Pensato per le reti che non possono permettersi di essere le prime a scoprirlo.
Le reti della difesa e della sicurezza nazionale sono gli ambienti più costantemente presi di mira nel cyberspazio — sondate quotidianamente da operatori di stati-nazione con la pazienza di attendere mesi prima di agire. OneFirewall nasce da una premessa semplice: nessuna singola agenzia, comando o firewall di un singolo vendor vede da solo un quadro sufficiente. Il modello dell'alleanza esiste proprio per colmare questo divario.
Spionaggio, non opportunismo
- La pazienza degli stati-nazione, non il colpo mordi e fuggi. Le reti della difesa e dell'intelligence sono prese di mira da operatori il cui obiettivo è l'accesso e la raccolta di informazioni a lungo termine, non un guadagno rapido — la ricognizione può durare mesi prima che si verifichi qualcosa di simile a un "incidente".
- Superficie d'attacco multi-dominio. I comandi terrestri, aerei, navali, spaziali e cyber condividono sempre più spesso reti logistiche, di comunicazione e amministrative — un punto d'appoggio nel sistema meno classificato di un dominio può essere la via d'accesso verso un obiettivo di valore più alto.
- Classificate e air-gapped per necessità. Ampie porzioni della rete non possono legittimamente toccare l'internet pubblico, il che esclude la maggior parte delle piattaforme di threat intelligence solo cloud ancora prima che la conversazione inizi.
- Interoperabilità con la NATO e gli alleati. Dalla dichiarazione del cyberspazio come dominio operativo al Summit di Varsavia della NATO nel 2016, le forze alleate operano sotto aspettative crescenti di condividere indicatori e coordinare la difesa — in formati che i sistemi alleati possano effettivamente elaborare.
- Un ciclo di approvvigionamento che sopravvive a qualsiasi singola minaccia. I cicli di acquisizione della difesa si misurano in anni, non in sprint — il che significa che l'intelligence deve integrarsi nei programmi già esistenti, non pretenderne uno nuovo.
Nessun singolo comando vede l'intera minaccia
Il SOC di una singola forza armata, per quanto ben dotato di risorse, vede solo ciò che ha già colpito le proprie reti. OneFirewall nasce dalla convinzione che il firewall di un singolo vendor — per quanto capace — non possa proteggere da solo un'organizzazione, perché non può vedere ciò che un'alleanza eterogenea di SOC indipendenti vede insieme. Per le reti della difesa e della sicurezza nazionale, in particolare, questo divario è l'intero problema: l'indicatore che avrebbe rivelato che si trattava di una campagna coordinata, e non di una scansione casuale, si trovava da tempo nei log di un altro comando.
Comando per le Operazioni in Rete (COR)
Ministero della Difesa Italiano
Un comando cyber militare, non un caso studio
Il COR è il comando per le operazioni cyber del Ministero della Difesa italiano — strutturato in un Dipartimento C4, un Dipartimento Sicurezza e Difesa Cibernetica e un Dipartimento Operazioni Cyber, ed è diventato un interlocutore credibile sia a livello nazionale sia in ambito NATO fin da quando è stato istituito, nei primi giorni della pandemia di COVID-19. Fa parte dell'Alleanza OneFirewall sin dai primi anni della sua storia, da più tempo di quasi ogni altro nome commerciale presente altrove su questo sito. Non pubblichiamo i dettagli di questa relazione, per lo stesso motivo per cui un comando militare non pubblica i propri — ma la sua presenza nell'alleanza è, di per sé, una forma di validazione di tutt'altro ordine rispetto a una testimonianza di un fornitore.
La discrezione è il punto, non una lacuna nella storia
Non descriveremo un impegno specifico nella difesa, non nomineremo gli strumenti interni di un'unità, né caratterizzeremo una minaccia attiva contro alcun membro — non perché non ci sia nulla da dire, ma perché quella discrezione è esattamente ciò che un acquirente della difesa dovrebbe aspettarsi da un partner, non solo da se stesso. Quello che possiamo dire è questo: i meccanismi descritti in questa pagina — separazione multi-tenant, deployment on-prem e air-gapped, erogazione nativa STIX/TAXII, la telemetria aggregata di oltre 290 membri — sono gli stessi meccanismi già in funzione oggi all'interno dell'apparato della difesa di un membro della NATO.
Un deployment che si adatta alla classificazione, non il contrario
- On-prem, cloud privato o completamente air-gapped. OneFirewall Server è un'unica istanza che può funzionare interamente scollegata da internet pubblico dove la policy lo richiede — il modello di deployment segue il vostro livello di classificazione, non le preferenze di hosting di un fornitore.
- Separazione multi-tenant tra i comandi. Ogni unità, comando o forza armata mantiene i propri utenti, feed e configurazioni isolati a livello logico — un adattamento strutturale naturale per un ministero della difesa con più forze armate che operano sotto un'unica funzione di sicurezza generale.
- Nativo STIX/TAXII, compatibile con la NATO. L'intelligence viene erogata in STIX 2.1 / TAXII 2.1, lo standard già utilizzato nei framework di condivisione delle informazioni della NATO e degli alleati — un registro verificabile per ogni decisione, non un formato proprietario che qualcuno deve tradurre a mano.
- Affidabilità di livello enterprise. Un deployment in cluster a tre nodi può spingere la disponibilità verso gli otto nove per ambienti in cui uno SLA commerciale standard non è il parametro di riferimento.
Prima che tutto questo si avvicini anche solo a una rete classificata
Può funzionare completamente scollegato da internet?
Sì. OneFirewall Server funziona come un'unica istanza che può essere distribuita in modalità completamente air-gapped, con gli aggiornamenti dei feed di minacce importati tramite qualsiasi processo di trasferimento controllato già richiesto dal vostro accreditamento — la piattaforma non presuppone una connettività in uscita permanente.
Esce telemetria dalla nostra rete verso OneFirewall?
Solo ciò che la vostra organizzazione sceglie di contribuire. Il modello multi-tenant mantiene utenti, feed e configurazioni di ogni organizzazione separati a livello logico — la partecipazione al pool di intelligence condivisa è una scelta deliberata, non un'impostazione predefinita.
Cosa comporta realmente l'accreditamento?
Lavoriamo all'interno del vostro processo di accreditamento e assurance esistente, invece di chiedervi di adottare il nostro — il WCF Agent si integra con i firewall e l'infrastruttura già presenti, così il caso di sicurezza si costruisce attorno a ciò che è già stato valutato, non attorno a una nuova scatola nera.