CompTIA SY0-701: Sicurezza e Architettura di Rete — Guida allo studio

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

Fa parte della CompTIA Security+ SY0-701 — Guida allo studio. Esercitati con risposte verificate nel centro esami CompTIA, oppure fai test cronometrati su ExamRoll.io.

L’architettura della sicurezza di rete è la disciplina che consiste nell’organizzare dispositivi, controlli e flussi di traffico in modo che l’attività dannosa sia contenuta, monitorata e bloccata, mentre la comunicazione aziendale legittima procede senza impedimenti. Combina policy espresse come regole, confini strutturali espressi come segmentazione e protezioni crittografiche espresse come tunnel, il tutto rafforzato dall’hardening a livello di host e porta.

Regole del Firewall e Liste di Controllo degli Accessi (ACL)

Una regola di firewall, che sia scritta su un’appliance stateful o come una ACL di un router, valuta il traffico rispetto a una quintupla: indirizzo di origine, indirizzo di destinazione, porta di origine, porta di destinazione e protocollo. Le regole vengono elaborate dall’alto verso il basso e la prima corrispondenza prevale (first match wins). Questo ordine è estremamente importante. Una regola che permette traffico any any posizionata sopra una regola di deny specifica rende quel deny privo di significato. Allo stesso modo, ogni set di regole ben progettato termina con un implicit deny (negazione implicita), una regola non scritta onnicomprensiva (catch-all) che scarta tutto ciò che non è esplicitamente permesso.

Si consideri una policy che limita il DNS in uscita in modo che solo un resolver interno designato all’indirizzo 10.50.10.25 possa interrogare server esterni su UDP/53:

access-list OUTBOUND permit udp host 10.50.10.25 any eq 53
access-list OUTBOUND deny   udp any any eq 53
access-list OUTBOUND permit ip  any any

L’ordine è critico: la regola di permit specifica precede quella di deny generica, e nessun altro host può raggiungere il DNS esterno. Per bloccare una sorgente in entrata nota per essere dannosa, come 10.1.4.9, la corrispondente regola in entrata è semplice:

access-list INBOUND deny ip host 10.1.4.9 any

Posizionata in cima alla lista delle regole in entrata (inbound), garantisce che l’indirizzo venga scartato prima che qualsiasi istruzione di permit possa corrispondere.

I firewall possono essere configurati per fail-open (permettere il traffico in caso di guasto) o fail-closed (negare tutto il traffico). Il fail-open preserva la disponibilità ma sacrifica la sicurezza; il fail-closed fa l’opposto. La scelta deve essere deliberata, basata sul fatto che il segmento dia priorità all’uptime (un reparto di produzione) o alla riservatezza (un’enclave di elaborazione dei pagamenti).

Segmentazione, VLAN e Controlli di Geolocalizzazione

La segmentazione divide una rete piatta (flat network) in domini di broadcast e di trust più piccoli. Le VLAN impongono una separazione a Livello 2 su switch condivisi, mentre le sottoreti instradate (routed subnets) e i firewall impongono confini a Livello 3. Un’azienda tipica separa le workstation degli utenti, i server, i telefoni VoIP, il Wi-Fi per gli ospiti, i dispositivi IoT e le interfacce di gestione in VLAN distinte, ciascuna governata da ACL inter-VLAN. La segmentazione limita il movimento laterale: se un ransomware si attiva su una VLAN utente, non può immediatamente spostarsi (pivot) sulla VLAN dei database senza attraversare confini filtrati.

La geolocalizzazione IP estende la segmentazione in modo logico. Se l’azienda opera solo in Nord America, le regole del firewall o i feed di geo-IP possono scartare le connessioni provenienti da altre regioni, riducendo drasticamente la superficie di attacco per il traffico di tipo brute-force e di ricognizione. La geolocalizzazione non sostituisce l’autenticazione — gli aggressori usano VPN e proxy — ma è un efficace filtro grossolano.

Dispositivi Perimetrali: NGFW, IDS/IPS e WAF

Un next-generation firewall (NGFW) estende l’ispezione stateful tradizionale con la consapevolezza delle applicazioni (application awareness), l’integrazione dell’identità dell’utente, la decrittazione TLS e i feed di threat intelligence. Laddove un firewall tradizionale vede “TCP/443 verso 8.8.8.8”, un NGFW vede “l’utente jsmith che utilizza Dropbox per caricare un file classificato come PII”.

Gli Intrusion Detection Systems (IDS) e gli Intrusion Prevention Systems (IPS) analizzano il traffico confrontandolo con firme e baseline comportamentali. La distinzione fondamentale: un IDS è out-of-band e passivo — tipicamente alimentato da una porta SPAN o un network tap — e può solo generare avvisi (alert). Un IPS è inline, si trova nel percorso del traffico, e può scartare (drop), resettare o mettere in quarantena i flussi dannosi in tempo reale. Implementare un IDS dove è richiesta la prevenzione lascia gli attacchi visibili ma non mitigati; implementare un IPS senza un’attenta messa a punto (tuning) rischia di bloccare il traffico legittimo. La scelta si basa sulla missione: il monitoraggio e la forense richiedono un IDS, l’applicazione attiva delle policy (enforcement) richiede un IPS.

Un Web Application Firewall (WAF) opera a Livello 7 e comprende specificamente la semantica HTTP/HTTPS. Analizza (parsa) le richieste per rilevare SQL injection, cross-site scripting e abusi della logica applicativa. Un WAF non è un IPS generico: protegge specificamente le applicazioni web ed è posizionato direttamente di fronte ai server web o integrato in un reverse proxy o in una CDN. Al contrario, un IPS copre protocolli più ampi ma manca del contesto applicativo approfondito necessario per intercettare un payload UNION SELECT appositamente creato e nascosto nel corpo di una richiesta POST.

Load Balancer e Filtraggio dei Contenuti

I load balancer distribuiscono le connessioni dei client su un pool di server di backend utilizzando algoritmi come round-robin, least-connections o weighted hashing. Oltre alle prestazioni, consentono la disponibilità elastica: aggiungere o sostituire un server di backend richiede solo l’aggiornamento del pool, senza alcuna interruzione visibile dal lato client. Questo rende i load balancer la soluzione di riferimento quando il requisito è uno sforzo operativo minimo per aggiungere o sostituire capacità. I load balancer moderni terminano anche la connessione TLS, eseguono health check e si integrano con servizi WAF e di scrubbing DDoS.

I filtri di contenuto e i secure web gateway ispezionano il traffico utente in uscita, bloccando l’accesso a categorie come malware, phishing o contenuti che violano le policy, e spesso applicano un filtraggio a livello DNS come ulteriore linea di difesa.

VPN e Tunnel Crittografati

Le Virtual Private Network (VPN) forniscono riservatezza e integrità per il traffico che attraversa reti non attendibili. IPsec opera al Livello 3 e può proteggere qualsiasi traffico IP; utilizza IKE (Internet Key Exchange) per la negoziazione e AH (Authentication Header, solo integrità) o ESP (Encapsulating Security Payload, integrità e riservatezza). Le VPN SSL/TLS operano ai Livelli 4–7, tipicamente tramite un browser web o un client leggero, e sono più facili da implementare attraverso NAT e firewall rispetto a IPsec. WireGuard è un protocollo VPN moderno con una codebase minimale che utilizza Curve25519 per lo scambio di chiavi e ChaCha20-Poly1305 per la crittografia, offrendo prestazioni significativamente migliori rispetto a OpenVPN o IPsec in molti scenari.

Lo Split tunneling instrada attraverso la VPN solo il traffico destinato alla rete aziendale, mentre il traffico Internet esce localmente. Questo riduce il carico di banda sulla VPN, ma significa che le minacce provenienti da Internet bypassano i controlli di sicurezza aziendali. La VPN in modalità Full-tunnel instrada tutto il traffico attraverso il gateway aziendale, abilitando il content filtering e l’ispezione DLP al costo di una maggiore latenza e larghezza di banda.

Scenario Pratico: Movimento Laterale tramite Rete Piatta

Un’azienda di servizi professionali gestiva tutte le workstation, i server e le stampanti su una singola sottorete /16 senza alcuna segmentazione interna. Quando un utente malintenzionato ha ottenuto l’accesso iniziale tramite un’email di phishing sulla workstation di un analista junior, ha utilizzato nmap per scoprire 847 host raggiungibili, ha identificato un file server Windows Server 2012 R2 non patchato, ha sfruttato la vulnerabilità MS17-010 (EternalBlue) per ottenere l’accesso SYSTEM e ha poi utilizzato quel punto d’appoggio per raggiungere il domain controller. L’intera fase di movimento laterale è durata meno di quattro ore. Se la rete fosse stata segmentata — con le workstation su una VLAN separata dai server e con regole firewall tra le VLAN che consentissero solo i protocolli necessari — la workstation dell’analista non sarebbe stata in grado di raggiungere il file server su SMB/445, e la catena d’attacco si sarebbe interrotta al primo pivot.

← Minacce · Tutti i domini · Operazioni di Sicurezza →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →