Nel pacchetto di protezione dei computer oltre all’antivirus è molto importante il firewall, che spesso è incluso nella suite. Ha il compito ben preciso di proteggere ingressi ed uscite software dalla macchina, in modo da non infettarla con file sospetti o maligni.
A livello teorico non è difficile spiegare il suo funzionamento, ma in realtà vi sono implementate tecniche molto sofisticate per riuscire ad individuare file innocui da quelli pericolosi o potenzialmente dannosi.
Oggi tutti gli antivirus sono dotati di firewall ed è praticamente indispensabile equipaggiare il proprio computer con ogni mezzo possibile per proteggerlo dalle insidie della rete. Le proposte sul mercato sono parecchie, ognuna con i suoi pro e i contro.
Un firewall è in poche parole un software o un’apparecchiatura di rete che filtra il traffico. Quando parliamo di filtraggio, possiamo parlare di proibizione o limitazioni in ingresso e in uscita di processi informatici.
Come viene filtrato il traffico di rete
Un firewall è quindi un anello dell’arsenale della protezione e della sicurezza del computer. Su Windows, i firewall possono agire in modi diversi. Ad esempio limitare la possibilità di accesso a Internet alla rete per una particolare applicazione o componente di Windows.
Oppure possono bloccare le connessioni da o verso un indirizzo IP specifico. Ciò consente di fermare un servizio Internet specifico. I firewall funzionano in entrambi i modi, poiché possono bloccare il traffico in entrata e in uscita.
Connessione in entrata: una connessione da un computer sulla stessa rete o all’esterno della rete al computer in cui è installato il firewall. Nel caso di un computer pubblico, potrebbe trattarsi di una connessione da Internet.
Connessione in uscita: una connessione dal computer in cui è installato il firewall a un dispositivo sulla stessa o su un’altra rete. Di solito si tratta di Windows o di un’applicazione di terze parti che si connette a Internet, ad esempio collegandosi a un sito WEB per scaricare una pagina o un file.
Un firewall consente quindi di proteggere le connessioni in entrata dannose, come le scansioni dall’esterno (spesso tramite Internet) o il blocco dei tentativi di infezione automatici da parte dei worm del computer.
Il filtraggio delle connessioni in uscita aiuta a prevenire o limitare il download e l’installazione di malware, il blocco delle connessioni al server di controllo o l’utilizzo del computer per scopi dannosi.
Il firewall su Windows esegue costantemente la scansione dell’attività delle applicazioni per consentire o negare le connessioni di rete.
Cos’è un antivirus con firewall
Il firewall funziona in base a regole che consentono o vietano la connessione ad applicazioni specifiche o regole che possono vietare le connessioni da / a uno o più indirizzi IP specifici.
Ogni volta che viene stabilita una connessione, il firewall verifica se una regola corrisponde e la applica per consentire o vietare la creazione della connessione.
Ad esempio consentendo il processo iexplore.exe. è possibile la connessione al sito di Google. Quindi, se trasformiamo Internet Explorer in rosso, scatta il divieto e la connessione a Google restituisce un errore.
I firewall di Windows funzionano principalmente tramite autorizzazione sulle applicazioni, ma è possibile creare regole su un IP o sulle porte. Quando un programma desidera stabilire una connessione in entrata o in uscita, il firewall interromperà immediatamente la connessione e chiederà quale azione intraprendere.
Di solito puoi scegliere tra: Autorizza una volta la connessione; Consenti sempre la connessione; Blocca una volta la connessione; Blocca sempre la connessione.
Comprendi che queste regole sono molto importanti, se consenti il software dannoso, sarà in grado di connettersi e la connessione al centro di controllo sarà efficace.
Da quel momento in poi, il trojan sarà in grado di eseguire operazioni nocive, come l’invio di password recuperate dal computer. Quando si installa un firewall su Windows, questo esegue la scansione del computer e consente le applicazioni Windows.
Chiaramente, per rendere le cose più facili, l’editor del firewall offre regole già pronte.
Funzionamento tecnico
Quando una nuova applicazione sconosciuta tenta di connettersi, si aprirà un popup chiedendo il permesso all’utente. È quest’ultimo che determina se l’applicazione deve avere o meno accesso al computer.
Un firewall blocca automaticamente qualsiasi connessione non autorizzata. I firewall sono quindi estremamente utili per prevenire l’installazione di malware o bloccare il funzionamento dei virus. Per comprenderlo appieno, dobbiamo sapere come vengono distribuiti i virus e come vengono installati nei computer.
Il firewall può entrare in gioco quando un Trojan Downloader tenta di scaricare contenuti dannosi da Internet. Bloccando il Trojan Downloader, non sarà possibile scaricarlo e installarlo sul computer.
Il firewall può anche essere utile per bloccare la comunicazione tra il trojan e il server di controllo.
Se il trojan non riesce a connettersi, non sarà in grado di scambiare informazioni e quindi fornire i dati rubati. Nessun ordine può essere ricevuto, non può essere eseguito alcun aggiornamento del trojan per sfuggire ai rilevamenti antivirus. Quindi può interrompere e limitare il malware sul tuo computer.
Nessuna protezione salva al 100%
Ovviamente, gli autori di malware cercano di aggirare queste protezioni, in modo da poter installare virus su Windows. Come ogni protezione, questa non è sicura al 100%. I limiti possono essere anche tecnici, molti antivirus per ridurre le notifiche configurano automaticamente l’accesso ai processi.
Le nuove tecniche possono essere utilizzate da malware / virus per aggirare le regole prestabilite ed essere in grado di connettersi al server di controllo. Una delle tecniche più comuni è la seguente.
Un malware / virus prende il controllo e manipola i processi di sistema, il più comune è svchost.exe. Tuttavia, questo processo richiede l’accesso a Internet affinché le funzionalità di Windows siano efficaci, soprattutto per Windows Update.
C’è quindi una buona possibilità che una regola prestabilita consenta a svchost.exe di accedere a Internet. Sfruttando regole predefinite troppo flessibili, è quindi molto probabile che il programma dannoso possa connettersi al server di controllo.
Con l’avvio di un processo svchost.exe il firewall avrà creato l’accesso a questo processo. La difficoltà per gli editor è quella di offrire le regole di default più efficaci, senza penalizzare l’utente (troppi popup, crash o problemi quotidiani) e soprattutto per i neofiti.
Il grosso problema di certi tipi di infezione è l’uso dei processi di sistema di Windows che il firewall consente per impostazione predefinita. Pertanto, wscript, powershell, rundll32 o anche regsvr32.exe sono autorizzati.
Microsoft ha aggiunto un firewall a Windows
A partire da Windows XP Service Pack 2 e dall’epidemia di worm, Microsoft ha aggiunto un firewall a Windows. Quest’ultimo filtra le connessioni in entrata e in uscita da Windows Vista.
In Windows 10, si chiama Windows Defender Firewall. Il firewall di Windows è disponibile in due forme, di cui una forma semplificata con regole per applicazioni o porte.
Le impostazioni sono accessibili dal Pannello di controllo di Windows, Windows Firewall. Il firewall di Windows potrebbe essere sufficiente, con alcune modifiche alle regole predefinite.
In effetti, per impostazione, il firewall di Windows consente a determinati processi di connettersi internamente come wscript.exe (Windows Script Hosting, script dannosi su Windows) o Powershell (PowerShell virus).
Ciò consente di creare script per scaricare l’installazione di un trojan. Pertanto, il blocco di questi processi utilizzando Windows Firewall può migliorare notevolmente la sicurezza di Windows.
