Zpedia 

/ Firewall di rete, firewall di nuova generazione e firewall zero trust a confronto

Firewall di rete, firewall di nuova generazione e firewall zero trust a confronto

Scopri le principali differenze tra i firewall di rete tradizionali, i firewall di nuova generazione (NGFW) e i firewall zero trust.

Consulta la scheda tecnica
Zero Trust
  1. Panoramica
  2. Firewall a confronto
  3. Quale scegliere?
  4. Zscaler Advanced Zero Trust Firewall
  5. Domande frequenti
  6. Argomenti correlati

I firewall non sono tutti uguali

I firewall sono sinonimo di sicurezza informatica. Tuttavia, con l'evoluzione di reti e minacce informatiche, e con l'affermarsi del cloud e della mobilità, le esigenze delle organizzazioni sono cambiate.

Non esistono due soluzioni firewall esattamente uguali, ma è possibile distinguerne tre tipi: il firewall di rete tradizionale, il firewall di nuova generazione e il firewall zero trust.

Una sicurezza perimetrale e un'ispezione incompleta offrono una protezione altrettanto incompleta.

  • Oltre 3 violazioni su 10 vedono l'uso di credenziali rubate (Verizon)
  • Oltre l'85% delle minacce viene trasmesso tramite canali cifrati (Zscaler)
  • Oltre il 78% delle organizzazioni sta implementando attivamente lo zero trust (Zscaler)

Firewall a confronto

Criteri di filtraggio

Firewall di rete

Filtra il traffico sulla base di regole statiche per indirizzi IP, porte e protocolli

Firewall di nuova generazione

Incorpora il riconoscimento e la classificazione delle app e la prevenzione delle intrusioni (oltre al filtraggio basato su IP, porte e protocolli)

Firewall zero trust

Esegue il filtraggio sulla base di policy sensibili al contesto e della verifica dinamica, con IP di origine e destinazione, porte e protocolli, identità utente, rischi e policy aziendali

Profondità dell'ispezione

Firewall di rete

Filtraggio superficiale dei pacchetti basato sull'ispezione dell'intestazione (solo intestazioni L2, L3, L4)

Firewall di nuova generazione

Ispezione approfondita dei pacchetti (Deep Packet Inspection, DPI) per l'analisi di app e payload (L2, L3, L4, L7)

Firewall zero trust

Aggiunge alla DPI un'ulteriore microsegmentazione e una verifica continua

Riconoscimento e classificazione delle applicazioni

Firewall di rete

Funzionalità non supportata

Firewall di nuova generazione

Funzionalità supportata

Firewall zero trust

Funzionalità supportata, con controlli di accesso a privilegi minimi

Integrazione dell'identità utente

Firewall di rete

Funzionalità non supportata

Firewall di nuova generazione

Funzionalità supportata tramite l'integrazione con i provider di identità (LDAP, AD, ecc.)

Firewall zero trust

Funzionalità core, profondamente integrata con la gestione delle identità e degli accessi (IAM)

Funzionalità di sicurezza

Firewall di rete

Di base (blocco di IP/porta, traduzione degli indirizzi di rete [NAT])

Firewall di nuova generazione

Spesso include IPS, sandboxing, antivirus, filtraggio degli URL

Firewall zero trust

IDS/IPS, controllo DNS, verifica utente-dispositivo

Scalabilità

Firewall di rete

Scadente

  • Frequenti colli di bottiglia dovuti dall'ispezione TLS/SSL, che richiede un utilizzo intensivo del processore
  • Richiede hardware dedicato in ogni sito
  • Deve essere sostituito man mano che aumentano le esigenze di elaborazione

Firewall di nuova generazione

Restrittivo

  • Problemi analoghi a quelli dei firewall di rete
  • Spesso limitato dai flussi di traffico e dalla capacità di ispezione, come nel caso dei firewall di rete

Firewall zero trust

Illimitati

  • Nativo del cloud, senza dispositivi da gestire o scalare
  • Può fornire istantaneamente nuove funzionalità e capacità
Management

Firewall di rete

Complesso

  • Progettato per proteggere gli ambienti on-premise, non il cloud
  • Le policy devono essere ricreate per ogni posizione
  • Se cambia l'architettura di rete, deve essere riconfigurato
  • Le liste di controllo degli accessi (ACL) richiedono un aggiornamento manuale

Firewall di nuova generazione

Complesse

  • È costruito per reti statiche
  • Le policy statiche non sono sufficientemente flessibili o scalabili per i cloud dinamici e distribuiti
  • Applicazione incoerente delle policy in più ambienti

Firewall zero trust

Semplicità

  • Definizione, distribuzione e applicazione centralizzate delle policy per tutti gli utenti e le sedi
  • Regole centralizzate e granulari basate su utente, app, posizione, gruppo e reparto
  • Log completi di grado forense che migliorano le indagini e la risposta
Costi

Firewall di rete

Instabile

  • Costi capex elevati per l'acquisto iniziale, la distribuzione e l'aggiornamento
  • Affidamento continuo a un ampio set di soluzioni di sicurezza

Firewall di nuova generazione

Incoerente

  • Costi iniziali elevati e spese di gestione moderate dovute all'abbonamento
  • L'adattamento delle prestazioni richiede hardware aggiuntivo o apparecchiature virtuali sul cloud

Firewall zero trust

Stabile

  • Modello ad abbonamento prevedibile e basato su opex
  • Nessuna limitazione nella scalabilità
  • Elimina NGFW fisici e virtuali, dispositivi IPS e sistemi di logging e monitoraggio
Casi d'uso

Firewall di rete

Basico

Protezione di ambienti interni a basso rischio che richiedono una difesa perimetrale di base

Firewall di nuova generazione

Specifico

Protezione di reti on-premise complesse che richiedono una difesa perimetrale

Firewall zero trust

Piattaforma cloud

Protezione di risorse critiche, servizi cloud e reti ibride che richiedono controlli zero trust dinamici, indipendentemente da dove si trovino utenti, dispositivi e risorse

Firewall hardware, virtualizzati e nativi del cloud a confronto

I firewall virtuali estendono la rete alle risorse sul cloud e sono soggetti alle stesse limitazioni di capacità dei firewall fisici.

Quale scegliere?

Solo un firewall zero trust è progettato appositamente per il mondo digitale di oggi, per garantire un accesso sicuro a Internet e proteggere tutto il traffico web e non web, su tutte le porte e tutti i protocolli, con una scalabilità illimitata e prestazioni elevate.

Gli utenti ottengono una protezione costante su qualsiasi dispositivo e in qualsiasi luogo (a casa, in ufficio o in viaggio), senza i costi, la complessità e le limitazioni prestazionali dei firewall tradizionali di sicurezza della rete e di quelli di nuova generazione.

Zscaler Advanced Zero Trust Firewall

Oltre 1.000 regole per firewall e DNS

Imposta parametri precisi per fermare una gamma più estesa di attacchi con regole aggiuntive​

Rilevamento e categorizzazione del tunnel DNS​

Rileva e blocca gli attacchi basati su DNS prima che compromettano la rete​

Supporto delle firme IPS personalizzate​

Utilizza firme IPS personalizzate specifiche per i requisiti della tua organizzazione​

Controlli delle policy basati sull'identità degli utenti

Definisci policy di sicurezza specifiche per utente, identità, ruolo, reparto, gruppo e posizione​

Ispezione approfondita dei pacchetti (DPI)/​applicazioni di rete che operano a livello 7

Vai oltre l'ispezione dell'intestazione del pacchetto dati e scopri il contenuto effettivo dei dati che si muovono attraverso la rete​

Logging accurato​

Ottieni una visibilità approfondita sull'attività di rete con una visibilità a 360 gradi su tutte le azioni e funzioni (ID utente, ID app, IPS, ecc.)​

Ottimizzazione dei costi della tecnologia

Elimina NGFW fisici e virtuali, dispositivi IPS e sistemi di logging e monitoraggio​

Domande frequenti

Domande frequenti

  • Firewall di rete: offre una protezione minima contro le minacce interne, in quanto considera automaticamente attendibile tutto il traffico interno.
  • NGFW: migliora la sicurezza monitorando il comportamento degli utenti e delle applicazioni, ma può comunque presumere un certo grado di attendibilità per il traffico all'interno della rete interna.
  • Firewall zero trust: fornisce la protezione più efficace contro le minacce interne, in quanto richiede l'autenticazione per ogni singola azione, anche per gli utenti o i dispositivi all'interno della rete. In più, limita considerevolmente il movimento laterale degli aggressori.
  • Firewall di rete: spesso è inefficace nel prevenire il movimento laterale, in quanto si basa sulla sicurezza perimetrale.
  • NGFW: offre una protezione migliore in quanto impiega controlli a livello di applicazione e sistemi di rilevamento delle intrusioni, ma può comunque attribuire un certo grado di attendibilità al traffico interno.
  • Firewall zero trust: rappresenta la soluzione migliore per prevenire il movimento laterale, in quanto elimina l'attendibilità intrinseca nella rete. Ogni singola richiesta di connessione viene quindi verificata, limitando di conseguenza la capacità degli aggressori di muoversi lateralmente.
  • Firewall di rete: è inadeguato per l'implementazione dello zero trust perché si basa su presupposti di attendibilità statici.
  • NGFW: è in grado di supportare alcuni dei principi dello zero trust, come la capacità di riconoscere utenti e applicazioni, ma in genere richiede strumenti aggiuntivi per l'implementazione completa.
  • Firewall zero trust: è progettato specificamente per allinearsi alle strategie zero trust, ed è la soluzione prediletta dalle organizzazioni che adottano integralmente questo modello.