Il firewall non è più solo “il portiere della rete”. Con utenti distribuiti, SaaS e traffico cifrato, serve una piattaforma capace di ispezionare applicazioni, bloccare minacce note, riconoscere comportamenti anomali e integrarsi con identità, endpoint e cloud. Questa guida in 5 mosse (+1 bonus) ti aiuta a scegliere in modo lucido: capirai differenze tra Firewall, NGFW, UTM e Advanced UTM, come dimensionare correttamente, quali funzioni contano davvero, come valutare la gestione quotidiana e come costruire un budget sostenibile nel tempo.
1) Visualizzare bisogni e servizi di sicurezza necessari
Parti dagli obiettivi di protezione, non dal catalogo prodotti.
- Firewall “classico”: controlla porte/protocolli e segmenta la rete. Utile, ma insufficiente con minacce che viaggiano su HTTP/HTTPS/SMTP.
- NGFW (Next-Generation Firewall): introduce ispezione del traffico applicativo (Layer-7), IPS (prevenzione intrusioni) e app control per policy granulari su utenti e applicazioni.
- UTM (Unified Threat Management): integra in un unico stack antivirus gateway, anti-spam, web/content filtering, DNS security e gestione centralizzata.
- Advanced UTM: aggiunge sandboxing e threat intelligence, utili contro zero-day e payload sconosciuti.
Traduzione operativa: in contesti moderni, il livello minimo realistico è NGFW + web/DNS filtering; in ambienti esposti, completa con IPS + sandboxing + TLS inspection.
2) Conoscere se stessi (e la propria rete)
Una buona scelta nasce da un buon inventario. Raccogli i dati che orientano dimensionamento e funzioni:
- Utenti e device: numero massimo concorrente, crescita prevista.
- Server/servizi: on-prem, cloud, pubblicazioni verso Internet.
- Connettività: numero di linee, banda di picco per ciascuna, uso SD-WAN.
- VPN: quante site-to-site e quante client-to-site contemporanee, con cifrature richieste.
- Segmentazione interna: VLAN/zone (server, utenti, ospiti, OT) e banda laterale prevista.
- Traffico cifrato: percentuale stimate di HTTPS da ispezionare (impatta molto sul throughput).
Questo quadro evita under/over-provisioning e riduce sorprese in produzione.
3) Valutare efficacia e qualità dei servizi
Non tutti i “pacchetti sicurezza” sono uguali. Confronta elementi misurabili:
- Efficacia IPS/AV: copertura firme, frequenza aggiornamenti, qualità delle regole proattive.
- Controllo applicazioni: profondità del riconoscimento L7 e granularità delle policy (es. consentire Teams ma bloccare file-sharing personali).
- URL/Web filtering: ampiezza e freschezza delle categorie; protezione da C2 ed exfiltration.
- Sandboxing: tempi di analisi, tassi di rilevazione, integrazione automatica con le policy di blocco.
- Threat intelligence: fonti, latenza negli update, possibilità di liste personalizzate.
- TLS inspection: gestione certificati, esclusioni sensibili (banking/health), impatto su performance.
Cerca report, test di terze parti e PoC con traffico reale della tua rete.
4) Semplificare uso e gestione quotidiana
La sicurezza funziona se è gestibile. Valuta console e workflow:
- Interfaccia: chiarezza nel creare regole, cercare nei log, diagnosticare.
- Automazioni: aggiornamenti, policy template, zero-touch provisioning per filiali, playbook per eventi (es. quarantena IP/utente).
- Integrazioni: directory (AD/Azure AD), SIEM/SOAR, EDR/MDR, ticketing, DNS security.
- Visibilità: report schedulati per direzione e audit, drill-down fino alla sessione utente.
Se preferisci delegare, considera un servizio gestito con SLA chiari: meno carico operativo, più continuità.
5) Valutare budget e costo nel tempo (TCO)
Guarda oltre il prezzo dell’appliance. Il costo reale vive su più voci:
- Hardware/appliance: capacità critiche non “a brochure” ma con servizi attivi (DPI + IPS + TLS inspection).
- Licenze di sicurezza: bundle AV/IPS/web/DNS, sandboxing, threat intel.
- Supporto e garanzia: tempi di sostituzione, accesso TAC, aggiornamenti firmware.
- Operatività: ore/uomo interne o canone del servizio gestito.
- Orizzonte: annuale e triennale per confronti alla pari.
Obiettivo: massimizzare il costo per risultato (minacce bloccate, incidenti contenuti, tempo di risposta) e non solo minimizzare la spesa iniziale.
+1) Dimensionare in modo corretto (la mossa bonus che salva i progetti)
Il dimensionamento è la differenza tra un’ottima architettura e un collo di bottiglia. Verifica sempre:
- Throughput “con tutto acceso”: il dato che conta è con IPS + web filtering + TLS inspection abilitati.
- Connessioni/sec e sessioni simultanee: essenziali per API, e-commerce, smart working.
- Accelerazione hardware: motori dedicati per cifratura e pattern matching.
- Alta Affidabilità (HA): coppia active/active o active/passive con failover testato.
- Crescita: spazio per +30/50% di traffico e nuove sedi senza riprogettare tutto.
Completa con un PoC di 2–4 settimane su traffico reale, così misuri latenza, falsi positivi e impatti applicativi prima dell’acquisto.
Checklist tecnica essenziale prima della scelta
- Policy minime definite (ingresso/uscita, inter-VLAN, utenti/ruoli).
- Necessità di ispezione TLS chiarite e certificate CA pronte alla distribuzione.
- Mappatura VPN (tipi, cifre, concorrenti).
- Integrazione con identity e SIEM confermata.
- Piano di HA e backup/restore configurazione.
- Reportistica per direzione e audit predisposta.
KPI da monitorare dopo il go-live
- % di traffico ispezionato (incl. TLS) e tasso di blocco per categoria minaccia.
- Tempo di contenimento dall’alert all’applicazione della regola.
- Falsi positivi/mese e impatto sulla produttività.
- Disponibilità in HA e successo dei test di failover.
- Conformità: revisioni periodiche delle eccezioni e delle regole “legacy”.
Esempio di percorso 30-60-90 giorni
- 0–30 giorni: assessment flussi, hardening base, logging completo, policy minime.
- 31–60 giorni: attivazione IPS + web/DNS filtering + app control, pilota TLS inspection su un reparto, tuning.
- 61–90 giorni: estensione ispezione TLS, sandboxing per file ad alto rischio, integrazione con SIEM/SOAR, report mensili per direzione.
Conclusione
Scegliere il firewall giusto significa allineare sicurezza, gestione e costi agli obiettivi del business. Con bisogni chiari, valutazioni oggettive e un dimensionamento serio, ottieni visibilità profonda e controllo coerente tra sedi e cloud. Se vuoi una valutazione comparativa con PoC guidato, dimensionamento “con tutto acceso” e un TCO triennale pronto per la direzione, Sfera Informatica può accompagnarti dalla selezione al go-live con policy e KPI misurabili.
