Perché i Firewall Next Generation sono nel mirino dei criminali informatici
I dispositivi firewall si collocano sulla linea di confine tra la rete interna, considerata affidabile, e internet, per natura ostile. Questa posizione li rende bersagli di altissimo valore: chi riesce a violarli ottiene spesso visibilità e privilegi su tutta l'infrastruttura aziendale. Non sorprende quindi che i firewall di rete moderni compaiano sempre più spesso nei bollettini di sicurezza dedicati a vulnerabilità critiche.
I dati confermano la tendenza. Il già citato DBIR 2026 segnala che il 48% delle violazioni analizzate coinvolge ransomware, e diverse fonti di settore osservano un aumento sensibile degli attacchi diretti proprio contro dispositivi perimetrali come firewall, VPN (Virtual Private Network, la rete privata virtuale usata per l'accesso remoto) e router. Alcuni exploit sfruttano vulnerabilità note ma senza patch negli ambienti di produzione; altri prendono di mira configurazioni predefinite poco sicure o difetti di progettazione mai corretti.
Il problema non riguarda solo il software del singolo apparato, ma anche l'approccio delle organizzazioni: molti team IT si concentrano sull'ispezione del traffico in tempo reale e trascurano la riduzione della superficie di attacco. I firewall di rete moderni più solidi affrontano invece la sicurezza su più livelli, non solo su quello del filtraggio del traffico.
I tre pilastri di sicurezza per i firewall di rete moderni
Per essere davvero efficaci, i Next Generation Firewall dovrebbero poggiare su tre pilastri complementari, non solo sul filtraggio del traffico in tempo reale.
Il primo pilastro è la protezione avanzata: ridurre in modo proattivo la superficie di attacco attraverso i principi Secure by Design (sicurezza integrata fin dalla progettazione), l'applicazione automatica delle patch, il controllo continuo delle configurazioni e l'accesso Zero Trust, il modello secondo cui nessun utente o dispositivo viene considerato affidabile per default.
Il secondo è la protezione in tempo reale: bloccare le minacce prima che raggiungano la rete, grazie a un'ispezione avanzata del traffico e a meccanismi di rilevamento basati sull'Intelligenza Artificiale.
Il terzo pilastro, spesso il più trascurato, è il rilevamento e la risposta alle minacce: individuare e isolare automaticamente gli aggressori già presenti nella rete, prima che completino l'attacco.
Pochi fornitori investono in modo equilibrato su tutti e tre gli ambiti: la maggior parte dei sistemi firewall si concentra sui primi due pilastri, lasciando scoperta proprio la capacità di risposta automatica.
Le vulnerabilità che espongono i Next Generation Firewall
Tre problemi ricorrenti indeboliscono anche i firewall di rete moderni meglio progettati:
- La cosiddetta "stanchezza da patch": molti produttori di firewall non progettano i propri sistemi per supportare aggiornamenti automatici e in tempo reale, così applicare le patch resta un processo manuale, lento e spesso rinviato.
- La persistenza di apparati End-of-Life (letteralmente "fine vita", cioè non più supportati dal produttore): questi dispositivi restano in produzione semplicemente perché sostituirli richiede budget e pianificazione.
- La scarsa visibilità sulla configurazione: i firewall tradizionali segnalano raramente quando un parametro non rispetta le best practice di sicurezza.
Per rispondere a questa esigenza, nel 2024 la Cybersecurity and Infrastructure Security Agency (CISA), l'agenzia statunitense per la sicurezza informatica e delle infrastrutture, ha lanciato il programma volontario Secure by Design Pledge, sottoscritto da 68 produttori di tecnologia, molti dei quali realizzano proprio firewall di rete moderni. L'impegno prevede sette obiettivi concreti, tra cui la diffusione dell'autenticazione a più fattori (MFA, Multi-Factor Authentication) e la riduzione delle password predefinite.
Rilevamento e risposta: la funzione che ai firewall di rete moderni spesso manca
Molti attacchi vanno a segno non per l'assenza di un firewall, ma per l'assenza di una risposta automatica quando avviene la prima intrusione. Secondo il Sophos Active Adversary Report 2026, l'88% dei payload ransomware viene rilasciato fuori dall'orario lavorativo, così come il 79% delle attività di esfiltrazione dei dati. Gli attaccanti scelgono deliberatamente le ore notturne o i weekend, quando i team di sicurezza sono ridotti al minimo e anche l'attenzione individuale è più vulnerabile.
Ecco perché ai firewall di rete moderni più avanzati viene affiancata una capacità di Network Detection and Response (NDR), letteralmente "rilevamento e risposta a livello di rete": un sistema in grado di isolare automaticamente un dispositivo compromesso non appena rileva un comportamento sospetto, senza attendere l'intervento umano. Con questo approccio, un tentativo di intrusione avvenuto un sabato sera si traduce, al rientro in ufficio il lunedì, in un avviso già gestito e contenuto, invece che in un attacco cyber su scala aziendale.
Questa capacità di risposta coordinata, chiamata sicurezza sincronizzata, è ciò che distingue davvero un firewall di rete moderno da un semplice apparato di filtraggio del traffico.
Come scegliere firewall di nuova generazione
Valutare un fornitore di firewall di rete richiede criteri precisi, non solo il confronto tra schede tecniche. Un'organizzazione dovrebbe verificare la presenza di:
- un impegno concreto e documentato verso i principi Secure by Design;
- funzionalità di patching automatico che eliminino i tempi di inattività;
- strumenti di controllo della configurazione capaci di segnalare le impostazioni a rischio;
- funzionalità Zero Trust integrate, incluse ZTNA (Zero Trust Network Access, l'accesso mirato a singole applicazioni invece che all'intera rete);
- capacità di Network Detection and Response per identificare le minacce attive;
- risposta automatica in grado di isolare un attacco senza intervento umano.
Vale anche la pena considerare il consolidamento: firewall, VPN, ZTNA, DNS, SD-WAN (Software-Defined Wide Area Network, la rete geografica gestita via software) riuniti in un'unica piattaforma riducono la complessità operativa e, di conseguenza, la superficie di attacco.
Firewall di rete moderni: l’impatto normativo e la responsabilità condivisa
La sicurezza del perimetro non è più un problema esclusivamente tecnico, ma una priorità di governance che coinvolge direttamente i CEO e i Consigli di Amministrazione. Le recenti normative europee, come il Decreto di recepimento NIS2 e il Regolamento DORA (Digital Operational Resilience Act), impongono obblighi stringenti di mappatura delle dipendenze tecnologiche e registri dettagliati dei fornitori, prevedendo sanzioni significative che possono raggiungere il 2% del fatturato totale.
In questo contesto regolatorio, i firewall di rete moderni rientrano spesso tra gli "asset trasversali" o condivisi. Quando una piattaforma comune o una barriera centrale abilita servizi aziendali con diversi livelli di criticità, il suo livello di rischio va valutato in base all'impatto più grave che una sua compromissione potrebbe generare. Attraverso una corretta BIA (Business Impact Analysis), le organizzazioni devono identificare i punti deboli della propria catena di fornitura e proteggere l'infrastruttura per garantire la continuità operativa.
La sicurezza dei firewall di rete moderni, però, non dipende da un solo attore. I vendor tecnologici devono progettare prodotti sicuri fin dall'origine (security by design) e garantirne patch, aggiornamenti e supporto per tutto il ciclo di vita; le organizzazioni, devono scegliere fornitori affidabili, applicare tempestivamente gli aggiornamenti e pianificare per tempo la sostituzione dei sistemi in End-of-Life. Solo quando entrambe le parti rispettano la propria quota di responsabilità, il perimetro di rete smette di essere il punto debole e torna a essere la prima linea di difesa.
Se vuoi approfondire e scoprire se i tuoi firewall stanno contribuendo alla sicurezza della tua organizzazione o stanno aumentando il rischio di esposizione invece di ridurlo, scarica il white paper di Sophos "Il rischio nascosto dei firewall moderni".
