Ancora poche settimane di attesa e potremo apprezzare le funzionalità di Kerio WinRoute 6.0, erede del primo Network Firewall per Windows a essere certificato da ICSA Labs, autorità nel campo della certificazione dei prodotti per la sicurezza. In questa recensione vedremo in anteprima le novità introdotte e le funzioni principali del programma, in fase avanzata di beta testing. La versione che ci viene messa a disposizione da Kerio Technologies è la Release Candidate 2. Kerio viene distribuito in Italia dalla milanese Coretech.
Chiariamo prima di tutto che si tratta di un prodotto complesso adatto
a proteggere reti di computer medio grandi, anche oltre le 1000 postazioni.
Gli utenti che devono mettere al sicuro un solo computer o una piccola
rete casalinga possono orientarsi invece verso un Personal Firewall, ad esempio
il Kerio Personal Firewall, gratuito per uso personale.
Prima di installare la beta di WinRoute è necessario disinstallare
qualsiasi firewall già presente sul sistema, per evitare conflitti
dei driver che operano a basso livello. Kerio dichiara il supporto di
Windows nelle versioni 2000, XP e 2003 server.
Il compito principale di un Network Firewall è di controllare tutto
il traffico in entrata e in uscita dalla rete applicando la politica di
sicurezza che abbiamo impostato. WinRoute prevede un wizard per aiutarci
a configurare la politica iniziale, mentre tutte le regole per protocolli
e utenti specifici devono essere aggiunte manualmente.
Il firewall può inoltre essere usato per condividere e proteggere
la connessione a Internet con gli altri computer della rete. WinRoute
6.0 supporta ogni tecnologia di connessione: dial-up, ISDN, ADSL, satellitare,
wireless. Per la condivisione possiamo scegliere fra il Network Address
Translation (NAT) e il Proxy Server.
WinRoute Administration
WinRoute è composto da tre applicazioni principali. Il nucleo
del firewall (Firewall Engine) viene eseguito come servizio
di Windows e può essere controllato tramite l'Engine Monitor,
che troviamo nella system tray. Il Monitor consente di definire le opzioni
di avvio del servizio e di aprire una connessione con la Administration
Console. La connessione (Fig. 1.2) può essere locale o
remota; in entrambi i casi dovremo inserire il nome del computer o l'indirizzo
IP e le credenziali di accesso, cioè nome utente e password, che
abbiamo definito in fase di installazione.
Salviamo la connessione appena creata, quindi premiamo Connect per far
apparire la console di amministrazione. Nel pannello Configurations selezioniamo
Interfaces se vogliamo vedere o modificare le connessioni
di rete riconosciute dal firewall (Fig. 1.3).
Usiamo il pulsante Add per aggiungere eventuali altre connessioni dial-up
o tunnel VPN. Le opzioni che troviamo nel pannello Connection
Failover servono per abilitare una connessione secondaria nel
caso in cui quella principale venga a mancare. Nella casella "Probe
hosts" possiamo inserire l'indirizzo IP di un computer online. Quando
il "ping" effettuato dal firewall darà esito negativo,
e quindi saremo probabilmente offline, si attiverà automaticamente
la connessione secondaria.
Non dobbiamo stupirci se, subito dopo l'installazione di WinRoute,
molte applicazioni non riusciranno a connettersi a Internet. Outlook,
Internet Explorer e i client FTP funzioneranno correttamente ma per
il resto, Instant messaging, Webmail, Peer to Peer...tutto semberà
congelato: il firewall ha già iniziato a mettere in riga le nostre
connessioni.
Entriamo nel pannello Traffic Policy per impostare le
politiche di sicurezza che sono il cuore pulsante del firewall (Fig. 2.1).
Se non ci soddisfano le regole di base preimpostate, eseguiamo il Wizard
per definirle meglio. Ogni volta che completiamo la configurazione guidata, però,
perdiamo anche tutte le regole definite manualmente.
La regola di default di WinRoute prevede il blocco di tutto il traffico
in entrata e in uscita. Le tre regole segnate in verde consentono l'uscita
di alcuni protocolli indispensabili per la navigazione e la posta elettronica.
Se proviamo a eliminare il servizio HTTP nella regola Firewall Traffic,
ad esempio, ci accorgiamo che nessun sito Internet sarà più
raggiungibile.
Vediamo ora come creare una regola personalizzata. Facciamo click su Add
e modifichiamo i campi della regola per poter utilizzare il programma
di messaggeria istantanea ICQ. Nel campo Source inseriamo
l'indirizzo del computer, il range di IP o il nome dell'utente che avrà
questo privilegio. La destinazione sarà "Any", qualsiasi.
Nel campo del servizio possiamo specificare una porta oppure selezionare
quello che ci interessa da un elenco. ICQ è già compreso nell'elenco,
quindi il nostro compito è facilitato. Infine impostiamo l'azione "Permit".
Ricordiamoci di fare click su Apply per applicare le modifiche appena
fatte.
Allo stesso modo possiamo aggiungere, rimuovere o modificare una qualsiasi
delle regole del firewall. Se vogliamo che un nostro server sia raggiungibile
dall'esterno, è sufficiente seguire le stesse regole invertendo
però i campi Source e Destination. Ad esempio un server web sul mio computer
dovrà avere Source
"any" e Destination "roberto". Gli ultimi due campi servono
per impostare la registrazione dei Log relativi alla regola e il
trasferimento NAT, quando presente.
Logs e alerts
Tutti gli eventi che riguardano la configurazione, la sicurezza o i dati
che transitano attraverso il firewall vengono visualizzati nel pannello
Logs. In Alert Messages troviamo invece gli eventi che
potrebbero richiedere la nostra attenzione, ad esempio un tentativo di
scansione delle porte del nostro sistema (Fig. 2.2) o una connessione
dialup attiva.
Un sistema di rilevamento delle intrusioni (IDS) analizza i tentativi
di accesso e ci avvisa in tempo reale. Non dobbiamo preoccuparci troppo
per la maggior parte di questi avvisi: grazie a WinRoute possiamo essere
completamente invisibili a "curiosi" esterni.
Utilizzando il firewall in ambiente aziendale o accademico, possiamo avere la necessità di restringere l'accesso a siti con contenuti offensivi o dannosi. Inoltre sappiamo che la posta elettronica, la condivisione di files, la normale navigazione possono nascondere insidie che sono in grado di minare la sicurezza della nostra rete.
WinRoute 6.0 offre un'ampia gamma di filtri adatti a gestire queste situazioni. Le politiche di sicurezza per i siti web vengono impostate dal pannello Content filtering > HTTP Policy (Fig. 3.1). Grazie a questo filtro possiamo definire le categorie di siti o elementi da bloccare in base a diversi parametri: fra gli altri la presenza di termini proibiti (è presente un vasto dizionario suddiviso in categorie) e la presenza di particolari sigle nell'URL (ad esempio "ads" per banners e pubblicità).
Per ogni regola è inoltre possibile stabilire se bloccare i contenuti
web particolari, come ActiveX e Java. La scansione del sistema
antivirus (Fig. 3.2), funzionalità rivista in questa nuova
versione, comprende la verifica dei protocolli FTP, HTTP e delle e-mail.
Gli allegati e in generale i file scaricabili dai siti web sono soggetti
a ulteriori restrizioni: possiamo dire a WinRoute di controllare oppure
ignorare tutti i file ".exe" e ".bat", o con qualsiasi
altra estensione.
Altra novità significativa è il Filtro AntiSpam,
che utilizza la tecnologia Cobion per riconoscere la posta indesiderata.
Per testare la validità di questo sistema dovremo aspettare, visto
che Cobion non è ancora stato implementato nella versione beta.
Una funzionalità che probabilmente risulterà subito antipatica
agli utenti della rete è il P2P Eliminator (in
Advanced Options), plugin che si adopera per bloccare qualsiasi tentativo
di condivisione Peer to Peer.
Tutta l'attività della rete viene riassunta dai grafici presenti
nella sezione Statistics, che includono informazioni
generali e per ogni singolo utente. I filtri Cobion dispongono di un grafico
a parte, dove si evidenziano tutte le richieste appartenenti alle categorie
con restrizioni. Molto essenziale è la scheda Connections,
che si rivela uno strumento di rapida consultazione per scoprire (ed eventualmente
chiudere) tutte le connessioni in corso nella rete.
Oltre alla gestione locale o remota della console amministrativa porta 44333), Kerio WinRoute dispone di un pannello di controllo web che è raggiungibile dal browser alla porta 4080 (oppure 4081 per il protocollo Secure-HTTP). In questo modo potremo sempre avere il firewall sotto controllo, anche quando non abbiamo a portata di mano il software principale. Le opzioni per la console via web sono disponibili nella scheda Advanced Options > Web Interface.
Per quanto riguarda l'acquisto delle licenze, per il prodotto completo di Antivirus e Cobion OrangeFilter, il minimo si attesta sui 900 dollari circa (300 per il solo firewall, fino a 10 utenti). Per le reti oltre i 1000 utenti si può arrivare oltre i 15.000 dollari.
Kerio WinRoute Firewall 6.0 dà l'impressione di essere un prodotto solido, che non ha difficoltà a gestire reti di grosse dimensioni e progettato con un occhio di riguardo per l'usabilità, nonostante la mole di opzioni e filtri che offre. La cronologia che riguarda le falle delle versioni precedenti conta quattro elementi, dove i più importanti riguardavano un crash a causa di headers HTTP malformati e un Denial of Service dell'interfaccia di amministrazione remota.
