Un’architettura di sicurezza è un’architettura di rete creata per rendere più sicura una rete.
Requisiti importanti per la progettazione di un’architettura di sicurezza sono:
- separazione di reti con requisiti e criticità diversi: altrimenti se reti con criticità diverse non sono separate si può attaccare una rete per poi attaccare con più facilità l’altra;
- ridondanza delle protezioni: è bene creare una difesa in profondità con più linee di difesa in modo da mantenere la protezione anche in presenza di guasti o errori di configurazione in uno dei componenti e da contenere gli effetti di un attacco se una linea cede (bisogna evitare invece le interdipendenze tra due componenti);
- flessibilità: per adattarsi ai cambiamenti;
- semplicità: in modo da riuscire a realizzare una configurazione corretta e a comprenderne il funzionamento;
- controllo degli eventi: è importante controllare tempestivamente gli eventi significativi che si verificano.
Esempi di architetture di sicurezza
Un bastion host è un sistema esposto agli attacchi e quindi più curato dal punto di vista della sicurezza.
- Dual homed bastion host: rete in cui un computer è posto come unico accesso tra la rete locale e Internet.
Molte architetture includono delle DMZ (demilitarized zone, o zone demilitarizzate).
- Dual homed bastion host con router e DMZ: la DMZ può essere collegata al router o far parte della rete tra bastion host e router; router e bastion host sono ridondanti quindi permettono una maggiore sicurezza (belt and suspenders); i sistemi sulla DMZ però se compromessi possono essere usati per alcuni tipi di attacco, come IP spoofing.
- DMZ protetta con multihomed bastion host (o firewall); è una configurazione molto diffusa in cui il bastion host ha un ruolo essenziale; il router invece di solito ha filtri poco selettivi,
- DMZ con un servizio in architettura three tier con DBMS sulla rete interna.
Attenzione all’uso di accessi wireless. Spesso in presenza di accessi wireless non c’è più un unico punto di collegamento all’esterno. Per esempio in caso di uso di una DMZ assicurarsi di dare l’accesso wireless sulla DMZ e non sulla rete privata.
