Quizás uno de los elementos más publicitados a
la hora de establecer seguridad, sean estos
elementos. Aunque deben ser uno de los sistemas a
los que más se debe prestar atención, distan mucho
de ser la solución final a los problemas de
seguridad.
De hecho, los Firewalls no tienen nada que
hacer contra técnicas como la Ingeniería Social y
el ataque de Insiders.
Un Firewall es un
sistema (o conjunto de ellos) ubicado entre dos
redes y que ejerce la una política de seguridad
establecida. Es el mecanismo encargado de proteger
una red confiable de una que no lo es (por ejemplo
Internet).
Puede consistir en distintos dispositivos,
tendientes a los siguientes objetivos:
- Todo el tráfico desde dentro hacia fuera, y
viceversa, debe pasar a través de él.
- Sólo el tráfico autorizado, definido por la
política local de seguridad, es permitido.
Como puede observarse, el Muro Cortafuegos,
sólo sirven de defensa perimetral de las redes, no
defienden de ataques o errores provenientes del
interior, como tampoco puede ofrecer protección
una vez que el intruso lo traspasa.
Algunos Firewalls aprovechan esta capacidad de
que toda la información entrante y saliente debe
pasar a través de ellos para proveer servicios de
seguridad adicionales como la encriptación del
tráfico de la red. Se entiende que si dos
Firewalls están conectados, ambos deben "hablar"
el mismo método de encriptación-desencriptación
para entablar la comunicación.
Routers y Bridges
Cuando los paquetes de información viajan entre
su destino y origen, vía TCP/IP, estos pasan por
diferentes Routers (enrutadores a nivel de
Red).
Los Routers son dispositivos electrónicos
encargados de establecer comunicaciones externas y
de convertir los protocolos utilizados en las LAN
en protocolos de WAN y viceversa.
En cambio, si se conectan dos redes del tipo
LAN se utilizan Bridges, los cuales son puentes
que operan a nivel de Enlace.
La evolución tecnológica les ha permitido
transformarse en computadoras muy especializadas
capaz de determinar, si el paquete tiene un
destino externo y el camino más corto y más
descongestionado hacia el Router de la red
destino. En caso de que el paquete provenga de
afuera, determina el destino en la red interna y
lo deriva a la máquina correspondiente o devuelve
el paquete a su origen en caso de que él no sea el
destinatario del mismo.
Los Routers "toman decisiones" en base a un
conjunto de datos, regla, filtros y excepciones
que le indican que rutas son las más apropiadas
para enviar los paquetes.
Tipos de Firewall
- Filtrado de Paquetes (leer más)
- Proxy-Gateways de Aplicaciones (leer más)
- Dual-Homed Host (leer más)
- Screened Host (leer más)
- Screened Subnet (leer más)
- Inspección de Paquetes
Este tipo de Firewalls se basa en el
principio de que cada paquete que circula por la
red es inspeccionado, así como también su
procedencia y destino. Se aplican desde la capa
de Red hasta la de Aplicaciones. Generalmente
son instalados cuando se requiere seguridad
sensible al contexto y en aplicaciones muy
complejas.
- Firewalls Personales
Estos Firewalls son aplicaciones disponibles
para usuarios finales que desean conectarse a
una red externa insegura y mantener su
computadora a salvo de ataques que puedan
ocasionarle desde un simple "cuelgue" o
infección de virus hasta la pérdida de toda su
información almacenada.
Políticas de Diseño de Firewalls
Las políticas de accesos en un Firewalls se
deben diseñar poniendo principal atención en sus
limitaciones y capacidades pero también pensando
en las amenazas y vulnerabilidades presentes en
una red externa insegura.
Conocer los puntos a proteger es el primer paso
a la hora de establecer normas de seguridad.
También es importante definir los usuarios contra
los que se debe proteger cada recurso, ya que las
medidas diferirán notablemente en función de esos
usuarios.
Generalmente se plantean algunas preguntas
fundamentales que debe responder cualquier
política de seguridad:
- ¿Qué se debe proteger?. Se deberían proteger
todos los elementos de la red interna (hardware,
software, datos, etc.).
- ¿De quién protegerse?. De cualquier intento
de acceso no autorizado desde el exterior y
contra ciertos ataques desde el interior que
puedan preverse y prevenir.
Sin embargo, podemos definir niveles de
confianza, permitiendo selectivamente el acceso de
determinados usuarios externos a determinados
servicios o denegando cualquier tipo de acceso a
otros.
- ¿Cómo protegerse?. Esta es la pregunta más
difícil y está orientada a establecer el nivel
de monitorización, control y respuesta deseado
en la organización. Puede optarse por alguno de
los siguientes paradigmas o estrategias:
- Paradigmas de seguridad
- Se permite cualquier servicio excepto
aquellos expresamente prohibidos.
- Se prohíbe cualquier servicio excepto
aquellos expresamente permitidos. La más
recomendada y utilizada aunque algunas veces
suele acarrear problemas por usuarios
descontentos que no pueden acceder a tal cual
servicio.
- Estrategias de seguridad
- Paranoica: se controla todo, no se permite
nada.
- Prudente: se controla y se conoce todo lo
que sucede.
- Permisiva: se controla pero se permite
demasiado.
- Promiscua: no se controla (o se hace poco) y
se permite todo.
- ¿Cuánto costará?. Estimando en función de lo
que se desea proteger se debe decidir cuanto es
conveniente invertir.
Restricciones en el Firewall
La parte más importante de las tareas que
realizan los Firewalls, la de permitir o denegar
determinados servicios, se hacen en función de los
distintos usuarios y su ubicación:
- Usuarios internos con
permiso de salida para servicios
restringidos: permite especificar una
serie de redes y direcciones a los que denomina
Trusted (validados) . Estos
usuarios, cuando provengan del interior, van a
poder acceder a determinados servicios externos
que se han definido.
- Usuarios externos con
permiso de entrada desde el exterior:
este es el caso más sensible a la hora de
vigilarse. Suele tratarse de usuarios externos
que por algún motivo deben acceder para
consultar servicios de la red interna.
También es habitual utilizar estos accesos por
parte de terceros para prestar servicios al
perímetro interior de la red. Sería conveniente
que estas cuentas sean activadas y desactivadas
bajo demanda y únicamente el tiempo que sean
necesarias.
Beneficios de un Firewall
Los Firewalls manejan el acceso entre dos
redes, y si no existiera, todos las computadoras
de la red estarían expuestos a ataques desde el
exterior. Esto significa que la seguridad de toda
la red, estaría dependiendo de que tan fácil fuera
violar la seguridad local de cada maquina
interna.
El Firewall es el punto ideal para monitorear
la seguridad de la red y generar alarmas de
intentos de ataque, el administrador será el
responsable de la revisión de estos
monitoreos.
Otra causa que ha hecho que el uso de Firewalls
se halla convertido en uso casi imperativo es el
hecho que en los últimos años en Internet han
entrado en crisis el número disponible de
direcciones IP, esto ha hecho que las intranets
adopten direcciones sin clase, las cuales salen a
Internet por medio de un "traductor de
direcciones", el cual puede alojarse en el
Firewall.
Los Firewalls también son importantes desde el
punto de vista de llevar las estadísticas del
ancho de banda "consumido" por el trafico de la
red, y que procesos han influido más en ese
trafico, de esta manera el administrador de la red
puede restringir el uso de estos procesos y
economizar o aprovechar mejor el ancho de banda
disponible.
Los Firewalls también tienen otros usos. Por
ejemplo, se pueden usar para dividir partes de un
sitio que tienen distintas necesidades de
seguridad o para albergar los servicios WWW y FTP
brindados.
Limitaciones de un Firewall
La limitación más grande que tiene un Firewall
sencillamente es el hueco que no se tapa y que
coincidentemente o no, es descubierto por un
intruso. Los Firewalls no son sistemas
inteligentes, ellos actúan de acuerdo a parámetros
introducidos por su diseñador, por ende si un
paquete de información no se encuentra dentro de
estos parámetros como una amenaza de peligro
simplemente lo deja pasar. Más peligroso aún es
que ese intruso deje Back Doors, abriendo un hueco
diferente y borre las pruebas o indicios del
ataque original.
Otra limitación es que el Firewall "NO es
contra humanos", es decir que si un intruso logra
entrar a la organización y descubrir passwords o
los huecos del Firewall y difunde esta
información, el Firewall no se dará
cuenta.
El Firewall tampoco provee de herramientas
contra la filtración de software o archivos
infectados con virus, aunque es posible dotar a la
máquina, donde se aloja el Firewall, de antivirus
apropiados.
Finalmente, un Firewall es vulnerable, él NO
protege de la gente que está dentro de la red
interna. El Firewall trabaja mejor si se
complementa con una defensa interna. Como
moraleja: "cuanto mayor sea el tráfico de entrada
y salida permitido por el Firewall, menor será la
resistencia contra los paquetes externos. El único
Firewall seguro (100%) es aquel que se mantiene
apagado" (*)
(*) HERNÁNDEZ, Roberto.
Firewalls: Seguridad en las redes e Internet.
Boletín de Política Informática N° 2. Página 7.
España. 2000. |
