Perché firewall e VPN sono i primi a cadere: l'anatomia di una finestra che gli attaccanti chiudono in poche ore

Negli ultimi anni un copione si ripete: esce una falla su un firewall, un gateway VPN o un bilanciatore di carico, e nel giro di poche ore migliaia di questi apparecchi vengono attaccati in tutto il mondo. Si chiama sfruttamento di massa, e colpisce quasi sempre i dispositivi di confine (in inglese edge), cioè quelli che stanno sul bordo tra la rete interna e Internet.

Non è un caso, ed è importante capire perché. Ci sono tre ragioni strutturali, e nessuna si risolve con una toppa.

Le tre ragioni

La prima: questi apparecchi sono esposti per forza. Un gateway VPN deve essere raggiungibile da Internet, altrimenti i dipendenti non potrebbero collegarsi da casa. La sua faccia è sempre rivolta al mondo, e quindi sempre attaccabile.

La seconda: sono difficili da aggiornare in fretta. Spegnere un firewall o un gateway per installare una patch significa interrompere il lavoro di tutti; serve una finestra di manutenzione, che spesso arriva giorni o settimane dopo. In quel ritardo, l'apparecchio resta scoperto.

La terza: offrono poca visibilità. Su un normale computer si può installare un software di difesa che sorveglia tutto; su un'appliance chiusa, no. Produce pochi log, non ha un «guardiano» interno, e così un attacco può passare quasi inosservato.

Appena esce la correzione, gli attaccanti la studiano per capire dov'era il buco: la patch è anche la mappa dell'attacco.

Come ci si difende

La difesa non è un gesto unico ma un programma continuo. Prima di tutto bisogna sapere cosa si ha esposto: molte aziende vengono colpite su apparecchi che avevano dimenticato di avere online. Poi si riduce la superficie (spegnere i servizi non usati), si aggiorna con priorità assoluta tutto ciò che è nel catalogo delle falle già sfruttate, e si manda comunque ciò che il dispositivo riesce a registrare verso un sistema di raccolta centrale. Un primo passo pratico:

# Verifica quali porte del tuo perimetro rispondono da fuori
nmap -Pn -p 443,10443,8443 --open <intervallo_indirizzi>

# Principi
- Esporre solo ciò che serve davvero; filtrare l\u2019accesso per indirizzo
- Dare priorità alle patch su tutto ciò che è già sfruttato in rete
- Inviare i log dell\u2019apparecchio a un sistema centrale di analisi

Perché conta. Non esiste l'apparecchio «di sicurezza» immune: anche un firewall è software che gira, e il software ha bug. Trattare questi dispositivi come potenziali punti deboli — non come fortezze inviolabili — è il primo passo per difenderli davvero.