capacità prima dell'impegno.

Best practice per Firewall as a Service

La maggior parte dei problemi operativi in un servizio firewall inizia con una modifica dei criteri che nessuno ha testato o un log che nessuno ha esaminato. Le pratiche seguenti affrontano questo problema:

• Esegui flussi di lavoro automatizzati di convalida dei criteri che testano ogni modifica delle regole in un ambiente di staging prima che si propaghi ai punti di applicazione in produzione.
• Verifica il set di regole secondo una pianificazione per individuare regole inutilizzate, oscurate e contraddittorie. La proliferazione delle regole trasforma silenziosamente un criterio pulito in uno imprevedibile.
• Documenta le posizioni dei punti di applicazione, la geografia dell'archiviazione dei log e le posizioni di elaborazione dei dati, e completa la revisione legale durante la valutazione, non dopo la firma del contratto.
• Collega i log FWaaS alla tua piattaforma SIEM in modo che gli eventi di rete siano correlati con i segnali di endpoint e identità.
• Tratta FWaaS come un controllo a livello di rete in un'architettura a più livelli. Abbinalo alla sicurezza degli endpoint, gestione delle identità e degli accessi, e alla protezione dei workload cloud per coprire le superfici di attacco che l'ispezione di rete non può vedere.

Inserisci ogni elemento in un runbook con un team responsabile nominato, perché un flusso di lavoro di convalida non assegnato decade nell'arco di un trimestre.

Rafforza la sicurezza di rete con SentinelOne

FWaaS protegge il percorso di rete. Gli attacchi più dannosi operano oltre questo livello, utilizzando credenziali che si autenticano correttamente, codice firmato con un certificato valido e workload mai instradati attraverso un punto di applicazione. Per coprirli servono protezione di endpoint, identità e cloud che lavorino sugli stessi dati.

La Singularity Platform di SentinelOne applica una protezione AI autonoma su tutte le superfici di attacco che un servizio firewall non può raggiungere. Singularity Endpoint utilizza l'AI comportamentale per fermare ransomware, attacchi fileless e exploit zero-day al livello di esecuzione, il punto in cui un payload che ha superato l'ispezione viene infine valutato in base a ciò che fa. Singularity Identity rileva l'uso improprio delle credenziali, gli spostamenti impossibili e il movimento laterale tramite Active Directory, attività che un servizio firewall interpreta come una sessione autenticata legittima. Singularity Cloud Security aggiunge protezione runtime per workload, container e ambienti Kubernetes, dove un attaccante che si sposta da un endpoint compromesso non attraversa affatto un punto di applicazione.

La correlazione è ciò che trasforma questi segnali in un'indagine. Singularity AI SIEM acquisisce i log FWaaS insieme alla telemetria di endpoint, identità e cloud in un unico data lake su scala petabyte, e Purple AI elabora questi dati tramite query in linguaggio naturale e indagine autonoma, ricostruendo una catena di attacco a partire da un singolo evento di rete sospetto senza raccolta manuale dei dati. Secondo lo IDC Purple AI study, i clienti hanno identificato le minacce il 63% più velocemente e ridotto il tempo di remediation del 55%.

SentinelOne è stata inoltre nominata leader delle piattaforme SOC nella valutazione delle operazioni di sicurezza di Latio, la revisione inaugurale dell'azienda delle piattaforme SOC che coprono capacità EDR, XDR, SIEM, SOAR e MDR. 

Richiedi una demo con SentinelOne per vedere quali aree di copertura un servizio firewall lascia scoperte.

Piattaforma Singularity

Elevate la vostra posizione di sicurezza con il rilevamento in tempo reale, la risposta automatica e la visibilità totale dell'intero ambiente digitale.

Richiedi una demo