Il Firewall non ci serve

Una riflessione nata da una frase che mi ha un po' lasciato perplesso, sentita da un Cliente che ha gentilmente declinato di aggiungere un po' di sicurezza alla sua rete.

Qualche giorno fa sono stato da un Cliente al quale abbiamo fatto un assessment dei sistemi informativi. Al momento delle somme il progetto proposto è stato accettato, con un'eccezione. "Riteniamo che il firewall non ci serva, per cui per il momento lasciamo stare".

Diciamo che posso comprendere la ragione legata al fattore economico, ma l'idea che il dispositivo sia di per se inutile mi ha fatto seriamente raggelare il sangue nelle vene. Contando poi che sui PC del medesimo Cliente, con noto antivirus giallo installato e aggiornato, si sia dovuto procedere a rimuovere manualmente una quindicina di spyware vari. Ah poi nota bene: la condizione attuale prevedeva un router e basta.

Poi ho girato un po' in rete e credo che alla fine il tutto si riconduca ad una cosa. Siamo vittime del nostro stesso male. Abbiamo indotto uno stato di ignoranza mediatica tale da ottenere due risultati. Il primo è quello che l'Italia è incredibilmente immune alle minacce in Rete. La seconda è che la spesa per la sicurezza sia un costo inutile. Permettetemi di approfondire i due aspetti.

"L'Italia è immune dalle minacce in Rete". In effetti non ci sono articoli in merito a veri problemi avvenuti in Rete, se non quelli più eclatanti come il caso della violazione dei sistemi della Polizia di Stato con conseguente fuga di dati. Ma per il resto, forse forti di una non meglio comprensibile invidia o complesso di inferiorità, ci piace sempre parlare degli altri per non mancare mai di paragonarci agli Stati Uniti. NSA, CIA, FBI, ci piacciono gli acronimi delle agenzie investigative Americane. E a parte un misero (per diffusione, non contenuti) report annuale rilasciato dal Clusit praticamente sconosciuto alle aziende, non ci sono altri dati pubblici di quello che accade in Italia. Non all'estero, ma nello stivale. I grossi Vendor pubblicano articoli su articoli di dati inutili ai fini della conservazione di uno stato dignitoso della sicurezza, riprendendo statistiche globali. I media che almeno pubblicassero qualcosa di utile invece di vomitare (perchè è l'unico termine che mi viene in mente) informazioni al confine tra realtà e cinematografia, privo di qualsiasi significato reale.

Io che sono figlio di nessuno negli ultimi due anni conto incidenti gravi alle Aziende Italiane a decine. Attacchi mirati a singole aziende che uccidono i loro servizi di posta elettronica (vedi La mia mattina a 250Mbps), dati prelevati dall'interno delle aziende per essere distribuiti a concorrenza od estero, tentativi di intrusione come se piovesse a decine al giorno, computer portatili e pen drive rubati a dirigenti e responsabili di Aziende. Non parliamo poi della quantità di virus intercettati, tra cui anche Crypto Locker che si è incastrato sul perimetro del sistema.

"Investire in sicurezza è un costo inutile", almeno fino a che i cavalli non sono usciti dal recinto citerei. Perchè si comincia a parlare di sicurezza, difesa, protezione quando ormai è troppo tardi. Colpiti allo stomaco da un maglio che se tutto va bene fa solo barcollare e cadere in ginocchio, ma se va male beh... è stato bello (ah si?). Brevetti, offerte, documenti riservati: la posta in gioco è alta quando si parla di proprietà intellettuale, molto alta, e non voglio nemmeno entrare nel merito dei furti di identità.

E poi perchè non tirare in ballo la reattività di Operatori e Consulenti? I primi che reagiscono con tempi di risposta... diciamo che reagiscono... anzi supponiamo. Oggi mi è capitato di voler approfondire un messaggio di SPAM ai danni di CartaSi e mi son detto ma si... perdiamo tempo e mandiamo un'email all'email di abusi di questo operatore (UK). Due ore dopo il contenuto era sparito e l'operatorei mi ha risposto (ero quasi commosso) dicendo che tutto il contenuto era stato rimosso. Ed era anche vero! In passato ho mandato forse un centinaio di email al NOC di un noto operatore di TELECOMunicazioni e... mai avuto una risposta (manco per errore) e il problema con tali host è persistito per giorni interi, esaurito forse dalla noia dei sistemi stessi. Anche altri si sono dimostrati allo stesso modo (tranne quelli più piccoli e orientati al servizio) quindi abbiamo una enorme indifferenza da parte delle fondamenta dei servizi... ma pure alcuni Consulenti che vendono sicurezza a pacchetti. Nel senso che vendono il pacchetto e lo installano con i cosiddetti "factory default", ovvero le impostazioni di sicurezza di fabbrica. "Sposta pacchi" che hanno totalmente alienato il vero senso di fare sicurezza e fare qualcosa di utile al servizio di Aziende. Anche in questo caso mi è capitato di trovare anche nella cerchia di un brand, che seguo ed ammiro molto, non dei firewall, ma dei router costosi.

Insomma il risultato di quest'equazione è che cerchiamo di "vendere" prodotti inutili, ad aziende che in realtà non ne hanno bisogno perchè la minaccia non esiste. Questa cosa è seriamente agghiacciante.

Concludo con un'ultima impressione che ho da qualche anno ormai. Noto una incredibile refrattarietà nell'ammettere l'esistenza di problemi. In Italia, a chiedere in giro ufficialmente, non avvengono incidenti, sempre senza quelli di pubblico dominio (come il clamoroso caso delle Poste Italiane di qualche anno fa). Gli operatori non subiscono attacchi, è sempre colpa dell'utente remoto. I virus non si insediano nelle aziende, non ci sono furti di dati. Invece di rendere note le informazioni relative allo stato reale della sicurezza (ovvio che non c'è bisogno di dire chi sia la vittima o quale dato sia stato manomesso o rubato!) meglio non dire nulla. Non diciamo che un datacenter di secondo ordine (per dimensioni nota bene, non qualità del servizio) subiva una media di un centinaio di tentativi di intrusione al giorno. Non diciamo che le Java Virtual Machine su cui girano gli application server di alcuni enti sono vulnerabili da bambini che possono scaricarsi il codice per sfruttarle, o leggerle in edicola!

Teniamo tutto segreto, così nessuno si preoccuperà che i suoi dati sono in pericolo. Almeno finchè non troveranno il proprio fratello gemello su Facebook.