Progettare una difesa ibrida: perché UTM e IDS dovrebbero collaborare nella sicurezza aziendale di Windows.

In genere, i reparti di sicurezza aziendale si trovano di fronte a due opzioni: l'utilizzo di sistemi unificati di gestione delle minacce (UTM) per creare un perimetro di sicurezza unificato o una soluzione IDS (Intrusion Detection System) in grado di offrire una maggiore visibilità sull'attività di rete. Tuttavia, quando si considerano le soluzioni per ambienti aziendali basati su prodotti Microsoft Windows, sembra che entrambe le parti si concentrino sul problema sbagliato. I fornitori di UTM, che commercializzano i loro prodotti come la "soluzione completa" per il personale IT con risorse di tempo limitate, sostengono che un dispositivo UTM offra tutte le funzioni necessarie (firewall, VPN, antivirus, ecc.) in un'unica unità. D'altro canto, i fornitori di dispositivi IDS specializzati sostengono che l'inclusione di queste funzionalità aggiuntive riduca l'efficacia della funzione IDS. Di conseguenza, le organizzazioni che si occupano della protezione delle reti Windows continuano a essere esposte a un rischio maggiore a causa di questa mentalità.

L'ingegnere di sicurezza informatica Samuel Bemi ha indagato su questa lacuna attraverso una valutazione comparativa controllata di Snort, un sistema di rilevamento delle intrusioni open source, e pfSense, una piattaforma di sicurezza unificata open source, all'interno di un ambiente aziendale virtualizzato con Windows 11. La sua valutazione va oltre la domanda convenzionale se un controllo di sicurezza rilevi un attacco, esaminando se tale rilevamento rimanga operativamente utile una volta presi in considerazione i falsi positivi, la latenza, la velocità di trasmissione e l'utilizzo delle risorse.

Il solo rilevamento non racconta tutta la storia

L'esperimento ha simulato tre dei modelli di attacco più comuni che le organizzazioni si trovano ad affrontare: attacchi di tipo ICMP flood, scansione di porte e servizi e traffico denial-of-service. Sia Snort che pfSense sono stati configurati per proteggere un host Windows 11 all'interno di una rete isolata creata appositamente per i test.

I risultati sono stati chiarificatori, non rassicuranti. Snort ha rilevato il 100% dei tentativi di flooding ICMP e il 100% del traffico denial-of-service, identificando inoltre la grande maggioranza dei tentativi di scansione delle porte. Nell'ambiente di test controllato, Snort ha ottenuto ottime prestazioni di rilevamento rispetto ai modelli di traffico testati. Ma la scoperta più importante è stata che le prestazioni di rilevamento comportavano dei compromessi operativi. A fronte di questo successo, si è registrato un tasso di falsi positivi sufficientemente elevato da risultare operativamente significativo, insieme a un aumento misurabile della latenza di rete e a un calo sostanziale del throughput una volta che entrambi i sistemi erano attivi.

La valutazione di Bemi sposta la domanda da "quale controllo di sicurezza rileva più attacchi?" a una più rilevante: "l'architettura di sicurezza rimane efficace se si considerano congiuntamente l'accuratezza del rilevamento, i falsi positivi e il sovraccarico operativo?". Invece di valutare i controlli IDS e UTM in modo indipendente, l'approccio di Bemi esamina come interagiscono l'accuratezza del rilevamento, i falsi positivi, il consumo di risorse e le prestazioni di rete quando i controlli vengono implementati nello stesso ambiente aziendale. Questa prospettiva fornisce ai team di sicurezza una base più pratica per la progettazione di architetture di difesa multilivello, in cui la protezione viene valutata non solo in base alle minacce rilevate da un controllo, ma anche in base alla sua efficacia operativa all'interno della rete più ampia.

"Un tasso di rilevamento del 100% non può essere valutato isolatamente", afferma Bemi. "Se il raggiungimento di tale risultato introduce un numero significativo di falsi positivi, latenza o degrado delle prestazioni, il controllo di sicurezza deve essere valutato come un sistema operativo, piuttosto che semplicemente come un meccanismo di rilevamento."

Che UTM da solo Mmisses

Secondo Bemi, l'IDS non potrà mai sostituire o superare l'UTM. Afferma invece che entrambi gli strumenti risolvono due diversi livelli dello stesso problema. Il primo livello riguarda l'applicazione delle policy perimetrali (firewall, terminazione VPN, gestione del traffico, blocco del traffico dannoso noto), a condizione che i dispositivi UTM, come pfSense, siano configurati correttamente. Il secondo livello, gestito dall'IDS, riguarda ciò che accade dopo che un elemento è stato autorizzato a superare il primo livello. Questo secondo livello fornisce un livello di dettaglio che non può essere replicato dal solo UTM. In particolare, ciò è risultato evidente durante i test e le valutazioni di Bemi, basati sulla capacità di rilevamento e sull'impatto operativo.

"Un UTM determina se il traffico debba essere ammesso nella rete", afferma Bemi. "Un IDS risponde a una domanda completamente diversa: ora che si trova all'interno della rete, appare anomalo?" Bemi ha affermato che le aziende che utilizzano solo un UTM in genere prendono una sola decisione in merito all'ammissione del traffico oltre il firewall/dispositivo di terminazione VPN. Dopodiché, si affidano semplicemente al fatto che tutto ciò che lo attraversa sia sicuro.

Il costo delle risorse è un elemento di progettazione, non un ripensamento successivo.

Uno dei risultati più importanti dello studio è che la difesa a più livelli non è priva di costi operativi. L'esecuzione di entrambi i controlli ha aumentato l'utilizzo di CPU e memoria e ha introdotto ulteriore latenza di rete, dimostrando che l'architettura di sicurezza non può essere valutata esclusivamente in base all'efficacia del rilevamento.

Sostiene che l'ostacolo pratico alla difesa ibrida non risieda tanto nella compatibilità dei controlli, quanto piuttosto nella pianificazione, nella messa a punto e nel monitoraggio necessari da parte delle organizzazioni. "Nessuno contesta che la difesa a più livelli sia l'architettura corretta sulla carta", afferma. "La resistenza si manifesta in fase di implementazione, quando un team IT più piccolo si rende conto che gestire correttamente entrambi i sistemi richiede una pianificazione della capacità, la messa a punto delle regole per ridurre i falsi positivi e una revisione continua dei log. Si tratta di una questione di risorse, non di tecnologia. Ma saltare questo passaggio non elimina il rischio; lo sposta semplicemente dalla rete all'azienda."

Il percorso pratico da seguire

Per le organizzazioni che considerano ancora questa una decisione di acquisto binaria, l'implicazione pratica della valutazione di Bemi non è che ogni organizzazione debba implementare entrambi i controlli indiscriminatamente. Piuttosto, gli architetti della sicurezza dovrebbero considerare UTM e IDS come controlli complementari, valutarne le prestazioni combinate in condizioni di traffico realistiche e dimensionare l'infrastruttura e la capacità di monitoraggio in base al sovraccarico operativo risultante.

Conclusione

La sfida per la sicurezza aziendale di Windows non consiste nello scegliere tra UTM e IDS, ma nel progettare un'architettura in cui entrambi i controlli affrontino diversi livelli dello stesso panorama delle minacce. La valutazione di Bemi dimostra che i tassi di rilevamento da soli non determinano l'efficacia della sicurezza; anche i falsi positivi, la latenza, il throughput, il consumo di risorse e l'impegno richiesto per gestire i controlli sono fattori importanti. Il settore deve quindi andare oltre i confronti tra prodotti e valutare come i controlli di sicurezza si comportano insieme in condizioni aziendali realistiche. In pratica, UTM può fornire il primo livello di protezione perimetrale, mentre IDS aggiunge una maggiore visibilità sulle attività sospette che potrebbero oltrepassare tale confine. Le organizzazioni che prendono in considerazione un approccio ibrido dovrebbero testare l'architettura combinata con carichi di lavoro rappresentativi e stabilire soglie chiare per prestazioni, falsi positivi e utilizzo delle risorse prima dell'implementazione. Dovrebbero inoltre pianificare la messa a punto continua delle regole, il monitoraggio, la gestione della capacità e il coinvolgimento degli analisti, anziché considerarli aspetti operativi secondari. In definitiva, un'efficace difesa multilivello non dipende semplicemente dall'implementazione di un maggior numero di strumenti di sicurezza, ma dalla garanzia che i controlli complementari lavorino insieme in modo misurabile, sostenibile e allineato alle esigenze operative dell'organizzazione.

Condividi questo articolo: