Un guard firewall (spesso chiamato cross-domain guard o high-assurance guard) è un apparecchio di sicurezza specializzato progettato per applicare rigide politiche di flusso di informazioni tra reti di diversa classificazione di sicurezza (es. Non Classificato ↔ Segreto, o IT ↔ OT). A differenza dei firewall convenzionali che filtrano per IP/porta/protocollo, i guard ispezionano contenuto, struttura e semantica a livello applicativo.
Differenza Fondamentale: Guard vs Firewall Tradizionale
| Capacità | Firewall Tradizionale | Guard Firewall |
|---|
| Profondità di ispezione | L3/L4 (IP, porta, protocollo) + firme L7 | Validazione semantica completa L7 (schema, struttura, policy) |
| Modello di policy | Consenti/nega per 5-tuple + firme app | Trasformazione e validazione di contenuto strutturato |
| Direzionalità | Bidirezionale (stateful) | Spesso unidirezionale (data diode) o bidirezionale strettamente controllata |
| Assunzione di fiducia | Il traffico è generalmente considerato attenduto una volta consentito | Zero trust: tutti i payload validati, trasformati, sanificati |
| Certificazione | ICSA, EAL2–4 | Common Criteria EAL 4–7, NIAP, NSA Raise the Bar |
| Caso d'uso | Perimetro aziendale, segmentazioni | Soluzioni cross-domain (CDS), reti classificate, infrastrutture critiche, nucleare, difesa |
Funzioni e Tecnologie Chiave
1. Validazione di Contenuto Strutturato
- Validazione schema XML/JSON (XSD, JSON Schema) — rifiuta messaggi malformati/non conformi.
- Parser specifici per protocollo: MIL-STD-6016 (Link 16), NMEA, MAVLink, DICOM, HL7, MODBUS, DNP3, OPC UA.
- Whitelist elementi/attributi/valori consentiti — blocca campi sconosciuti/estendibili.
2. Trasformazione e Sanificazione dei Dati
- Rimuovi metadati (EXIF, commenti, livelli nascosti).
- Redigi campi sensibili (PII, marcature di classificazione).
- Converti formati: XML ↔ JSON, proprietario → standard.
- Normalizza encoding (UTF-8, XML canonico).
3. Prevenzione Malware e Minacce
- Ispezione profonda file: motori AV (multipli), sandboxing, CDR (Content Disarm & Reconstruction) — ricostruisce file pulito dalla struttura parsata.
- Blocca contenuto attivo: macro, script, OLE embedded, poligloti.
4. Controllo del Flusso e Limitazione della Velocità
- Applica banda, velocità di messaggio, quote di dimensione per policy.
- Previene esfiltrazione dati tramite canali nascosti (tempistiche, padding).
5. Audit e Non Ripudiabilità
- Log di audit immutabili (archiviazione WORM, ancoraggio blockchain).
- Firme digitali su ogni decisione (consenti/nega/trasforma).
- Cattura completa payload (configurabile) per forense.
6. Alta Disponibilità e Ridondanza
- Attivo/attivo o attivo/standby con sincronizzazione stato.
- Evidenza manomissione hardware, HSM FIPS 140-2/3 per archiviazione chiavi.
Architetture di Implementazione
Unidirezionale (Data Diode + Guard)
Percorso fisico unidirezionale (diodo ottico) da Lato Basso → Lato Alto. Guard sul lato Alto valida in entrata. Nessun canale di ritorno. Usato: dati sensori in rete classificata, storico → azienda.
Coppia di Guard Bidirezionali
Due guard (Basso→Alto, Alto→Basso) con policy indipendenti. Ognuno valida, trasforma, registra. Usato: gateway email, trasferimento file, chat, bridging API.
Architettura Red/Black/Gray
- Red: Classificato / OT / Sicurezza critica.
- Black: Non classificato / IT / Internet.
- Gray: Apparecchio guard (base di computing attendibile).
Principali Fornitori e Prodotti
- Owl Cyber Defense: data diode, guard bidirezionali (Owl CTF).
- Forcepoint: High Assurance Guard, Cross Domain Solutions.
- Raytheon / RTX: Trusted Thin Client, Cross Domain Desktop Compositor.
- BAE Systems: XTS-400, STOP OS, prodotti Guard.
- Nexor: Merlin, Sentinel (UK MoD, NATO).
- Titus / Boldon James: guard consapevoli delle etichette (applicazione classificazione dati).
- Advenica: SecuriCDS (difesa svedese, infrastrutture critiche).
Driver Normativi e di Compliance
- DoD USA: DoDI 8540.01 (Cross Domain Policy), DCID 6/3, ICD 503.
- ICD 503: Sicurezza IT Comunità Intelligence — impone guard per TS/SCI ↔ inferiore.
- Nucleare (NRC): Reg Guide 5.71 — sicurezza informatica per impianti.
- Infrastrutture Critiche (CISA): IEC 62443, NERC CIP — separazione IT/OT.
- Alleati/NATO: NATO AComP-4718, STANAG 4406.
Quando Hai Bisogno di un Guard?
- Collegare reti con diversi livelli di classificazione (es. Segreto → Non Classificato).
- Convergenza IT/OT dove i sistemi di sicurezza non devono essere raggiungibili dall'IT aziendale.
- Scambio di dati regolamentato (difesa, intelligence, nucleare, finanza SWIFT, sanità PII).
- Catena di fornitura: accesso venditore a OT senza VPN/desktop remoto.
Per la tipica azienda IT, un next-gen firewall (Palo Alto, Fortinet, Check Point) + architettura zero trust è sufficiente. I guard sono per quando un singolo pacchetto errato può causare perdita di vite umane, violazione della sicurezza nazionale o catastrofe normativa. Costano da 100.000 a 2.000.000+ $ e richiedono personale specializzato.
