Nel mondo iperconnesso della cyber security moderna, la segmentazione della rete non è più un’opzione tecnica da valutare, ma una strategia architetturale fondamentale.
Le reti piatte, prive di barriere interne, sono diventate terreno fertile per la diffusione rapida di malware, ransomware e minacce persistenti avanzate (APT).
Oggi, la segmentazione rappresenta una difesa proattiva, capace di contenere un attacco, proteggere i sistemi critici e semplificare la gestione della rete.
Vediamo i principi tecnici e strategici della segmentazione aziendale, approfondendo l’uso combinato di Vlan, subnetting e firewall, con quest’ultimo a fungere da core logico della rete.
Ecco un caso di studio ipotizzato su una Pmi italiana, che ha trasformato la propria architettura IT attraverso un progetto tailor-made di segmentazione.
Indice degli argomenti
Segmentazione di rete: cos’è e perché è cruciale per la sicurezza
La segmentazione di rete consiste nella suddivisione logica della rete aziendale in più zone (segmenti), isolando gruppi di dispositivi o sistemi in base alla loro funzione, criticità o livello di fiducia.
Questi segmenti comunicano solo se autorizzati tramite policy di sicurezza esplicite.
Ecco alcuni vantaggi della segmentazione:
- limitare il movimento laterale degli attaccanti;
- proteggere asset critici, come server, Scada, controller OT/IoT;
- applicare policy granulari di accesso e visibilità;
- facilitare la compliance con normative (GDPR, ISO 27001, NIS 2).
- supportare modelli Zero Trust.
La nostra cassetta degli attrezzi, per raggiungere gli obiettivi della segmentazione, prevede strumenti quali Vlan, subnetting e firewall.
Vlan: isolamento a livello 2
Le Vlan (Virtual Lan) creano reti logiche separate anche su infrastrutture fisiche condivise. Ogni Vlan è un dominio broadcast indipendente.
I dispositivi appartenenti a Vlan diverse non possono comunicare tra loro direttamente senza passare da un livello 3, che nel nostro caso sono il firewall che farà da gateway per ogni subnet.
I vantaggi consistono nella separazione funzionale tra reparti, flessibilità nella distribuzione fisica e limitazione della propagazione di broadcast.
Subnetting: la base per la segmentazione IP
Ogni Vlan è associata a una subnet IP distinta. Questo nel nostro caso ci consente di:
- applicare regole firewall basate su indirizzi IP e maschere;
- tenere traccia precisa del traffico tra zone;
- facilitare troubleshooting e auditing.
Next generation firewall: il core logico della rete segmentata
Il next generation (NG) firewall non è solo il dispositivo perimetrale: è il centro nevralgico della segmentazione, svolgendo il doppio ruolo di:
- router layer 3 tra Vlan (instradamento del traffico tra le varie reti);
- controllore di accesso con policy dettagliate.
Con un Next Generation firewall al centro, ogni comunicazione tra le Vlan è:
- filtrata in base a IP, porte, protocolli e utent;
- monitorata tramite log centralizzati;
- ispezionata (DPI, SSL inspection);
- documentata per audit e risposta agli incidenti;
- oltre ad essere condita da servizi come per esempio: app security, geofiltering antivirus, antispyware.
Caso di studio: segmentazione tailor-made per una Pmi manifatturiera
Una media azienda manifatturiera Pmi italiana, con 250 dipendenti, produzione automatizzata, uffici amministrativi e un reparto R&D (Ricerca e sviluppo), operava su una rete flat.
Un attacco ransomware, ha evidenziato gravi vulnerabilità per mancanza di segmentazione.
Gli obiettivi consistono in:
- separare logicamente i reparti aziendali;
- isolare completamente OT da IT;
- utilizzare il Next generation firewall come gateway unico tra Vlan;
- abilitare policy di sicurezza granulari;
- fornire piena visibilità e capacità di contenimento.
Architettura implementata
In questo caso definiamo i segmenti di rete, precisando che non c’è un modello giusto e uno sbagliato, ma bisogna adattare la segmentazione all’azienda.
Per convenzione e facilità di lettura, utilizziamo l’ID della Vlan, che corrisponde al 3° ottetto dell’IP che nel nostro caso identifica la rete (ma questo non è assolutamente necessario).
Ogni Vlan può avere un ID indipendentemente dall’indirizzo Ip e che avremmo potuto segmentare ulteriormente gli uffici assegnando una singola Vlan ad ogni ufficio, ovviamente più si segmenta e meglio è.
Tuttavia bisogna considerare anche che più si segmenta è maggiore è l’effort di gestione. Quindi in questi casi vale la pena ragionare in base alle esigenze di controllo e se non si hanno direttive particolari “in medio stat virtus”.
Configurazione degli switch
Dopo aver definito chiaramente Vlan e subnet, è necessario configurare opportunamente gli switch, che devono supportare almeno funzionalità Layer 2, assegnando a ciascuna porta la VLAN corretta tramite “tagging”.
In questo modo, ogni apparato potrà essere collegato direttamente al segmento di rete desiderato.
Tagged e untagged
Partendo dal presupposto che alcuni brand hanno una nomenclatura “proprietaria”, definiremo in linea di massima come:
- Tagged: le porta alle quali vengono collegati apparati che hanno la possibilità di inserire uno o più Vlan sulle proprie interfacce;
- Untagged, le porte alle quali saranno collegati gli endpoint membri di ogni Vlan (semplificando al massimo, la porta di uplink di uno switch sarà Tagged, mentre la porta dello switch dove è fisicamente collegato il PC sarà Untagged).
Definizione delle regole Acl (Access control list)
Dopo aver chiarito i punti di cui sopra, si passa poi alla definizione delle regole ACL (Access control list), che rappresentano concretamente le politiche firewall applicate tra i diversi segmenti di rete.
Di seguito si propongono alcune regole firewall tipiche, tenendo sempre presente che tali regole devono rispecchiare precise decisioni aziendali in accordo con la strategia di sicurezza adottata dall’organizzazione e che quelle indicate di seguito servono solo a far comprendere il livello di dettaglio che possiamo ottenere a questo punto.
Le regole illustrate costituiscono esempi pratici di gestione della comunicazione e degli accessi tra segmenti di rete, garantendo sicurezza, isolamento e un efficace controllo del traffico dati, sempre in linea con gli obiettivi strategici aziendali in materia di sicurezza informatica.
Gli esempi prendono in considerazione come origine esclusivamente le Vlan,. Una volta raggiunto quel livello di granularità, possiamo decidere anche di consentire/bloccare il singolo ip, utente app, porta eccetera.
Livello di controllo con Next generation Firewall (NG-FW) come gateway
L’adozione di firewall di nuova generazione come gateway di segmentazione consente un controllo profondo e dinamico del traffico tra le diverse zone di rete. I principali vantaggi si articolano su cinque livelli:
- controllo granulare degli accessi;
- ispezione avanzata del traffico (DPI e Application Control);
- logging dettagliato e telemetria in tempo reale;
- isolamento reattivo e contenimento delle minacce;
- scalabilità e facilità di gestione.
Controllo granulare degli accessi
- Le comunicazioni tra segmenti possono essere autorizzate solo se esplicitamente necessarie (“least privilege”);
- le regole firewall possono essere definite in base a indirizzo IP, porta, applicazione, utente e contesto operativo;
- è possibile differenziare gli accessi per ruolo e fascia oraria (per esempio, accesso limitato ai soli orari lavorativi).
Ispezione avanzata del traffico (Dpi e Application control)
- identificazione e blocco di applicazioni non autorizzate, anche se incapsulate in traffico cifrato (per esempio, Dropbox via HTTPS, Drive, OneDrive).
- analisi profonda Deep Packet Inspection dei protocolli industriali (per esempio, Modbus, S7) per prevenire comportamenti anomali analizzando header payload del pacchetto .
- ispezione del traffico tramite certificati SSL/TLS utilizzati nelle comunicazioni criptate tramite certificati appositamente posizionati nel gateway, per consentire inspection anche del traffico cifrato, molto utile nel content filtering o per la gestione delle applicazioni (tuttavia c’è da considerare che server di destinazione evoluti ad es. quelli delle banche possono individuare questa tecnica come un attacco man in the middle).
Logging dettagliato e telemetria in tempo reale
- I log generati dal firewall possono essere inviati a sistemi SIEM tramite Syslog o formato JSON per analisi centralizzata;
- monitoraggio continuo del traffico tra i vari segmenti di rete con visibilità completa delle interazioni;
- generazione di report su accessi negati, comportamenti anomali o tentativi sospetti;
- attivazione di alert su eventi critici (es. port scanning, tentativi di lateral movement).
Isolamento reattivo e contenimento delle minacce
- I segmenti possono essere isolati rapidamente tramite policy, senza modifiche fisiche o impatti sulle altre VLAN.
- Il traffico anomalo può essere confinato automaticamente, limitando la superficie d’attacco.
- In caso di incidente, la risposta può essere immediata e mirata, minimizzando l’interruzione dei servizi.
Scalabilità e facilità di gestione
- L’aggiunta di nuove VLAN o regole avviene in modo centralizzato e semplificato;
- le policy, consiglio di avere un versioning e soprattuto di documentarle, questo faciliterà auditing e compliance normative;
- se nella rete è presente un server Active Directory per l’applicazione di controlli basati sull’identità utente le policies possono essere integrate ad personam o gruppi di esse interfacciando il NGFW con IDM;
- tramite soluzioni SD-WAN è abbiamo una buona base per segmentare anche le reti dei branch remoti e con l’aggiunta delle opzioni dei firewall virtuali anche le istanze cloud molto utili per i progetti di disaster recovery (DR).
Segmentazione di rete: fondamentale per l’approccio Zero Trust
Per le aziende che adottano il paradigma Zero Trust, la segmentazione della rete non è un’opzione, ma un elemento imprescindibile.
Il modello Zero Trust si basa sul principio “Never trust, always verify”, esteso a tutto il traffico, anche quello interno alla rete.
In questo contesto, la segmentazione basata sul firewall rappresenta un pilastro tecnico fondamentale per l’attuazione di politiche Zero Trust efficaci. I suoi principi operativi includono:
- nessun traffico è autorizzato di default: ogni comunicazione deve essere esplicitamente permessa sulla base di criteri predefiniti;
- ogni accesso è contestuale, autenticato e monitorato: vengono considerati identità utente (ove disponibili), dispositivo, posizione, orario e livello di rischio;
- i confini della rete sono logici e dinamici: non più legati alla topologia fisica, ma definiti da policy granulari che si adattano ai cambiamenti dell’infrastruttura e del contesto operativo contesto che si sposa perfettamente con l’utilizzo delle VLAN.
In sintesi, la segmentazione firewall-centrica consente di tradurre i principi teorici dello Zero Trust in controlli pratici, misurabili e scalabili.
Checklist operativa per implementare la segmentazione di rete
Chiariti i concetti degli strumenti necessari, lavoriamo su una Checklist operativa per l’implementazione efficace della segmentazione di rete.
La segmentazione di rete, per essere realmente efficace e sostenibile nel tempo, deve seguire un processo metodico.
Ecco le raccomandazioni tecniche per ogni fase:
- definire le zone di fiducia e le Vlan;
- progettare uno schema IP coerente;
- mappare i flussi di traffico reali;
- configurare il firewall come core routing e, se lo consente, per praticità utilizzarlo anche come DHCP (sarà l’unico dispositivo ad avere una “zampa” in tutte le reti);
- applicare il principio deny-by-default;
- monitorare e reagire con strumenti di visibilità;
- testare, documentare e aggiornare le policy.
Definizione delle zone di fiducia e delle Vlan
Occorre, al fine di definire le zone di fiducia e le Vlan:
- suddividere la rete in zone logiche (per esempio, utenti, server, IoT, OT, guest) basate su criteri di sicurezza e funzionalità;
- assegnare a ciascuna zona una Vlan dedicata per isolare il traffico a livello di Layer 2.
Progetto di uno schema IP coerente
Per progettare uno schema IP coerente, bisogna:
- utilizzare un piano di indirizzamento IP gerarchico e documentato, con subnet distinte per ogni zona.
- evitare overlapping tra subnet per non avere falle di sicurezza, problemi di routing e facilitare il troubleshooting.
Mappa dei flussi di traffico reali
Per mappare i flussi di traffico reali, è necessario:
- utilizzare ove possibile strumenti di network flow analysis (NetFlow, sFlow, WireShark o software integrati nei dispositivi di rete) per identificare comunicazioni tra sistemi.
- classificare i flussi per tipo di servizio, protocollo, orario e direzione (al’interno delle Vlan, tra le Vlan, verso Internet).
Configurazione del firewall come core routing
Per impostaree il firewall come core routing e, se lo permette, per praticità utilizzarlo anche come DHCP (affinché sia l’unico dispositivo ad avere una “zampa” in tutte le reti), occorre:
- posizionare un firewall NGFW al centro della comunicazione, quindi come gateway tra Vlan (Layer 3);
- abilitare ove presenti funzionalità avanzate come Application Control, Identity Awareness, DPI e SSL inspection e configurarle opportunamente.
Applicazione del principio deny-by-default
Nelle configurazione Zero Trust, occorre applicare il principio deny-by-default:
- bloccare tutto il traffico per impostazione predefinita;
- consentire solo i flussi esplicitamente necessari, sulla base di IP, porta, applicazione, identità e contesto operativo. Per esempio, rdp dalla rete di management, alla rete server, solo per il gruppo di utenti appartenenti al reparto IT.
Monitoraggio e reazione con strumenti di visibilità
Al fine di monitorare e reagire con strumenti di visibilità, è necessario:
- inviare i log del firewall a un SIEM per analisi centralizzata e correlazione degli eventi;
- attivare alert automatici su anomalie di traffico, violazioni di policy o tentativi di accesso non autorizzati.
Test, documentazione e aggiornamento delle policy
Per testare, documentare e aggiornare le policy, bisogna:
- verificare la correttezza delle policy tramite test di comunicazione, simulazioni e analisi dei log.
- documentare regole, eccezioni e motivazioni di ogni policy.
- pianificare revisioni periodiche per adattare la segmentazione a cambiamenti di rete, asset o requisiti normativi.
Perché è imprescindibile la segmentazione di rete
La segmentazione di rete non è più solo un esercizio di buon design architetturale, ma è diventata una misura di sicurezza proattiva, imprescindibile per affrontare le minacce moderne.
L’approccio integrato Vlan + firewall + subnetting, con il firewall al centro della rete come motore di policy e punto di ispezione, offre numerosi vantaggi concreti:
- controllo granulare dei flussi di comunicazione tra sistemi;
- isolamento efficace delle minacce per limitare la propagazione degli attacchi;
- visibilità completa sul traffico di rete, grazie a log, alert e analisi centralizzate;
- conformità normativa e resilienza operativa, anche in ambienti ibridi o distribuiti.
tuttavia non esiste una segmentazione valida per tutti. Ogni rete aziendale è unica per topologia, processi, rischi e vincoli. Ecco perché una segmentazione di rete ben fatta richiede un progetto su misura, pensato come un abito sartoriale: su misura, preciso e destinato a creare le basi per una gestione duratura.
Infine, una rete segmentata non è solo più sicura. È anche più intelligente, più trasparente e soprattutto più governabile.
Segmentare la rete non significa infatti dividerla, bensì fortificarla.
