Secure by Design nella pratica: un anno di progressi per Sophos Firewall

Un anno fa abbiamo pubblicato il nostro aggiornamento sui progressi del programma Secure by Design 2025, analizzando gli impegni assunti rispetto ai sette pilastri dell'iniziativa Secure by Design della CISA. Da allora sono accadute così tante cose – sia all'interno del nostro portafoglio prodotti sia nel panorama delle minacce – che un unico aggiornamento annuale non è più sufficiente per raccontarle in modo adeguato.

Per questo abbiamo deciso di pubblicare aggiornamenti dedicati ai singoli prodotti, iniziando da quello dove la posta in gioco è più alta: il firewall.

I dispositivi posti al perimetro della rete continuano a rappresentare la categoria di obiettivi più interessante per gli attaccanti. Operano sui confini della fiducia, sono tradizionalmente poco monitorati dall'intero settore e, come abbiamo documentato nella nostra ricerca Pacific Rim, avversari ben organizzati dedicano anni a studiarli, arrivando perfino ad attaccare le aziende che li producono. Negli ultimi dodici mesi nulla ha modificato questa valutazione. Anzi, gli strumenti di attacco potenziati dall'intelligenza artificiale hanno ulteriormente ridotto il tempo che intercorre tra la scoperta di un'opportunità e il suo sfruttamento, un cambiamento che abbiamo analizzato nell'articolo "The vulnerability flood is here".

Questo aggiornamento illustra ciò che abbiamo sviluppato per Sophos Firewall nell'ultimo anno, gli insegnamenti tratti dalla campagna FortiBleed, il modo in cui il nostro lavoro si allinea alle linee guida del National Cyber Security Centre (NCSC) sulla digital forensics per i produttori di dispositivi di rete e gli impegni che ci assumiamo per il futuro.

FortiBleed: una verifica dell'efficacia delle impostazioni predefinite

Nel giugno 2026 un vasto archivio contenente credenziali esposte di dispositivi Fortinet, ribattezzato FortiBleed, è emerso nell'ambito di una più ampia campagna contro dispositivi di rete perimetrali, che ha portato la CISA a pubblicare un avviso dedicato al rafforzamento della sicurezza. Anche Sophos è stata interessata da attività correlate: tentativi di forza bruta e credential stuffing contro account utente presenti su firewall Sophos esposti a Internet.

Per i clienti Sophos si è trattato esclusivamente di tentativi di individuazione delle password, non dello sfruttamento di vulnerabilità. Non abbiamo riscontrato alcuna vulnerabilità coinvolta né evidenze di compromissioni diffuse.

Le decisioni prese negli anni per rafforzare la sicurezza delle configurazioni predefinite hanno dimostrato la loro efficacia: nessuna credenziale predefinita; interfacce di amministrazione web e portali utente non esposti sulla WAN per impostazione predefinita; CAPTCHA attivo sul portale utente; autenticazione multifattore (MFA) obbligatoria sui portali; funzione Health Check della versione v22 in grado di segnalare configurazioni rischiose rispetto ai benchmark CIS.

Nonostante ciò, dall'analisi dell'incidente abbiamo tratto due importanti insegnamenti.

Il primo riguarda la fase di registrazione dell'autenticazione multifattore. Gli account esistenti ma mai utilizzati – situazione particolarmente frequente quando la sincronizzazione con Active Directory importa utenti inattivi o account di servizio – non avevano ancora configurato l'MFA. Di conseguenza, il primo soggetto che riusciva ad autenticarsi era autorizzato a registrare il proprio secondo fattore. Se un attaccante fosse riuscito a indovinare la password di uno di questi account tramite un attacco di forza bruta sul portale utente, avrebbe potuto diventare il primo utilizzatore dell'account e configurare legittimamente il proprio dispositivo MFA. Abbiamo riprogettato completamente questo processo.

I codici QR per l'attivazione dell'MFA vengono ora inviati tramite e-mail anziché essere mostrati direttamente nel portale. In questo modo il primo accesso richiede la dimostrazione del controllo della casella di posta elettronica dell'utente e non soltanto la conoscenza della password. Se non utilizzati, i codici scadono automaticamente dopo 24 ore e questa modalità di registrazione via e-mail rappresenta ora la configurazione predefinita per le nuove installazioni. Parallelamente sono in fase di sviluppo un sistema dinamico di blocco contro gli attacchi di forza bruta e il supporto all'autenticazione MFA anche per l'accesso SSH.

La seconda lezione riguarda i tempi necessari per dimostrare che nessun cliente fosse stato compromesso. Disponiamo degli strumenti di osservabilità necessari per verificarlo, ma raccogliere queste prove su centinaia di migliaia di dispositivi ha richiesto più tempo e più lavoro manuale di quanto avremmo desiderato. Questa esperienza ha influenzato direttamente i nostri investimenti in telemetria e capacità forensi, descritti nelle sezioni successive, inclusa la raccolta centralizzata dei tentativi di autenticazione falliti inviati a SophosLabs. Il nostro obiettivo è trasformare la base installata di Sophos Firewall in quello che riteniamo possa diventare uno dei migliori sensori del settore per individuare campagne di attacco contro dispositivi perimetrali. Quando si verificherà una nuova campagna simile a FortiBleed, vogliamo essere in grado di capire chi viene preso di mira, da dove provengono gli attacchi e con quale estensione, nell'arco di poche ore anziché di diversi giorni.

Le novità introdotte quest'anno

Quando la versione v22 è entrata nella fase di Early Access avevamo già illustrato le principali novità architetturali: un control plane completamente riprogettato e containerizzato, un kernel 6.6+ rafforzato con KASLR, stack canaries e hardened usercopy, l'integrazione del Sophos XDR Linux Sensor per il monitoraggio remoto dell'integrità dei dispositivi e la funzionalità Health Check. Oggi v22 è la versione firmware più diffusa tra i nostri clienti e il lavoro svolto quest'anno si basa proprio su queste fondamenta.

Sophos Linux Sensor (SLS) su SFOS

Con la versione v22 MR1, Sophos Linux Sensor è ora disponibile sull'intera gamma di appliance XGS, compreso il modello più piccolo, XGS 88. Il sensore è in grado di rilevare comportamenti tipici della fase di post-exploitation, come accessi tramite shell interattive, reverse shell e attività di comando e controllo (C2) correlate. L'aspetto più importante è che le regole di rilevamento possono ora essere aggiornate over-the-air, indipendentemente dagli aggiornamenti del firmware. Stiamo inoltre realizzando una pipeline CI/CD dedicata ai contenuti di rilevamento, sviluppata congiuntamente dai team di ingegneria Network Security, SophosLabs e dai nostri team interni di detection and response. Per quanto ne sappiamo, nessun altro produttore di firewall dispone di una capacità di rilevamento comportamentale distribuita in modo continuo e su larga scala direttamente sulle appliance. La prevenzione è l'obiettivo ideale. La capacità di rilevamento è indispensabile.

Telemetria completamente tracciabile

Le installazioni virtuali e software di Sophos Firewall richiedono ora la registrazione prima di poter essere utilizzate. Abbiamo eliminato la possibilità di rinviare la registrazione, che in precedenza consentiva di eseguire istanze anonime e non registrate. Questa modifica elimina una modalità utilizzata da attaccanti — e talvolta anche da ricercatori di sicurezza con finalità poco chiare — per analizzare il nostro software senza essere identificati. Ogni installazione è ora associata a un'identità all'interno della nostra telemetria.

Rafforzamento delle fondamenta

Si tratta forse di interventi meno appariscenti, ma altrettanto importanti. Abbiamo infatti aggiornato la toolchain di compilazione di SFOS utilizzando versioni recenti di GCC e glibc, beneficiando delle più moderne mitigazioni contro gli exploit; continuato a ridurre i percorsi di esecuzione privilegiati, eliminando l'utilizzo di sudo in diversi componenti; ampliato l'analisi statica del codice tramite CodeQL e Semgrep su tutti i repository del firewall, integrando automaticamente i risultati nella pipeline CI/CD, che blocca il rilascio in presenza di problemi.

Maggiore visibilità sugli hotfix

Da tempo Sophos Firewall rappresenta un caso unico nel settore grazie alla distribuzione automatica (zero-touch) degli hotfix tramite aggiornamenti over-the-air. Oltre il 99% dei firewall dei clienti riceve automaticamente questi aggiornamenti. Ciò che mancava era la possibilità di verificarne facilmente l'applicazione. Ora lo stato degli hotfix è visibile direttamente nell'interfaccia di amministrazione del firewall, nel visualizzatore dei log, nelle notifiche via e-mail, in Sophos Central Firewall Reporting. Se un nostro bollettino comunica che il firewall è già stato corretto, gli amministratori possono verificarlo direttamente senza dover semplicemente fidarsi della nostra comunicazione.

Aggiornamenti firmware programmati

Nel 2024 ci eravamo impegnati a introdurre la pianificazione automatica degli aggiornamenti firmware. Questa funzionalità sarà disponibile tramite Sophos Central ad agosto 2026. Gli amministratori potranno definire pianificazioni ricorrenti per gli aggiornamenti di manutenzione, mantenendo comunque la possibilità di personalizzare il comportamento di ciascun firewall.

La salute complessiva della base installata conferma l'efficacia di questo approccio. L'adozione del firmware più recente è avvenuta più rapidamente rispetto a qualsiasi precedente ciclo di aggiornamento e v22 è diventata la versione più diffusa in circa sei mesi dal rilascio. Aggiornamenti automatici costanti e prevedibili rappresentano una delle funzionalità di sicurezza con il maggiore impatto che possiamo offrire, e il tasso di adozione dimostra che anche i clienti la considerano tale.

Mettere l'intelligenza artificiale al lavoro sul nostro firewall

Abbiamo già spiegato come i modelli AI di ultima generazione stiano trasformando la ricerca delle vulnerabilità vista dall'esterno. Ma la prospettiva interna è ancora più interessante. I ricercatori esterni possono lavorare soltanto su file binari e sul comportamento osservabile del prodotto. Noi, invece, disponiamo del codice sorgente, del sistema di compilazione e di interi rack di appliance reali. Si tratta di un vantaggio asimmetrico a favore dei difensori, a patto di saperlo sfruttare. 

Quest'anno abbiamo sviluppato una piattaforma interna basata su agenti AI per la ricerca automatizzata di vulnerabilità e il primo obiettivo è stato proprio SFOS. Non si tratta semplicemente di un chatbot collegato al codice. La piattaforma controlla vere appliance firewall, comprese configurazioni High Availability (HA), all'interno di un laboratorio isolato e riproducibile; opera direttamente sul codice sorgente e produce risultati corredati da evidenze e già classificati, registrando ogni singola azione eseguita dagli agenti. Gli ingegneri di prodotto la utilizzano insieme al nostro Red Team, sfruttando modelli AI di frontiera come OpenAI GPT-5.6 Sol e Anthropic Claude Mythos Preview.

I primi risultati hanno superato le nostre aspettative, con costi notevolmente inferiori rispetto a un penetration test tradizionale. In alcuni casi le vulnerabilità individuate hanno addirittura confermato l'efficacia delle attività di hardening già svolte in precedenza, anziché rivelare nuove criticità. La vulnerabilità più grave identificata fino a oggi, ad esempio, era già stata eliminata nelle versioni correnti grazie a modifiche architetturali introdotte preventivamente dai nostri ingegneri. Coerentemente con il nostro impegno in materia di CVE, pubblicheremo comunque una CVE relativa a tale vulnerabilità. L'argomento merita un approfondimento dedicato — metodologia, risultati e implicazioni per il futuro dei test di sicurezza — che pubblicheremo separatamente.

Allineamento con le linee guida forensi del NCSC

Nel 2024 il National Cyber Security Centre (NCSC), insieme ai suoi partner internazionali, ha pubblicato linee guida dedicate alla digital forensics e al monitoraggio di sicurezza destinate ai produttori di dispositivi e appliance di rete. A nostro avviso, rappresentano la definizione più concreta finora disponibile di ciò che dovrebbe significare fornire "evidenze delle intrusioni", uno dei pilastri dell'iniziativa CISA Secure by Design applicato ai dispositivi perimetrali. Abbiamo quindi valutato Sophos Firewall OS (SFOS) rispetto a queste linee guida, analizzandole punto per punto, condividendo la nostra mappatura dettagliata con il NCSC e aggiornandolo costantemente sui progressi ottenuti.

Ecco dove ci troviamo oggi.

Dove siamo conformi. Registrazione sicura e registrazione remota: la versione 22 ha introdotto una gestione protetta dei log in modalità “solo aggiunta”, il trasferimento sicuro dei log verso archivi centrali e identificatori univoci per dispositivo nella registrazione. La copertura della registrazione relativa agli eventi di autenticazione, ai processi, al filesystem e alla rete si è ampliata notevolmente grazie a SLS e al relativo lavoro svolto nella versione 22.

Dove abbiamo qualche lacuna. Alcune categorie di eventi non vengono ancora acquisite con la completezza specificata nelle linee guida, e la raccolta dei dati dalla memoria volatile è attualmente affrontata solo in parte tramite il nostro flusso di telemetria in tempo reale e il monitoraggio dell’integrità dei file. Il nostro team IDR ha analizzato con successo la memoria volatile delle appliance, ma è ancora necessario un meccanismo di acquisizione integrato nel prodotto.

Dove non siamo ancora all’altezza. La raccolta di dati non volatili – l’acquisizione di immagini di archiviazione persistente dai dispositivi, in remoto e su larga scala – rappresenta la lacuna più grande che ancora rimane, per noi e (a nostro avviso) per l’intero settore.

Per i lettori che seguono il nostro impegno «Secure by Design» della CISA: il lavoro sui firewall di quest’anno si basa proprio su diversi pilastri. Gli aggiornamenti programmati del firmware completano il nostro impegno relativo alle patch di sicurezza; l’onboarding MFA rafforzato estende il pilastro MFA al dispositivo stesso; SLS, la visibilità degli hotfix e il lavoro sulla telemetria sono tutti al servizio del pilastro relativo alle prove di intrusione; e la containerizzazione del piano di controllo v22 porta avanti il nostro impegno a ridurre intere classi di vulnerabilità.

Questo ci porta ai nuovi impegni.

• Impegno 1 – Acquisizione forense sull'intera base installata. Ci impegniamo a sviluppare una funzionalità di acquisizione forense per Sophos Firewall che permetta di raccogliere, dai dispositivi distribuiti presso i clienti, sia artefatti volatili sia non volatili, colmando così le lacune ancora esistenti rispetto alle linee guida del NCSC. La progettazione è già in corso con tutti gli stakeholder coinvolti. Riporteremo i progressi nel prossimo aggiornamento Secure by Design dedicato al firewall.
• Impegno 2 – Rafforzamento della telemetria sugli attacchi. Ci impegniamo ad ampliare ulteriormente la telemetria proveniente dalla nostra base installata di firewall, includendo anche i dati relativi ai tentativi di autenticazione falliti inviati a SophosLabs. L'obiettivo è anche rafforzare la protezione dell'integrità dei servizi di telemetria contro eventuali manomissioni, affinché la capacità di individuare campagne di attacco su larga scala non dipenda dall'affidabilità di un dispositivo eventualmente già compromesso.

Abbiamo scelto di pubblicare un livello di dettaglio così elevato perché riteniamo che gli acquirenti dovrebbero pretenderlo non soltanto da Sophos, ma da qualunque fornitore di infrastrutture di sicurezza. Come ha sostenuto Ollie Whitehouse del NCSC, la sicurezza dei prodotti è, in ultima analisi, un problema di incentivi di mercato: migliora quando la trasparenza viene premiata, anziché penalizzata. Se questo articolo vi aiuterà a porre domande più approfondite agli altri fornitori della vostra infrastruttura, avrà raggiunto il suo obiettivo.

E se siete ricercatori di sicurezza, ricordate che il nostro bug bounty program offre ricompense fino a 50.000 dollari per vulnerabilità individuate nella piattaforma firewall. Più riuscirete a mettere alla prova i nostri ingegneri, migliore sarà il prossimo aggiornamento Secure by Design.