Firewall stateful vs stateless: qual è la differenza?

Sia i firewall stateful che quelli stateless agiscono come “guardiani” della rete, ma lo fanno in modo molto diverso. In questa guida spiego, in termini semplici, come funzionano, perché non sono equivalenti e per quale motivo, nella maggior parte dei casi, un firewall stateful è la scelta più sensata.

Cos’è un firewall stateless e come funziona

I firewall stateless sono i pionieri della sicurezza di rete: nascono nei primi anni ’80 come semplici filtri sui pacchetti. Il loro principio è elementare: analizzano ogni pacchetto che arriva al perimetro della rete singolarmente, senza collegarlo agli altri.

“Stateless” significa proprio questo: non conservano informazioni sullo stato delle connessioni. Non sanno se un pacchetto appartiene a una sessione già avviata o se rappresenta un nuovo tentativo di connessione. La decisione di consentire o bloccare un pacchetto si basa unicamente su attributi come:

• Indirizzo IP di origine e destinazione
• Porta di origine e destinazione
• Protocollo utilizzato (per esempio TCP o UDP)

Queste caratteristiche vengono confrontate con un set di regole preconfigurate. Il comportamento è binario e prevedibile: se un pacchetto corrisponde a una regola “allow”, passa; se corrisponde a una regola “deny”, viene scartato. Per esempio, è comune autorizzare il traffico sulle porte 80 (HTTP) e 443 (HTTPS) e bloccare la porta 23 (Telnet), considerata insicura e obsoleta.

Questo approccio rende i firewall stateless rapidi ed essenziali da configurare, ma i loro limiti sono emersi con l’evoluzione di Internet e la crescente complessità del traffico di rete. Oggi si usano soprattutto in contesti molto specifici, dove un semplice filtraggio dei pacchetti è sufficiente e i pattern di traffico sono prevedibili, ad esempio per segmenti di rete semplici o servizi molto circoscritti.

Suggerimento correlato: scopri le differenze tra un firewall e una VPN e quando ha senso usare l’uno, l’altra o entrambi.

Cos’è un firewall stateful e come funziona

A metà degli anni ’90 arriva il salto di qualità con i firewall stateful. A differenza dei predecessori, non si limitano a guardare i pacchetti “uno per uno”: tengono conto del contesto, cioè dello stato delle connessioni in corso.

Immagina un addetto alla sicurezza con ottima memoria: non solo controlla i documenti all’ingresso, ma ricorda chi è già entrato e se è autorizzato a restare. Ecco, un firewall stateful fa proprio questo attraverso una tabella di stato (o connection table) dove registra le sessioni attive.

Questo è fondamentale perché molti attacchi moderni sfruttano pacchetti “apparentemente” legittimi. Un esempio tipico sono gli attacchi DDoS, che sommergono il bersaglio con un’enorme quantità di traffico valido a livello di singolo pacchetto. Un firewall stateful può riconoscere e mitigare queste situazioni, perché verifica se i pacchetti appartengono a connessioni autorizzate già tracciate.

Come funziona in pratica:
1. Quando si avvia una nuova connessione (es. apri un sito web), il firewall registra i dettagli della sessione nella tabella di stato.
2. Per ogni pacchetto in arrivo, il firewall controlla la tabella: se trova una corrispondenza con una sessione autorizzata, lo lascia passare; se non c’è corrispondenza, lo blocca.
3. Al contrario, un firewall stateless valuterebbe ogni pacchetto isolatamente e, se rispetta le regole base, lo farebbe passare anche senza un contesto valido.

Oggi il meccanismo di ispezione stateful è presente in quasi tutte le soluzioni principali, per esempio in Windows Firewall, Bitdefender Firewall e Comodo Firewall.

Un firewall stateful basta contro le minacce più recenti?

I firewall stateful offrono una protezione nettamente superiore rispetto a quelli stateless, ma non sono una panacea. In genere, le decisioni vengono prese analizzando soprattutto le intestazioni dei pacchetti (header): se il contenuto malevolo è nascosto nel payload, potrebbe non essere rilevato. Molte minacce moderne sfruttano proprio questa tecnica.

Qui entrano in gioco i Next-Generation Firewall (NGFW). A differenza dei firewall tradizionali, gli NGFW possono ispezionare l’intero pacchetto, incluso il contenuto applicativo, un po’ come un controllo ai raggi X che individua oggetti nascosti. Questo permette funzioni avanzate come:

• Ispezione approfondita dei pacchetti (DPI)
• Controllo e filtraggio a livello applicativo
• Integrazione con sistemi di prevenzione intrusioni (IPS)
• Riconoscimento di applicazioni e utenti

Detto questo, anche il miglior firewall — stateful o di nuova generazione — deve far parte di una strategia a più livelli. Per una sicurezza realmente efficace, affiancalo a:

• Software anti-malware aggiornato
• Patch e aggiornamenti regolari di sistema e applicazioni
• Password robuste e autenticazione a più fattori (MFA)
• Buone pratiche di navigazione e gestione degli allegati
• Backup periodici dei dati, testati e verificati

In sintesi: per la maggior parte degli utenti e delle aziende, un firewall stateful è la base giusta su cui costruire. Ma per affrontare le minacce più sofisticate conviene valutare anche un NGFW e, soprattutto, adottare un approccio difensivo stratificato.