Cortafuegos para la seguridad corporativa (página 2)

• Se conecta a una interfaz de Internet.

• Se conecta a la otra interfaz de red que se quiere proteger.

Se tienen de este modo dos redes distintas que comparten un ordenador. La máquina puente o cortafuegos, puede comunicarse tanto con la red protegida como con Internet. La red protegida no puede comunicarse con Internet, e Internet no puede comunicarse con la red protegida, pues se ha deshabilitado el reenvío IP en el único punto en que se conectan. De este modo, si se quiere acceder a Internet desde la red protegida, hay que hacer primero un telnet al cortafuegos, y acceder a Internet desde él. De la misma forma, para acceder a la red protegida desde Internet, se debe pasar antes por el cortafuegos. Este mecanismo implica que cualquier ataque desde el exterior deberá siempre realizarse también en dos pasos: primeramente deberá caer el cortafuegos que actúa como muralla para, después, atacar el interior. De esta forma se facilita la defensa, pues se puede concentrar el esfuerzo defensivo sobre el cortafuegos.

1. Tipos de cortafuegos

Ateniéndonos al mecanismo de funcionamiento, o métodos de filtrado de la información, podemos distinguir dos tipos de cortafuegos según a que nivel respecto al modelo OSI actúen:

• Nivel de red (protocolo IP) y de transporte (protocolos UDP/TCP). El control de tráfico a estos niveles consiste en analizar todos los paquetes que llegan a una interfaz de red, y decidir si se les deja pasar o no dependiendo de criterios como: tipo de protocolo, dirección de la fuente y dirección de destino, fundamentalmente. Estos cortafuegos se basan en: encaminadores apantallados o pasarelas a nivel de red.
• Nivel de aplicación. El control se hace interceptando las comunicaciones a nivel del protocolo de comunicaciones propio de cada servicio, que es modificado para incluir medidas adicionales de seguridad. Se basan en pasarelas a nivel de aplicación.

Recordemos que los encaminadores o routers, son dispositivos que interconectan redes a nivel de red del modelo OSI de la ISO. Realizan funciones de control de tráfico y encaminamiento de paquetes por el camino más eficiente en cada momento. La diferencia fundamental con los puentes o bridges, que trabajan a nivel de enlace, es que éstos no son capaces de realizar tareas de encaminamiento en tiempo real. Las pasarelas o gateways son ordenadores que funcionan a nivel de aplicación del modelo OSI de ISO. Es el más potente de todos los dispositivos de interconexión de redes. Permiten interconectar redes de distintas arquitecturas, es decir, realiza conversiones de protocolo, a diferencia de los encaminadores. En el contexto dado, pasarela es una máquina que conecta dos o más redes, encaminando paquetes de una a otra.

1. 1. 1. Descripción
   2. Pasarelas a nivel de red
2. Métodos de filtrado de la información

Los cortafuegos más sencillos se basan en el filtrado de paquetes. Los dispositivos típicamente utilizados son los encaminadores apantallados, capaces de filtrar paquetes en base a la dirección origen y/o destino y al servicio o puerto al que acceden.

Se puede usar el filtrado para bloquear conexiones a o desde servidores o redes determinadas, así como para bloquear puertos especiales. Esto nos permite activar o desactivar servicios bien conocidos de forma selectiva para aquellos servidores o redes que no consideremos seguros o que queramos proteger especialmente.

Figura 1: Protección a través de una pasarela a nivel de red.

Por ejemplo, una red local podría permitir sólo el acceso externo al puerto 25, correspondiente al protocolo SMTP (Simple Mail Transfer Protocol) de su servidor de correo, pero no a los de ningún otro ordenador, forzando así a que todo el correo entrante pase por el servidor y, protegiendo el demonio de correo de las demás máquinas de ataques externos. También puede ser interesante, establecer filtros temporales, en los que ciertos servicios están habilitados durante una determinada franja horaria durante la cual se tiene la certeza de que los mismos no son necesarios.

A partir de la política de seguridad establecida, se determinarán las reglas de filtrado de paquetes que debe interpretar el encaminador. Cada vez que el encaminador recibe un paquete por una de sus dos interfaces, comprueba secuencialmente cada una de las reglas y cuando encuentra un patrón que se ajusta al del paquete recibido, ejecuta la acción pertinente, es decir, permite o deniega el acceso.

Los distintos modelos de encaminadores existentes, tienen diferentes formas y capacidades de filtrado:

• Sólo filtran paquetes que entran en cada interfaz.
• Sólo filtran los paquetes que van a salir por cada interfaz.
• Filtran tanto a la entrada como a la salida del paquete de la interfaz.
• Otros, pueden fijarse en información adicional en cada paquete, como puede ser el bit de asentimiento, que permite distinguir entre paquetes de inicio de una conexión TCP y paquetes pertenecientes a una conexión ya iniciada. De esta forma puede impedirse que se establezca una conexión, si esta se origina desde el exterior, pero permitir dicha conexión si el origen está en la red interna. Otra característica que suele ser configurable es el modo en que los paquetes son descartados. En general, los encaminadores emiten mensajes de redirección ICMP (Internet Control Message Protocol) cuando un paquete IP no puede ser encaminado, indicando el motivo. Pero en determinados casos es interesante descartar el paquete sin informar al destino del descarte.

También es posible aplicar la filtración a través de PCs, gracias a programas como KarlBridge o Drawbridge. Los productos basados en PC son populares por su bajo coste, comparado con las plataformas Unix basadas en RISC o con productos encaminadores especiales. No obstante, la evolución de las características de este tipo de programas, los hacen más semejantes a pasarelas a nivel de aplicación que a meros dispositivos de filtración de paquetes.

1. Problemas

Los principales problemas que presentan los cortafuegos basados en dispositivos de filtrado de información a nivel 3 y 4 de la torre OSI, son:

• El gran problema de los cortafuegos a nivel 3, es que restringen mucho el acceso a Internet desde la red protegida. Básicamente, reducen su uso al que se podría hacer desde un terminal. Si bien muchas veces el objetivo buscado por el administrador de la Intranet, es restringir el acceso al exterior desde el interior de la red corporativa, este hecho se vuelve especialmente incómodo cuando se desea facilitar libertad de movimientos a los usuarios del interior. El problema se agrava dado que el punto crítico del sistema es la máquina puente y, sin no se desea comprometer su seguridad, no conviene permitir el acceso a la misma por parte de los usuarios. Pero si los usuarios no pueden acceder a la misma no podrían acceder al exterior…
• El hecho de tener que entrar en el cortafuegos y desde allí realizar todo el acceso a Internet es una restricción muy seria. Por ejemplo, programas como Netscape, que requieren una conexión directa a Internet, no funcionan desde detrás de un cortafuegos. Otros servicios, como FTP y DNS tampoco pueden ser controlados correctamente mediante un mero filtrado de paquetes, pues requieren del establecimiento de conexiones en ambos sentidos.
• Existen protocolos cuyos servidores actúan en puertos no reservados (por debajo del 1.024), como es el caso del protocolo X11 o protocolos que no poseen una dirección del servidor fija, como el portmapper de SunOS, que da lugar a que RPC (Remote Procedure Call) no pueda filtrarse con efectividad.
• En muchas implantaciones de filtración de paquetes, faltan los mecanismos de intervención y alerta y también pueden sufrir malas interfaces de administración y de usuario.

1. Ejemplo

A continuación abordamos un ejemplo que le ayudará a entender el modo de operación de los filtros de paquetes, obtenido del libro "Internet y seguridad en redes" de Karanjit Siyan, Ph.D. y Chris Hare, y publicado por Prentice-Hall Hispanoamericana S.A. En la Figura 2, se muestra una red con la siguiente política de seguridad:

1. Las noticias y el correo electrónico de entrada se aceptan en los servidores 1444.19.74.200 y 144.19.74.201.
2. Se acepta el acceso DNS para el servidor de compuerta 144.19.74.202.
3. El acceso a los servicios NFS (Network File System) de la red interna no está permitido para las máquinas externas.
4. A las máquinas internas se les permite el acceso a las redes externas, excepto a Gopher y WWW.

Esta política de seguridad se puede expresar como un conjunto de reglas de filtro para los puertos externo (Tabla 1) e interno (Tabla 2) del encaminador apantallado.

Figura 2: Red del ejemplo.

En los encaminadores Cisco, las reglas en los filtros de paquetes para el puerto externo e interno, pueden implantarse como se muestra a continuación:

• Regla 1 del filtro de paquetes para el puerto externo:

access-list 101 deny tcp 144.19.0.0 0.0.255.255 0.0.0.0 255.255.255.255 eq 70

• Regla 2 del filtro de paquetes para el puerto externo:

access-list 101 deny tcp 144.19.0.0 0.0.255.255 0.0.0.0 255.255.255.255 eq 80

• Regla 3 del filtro de paquetes para el puerto externo:

access-list 101 permit tcp 144.19.0.0 0.0.255.255 0.0.0.0 255.255.255.255

• Regla 1 del filtro de paquetes para el puerto interno:

access-list 102 permit tcp 0.0.0.0 255.255.255.255 144.19.0.0 0.0.255.255 Ä established

• Regla 2 del filtro de paquetes para el puerto interno:

access-list 102 permit tcp 0.0.0.0 255.255.255.255 144.19.74.200 0.0.0.0 Ä eq 25

• Regla 3 del filtro de paquetes para el puerto interno:

access-list 102 permit tcp 0.0.0.0 255.255.255.255 144.19.74.201 0.0.0.0 Ä eq 25

• Regla 4 del filtro de paquetes para el puerto interno:

access-list 102 permit tcp 0.0.0.0 255.255.255.255 144.19.74.200 0.0.0.0 Ä eq 119

• Regla 5 del filtro de paquetes para el puerto interno:

access-list 102 permit tcp 0.0.0.0 255.255.255.255 144.19.74.201 0.0.0.0 Ä eq 119

• Regla 6 del filtro de paquetes para el puerto interno:

access-list 102 permit udp 0.0.0.0 255.255.255.255 144.19.74.202 0.0.0.0 Ä eq 53

Tabla 1: Reglas del filtro para el puerto externo.

Tabla 2: Reglas del filtro para el puerto interno.

El formato general para las listas extendidas utilizadas en este caso, es:

access-list lista {permit|deny} protocolo {ip|tcp|udp|icmp} fuente máscara_de_fuente destino máscara_de_destino [operador operando]

• La lista es un valor entero entre 100 y 199 y se utiliza para identificar una o más condiciones de permiso y/o de negación. Si se utiliza la palabra permit una correspondencia del paquete y de la condición causará que éste se acepte, y si se utiliza deny se rechaza.
• El protocolo representa el protocolo a filtrar. Notar que puesto que IP encapsula los protocolos IP, TCP, UDP e ICMP, puede utilizarse para igualar cualquiera de éstos.
• La fuente es la dirección IP de la máquina fuente.
• La máscara_de_fuente de 32 bytes no deben confundirse con las máscaras de subred empleadas para subdividir un número de asignación de una red: los bits correspondientes a 1 en la máscara de fuente se ignoran en la comparación, mientras que los correspondientes a 0 se usan en ésta.
• Los valores de destino y máscara_de_destino sirven para igualar la dirección P destinataria, teniendo la máscara destino el mismo significado que la de fuente.

Con los valores de operador y operando se comparan los números de puerto o puntos de acceso a servicio. Estos valores son significativos para TCP y UDP. Los operadores pueden ser: lt (menor que), eq (igual que), gt (mayor que) y neq (diferente de). El operando es el valor decimal del puerto destinatario del protocolo especificado.

1. 1. Descripción
2. Pasarelas a nivel de aplicación

Como hemos visto, los filtros de paquetes son demasiado rígidos, difíciles de configurar y sus capacidades de registro histórico son muy limitadas. Además su funcionamiento de basa en un sistema todo o nada: el acceso a un servicio en o desde una máquina se permite o no, pero no hay un término medio.

Figura 3: Protección tras un servidor proxy.

El siguiente paso es usar pasarelas a nivel de aplicación (gateway o proxy): en estos sistemas el usuario no accede directamente al servicio sino un sistema intermedio que realiza las comprobaciones pertinentes, anota la transacción, toma una decisión y, si es positiva, actúa de intermediario entre el cliente y el servicio remoto correspondiente, posiblemente controlando la ejecución del protocolo del servicio y tomando notas adicionales.

Para ello se coloca en la máquina puente un tipo especial de servidor (no sólo WWW, sino también de otros servicios, como por ejemplo: FTP, Gopher, Wais…), denominado proxy, que actúa como cliente de los servidores externos a la vez que como servidor de los clientes externos. Así no será necesario que un usuario se conecte a la máquina puente para realizar un FTP al exterior. Simplemente, configurará su cliente de FTP para que emplee el servidor de la máquina puente como proxy. A partir de este momento, creerá establecer conexiones con el exterior, cuando en realidad su cliente FTP se estará conectando con el proxy y pidiéndole que éste establezca una conexión con el exterior para extraer un fichero y luego entregárselo. Es decir, enviará a su apoderado a la Internet externa ya que él no está autorizado a salir. Lo mismo ocurre con un servicio WWW. Un cliente interno podría acceder a un servidor corporativo de la Intranet y, a la vez, ser incapaz de establecer conexiones con el exterior. Si se instala un servidor proxy de WWW en la máquina puente y se configuran los clientes de la Intranet para utilizarlo, estos dirigirán todas sus peticiones HTTP (HyperText Transport Protocol) al proxy que, a su vez, recuperará por ellos la información del exterior y se la devolverá a ellos. El usuario tendrá la sensación de conectarse directamente ya que todo el proceso será, para él, transparente.

De lo anterior, se deduce que la funcionalidad de actuar como proxy es una característica relacionada con la seguridad, no hay que confundir pues esta funcionalidad con la de caché. En efecto, una primera idea que le puede venir a la cabeza es que si los clientes van a consultar a un proxy es probable que varios hagan la misma consulta. Por tanto, no sería mala idea la incorporación de una caché a los servidores proxy. Si un usuario accede al mismo, éste comprueba, en primer lugar, si el objeto buscado se encuentra en su caché y, de ser así, lo devuelve sin necesidad de realizar una conexión con el exterior. De ahí que la mayoría de los proveedores de Internet cuenten con cachés de varios gigas en sus proxys. De esta forma parecen más rápidos ante sus clientes y ahorran ancho de banda. Ambas funciones, la de caché y proxy ya vienen incorporadas dentro de muchos servidores WWW.

Los servicios a proteger más comunes son:

• TELNET. Se hace un login inicial al cortafuegos, durante el cual se puede filtrar por la dirección de origen y destino, proceder de una identificación sólida (por ejemplo mediante tarjetas inteligentes) y a una verificación segura de la identidad (por ejemplo con claves desechables). Si se acepta, el cortafuegos establece una comunicación con el punto de destino y puede opcionalmente traducir las comunicaciones sobre la marcha, utilizando si se desea cifrado. A todo lo largo del proceso, se pueden hacer anotaciones de su evolución.
• FTP. Adicionalmente puede permitir aceptar o denegar comandos concretos de clientes específicos.
• SMTP. Además de establecer sistemas de verificación de identidad del sistema remoto y del remitente de mensajes, permite centralizar todo el correo institucional en una sola máquina, que se encarga después de distribuirlo a cada usuario en su buzón correspondiente. Además, muchos cortafuegos disponen de un servidor de correo especial con mayores niveles de seguridad.
• Otros: X, Gopher, HTTP y NNTP (Network News Transfer Protocol) son otros servicios que resulta deseable poder interceptar, identificando usuarios y aceptando o denegando el acceso en base a criterios refinados.
• Verificación de identidad. Todas las conexiones remotas y en especial las de los módems deberían atravesar un sistema de verificación avanzado en el cortafuegos, pues basta con que una de estas vías de acceso se comprometa para subvertir todo el sistema. El problema es que esto requiere enseñar a los usuarios a manejar sistemas de verificación avanzados.
• Llamadas de entrada/salida. Los módems, líneas RDSI, X-25… son muy útiles para el acceso a la Intranet por parte de los teletrabajadores, que a su vez podrán acceder a sitios de Internet no permitidos dentro de ésta. Es necesario que un cortafuegos controle estas líneas directas verificando la identidad de los usuarios y los patrones de uso.
• Conexión de red remota. Las conexiones vía PPP (Point to Point Protocol) también son un peligro potencial en la medida en que son una vía de entrada, debiendo ser centralizadas y filtradas a través de un cortafuegos que entienda y controle estos protocolos.
• Servicios de información. Son servicios que están abiertos públicamente para proporcionar información (por ejemplo un servidor WWW o FTP anónimo). Para evitar que se conviertan en un peligro puede ser conveniente ponerlos fuera del área protegida por el cortafuegos (con una fuerte política de copias de seguridad) o incorporar su acceso en éste.
• Interacciones remotas. Cuando se necesita que áreas protegidas por el cortafuegos cooperen entre sí, si no se tiene cuidado, las interacciones entre ellas pueden hacer imposible la colaboración o la seguridad:

• Ninguno de los responsables locales debe confiar plenamente en el otro.
• Es conveniente proveer de un mecanismo cómodo y eficiente a los usuarios para acceder a los recursos compartidos si se desea contar con su colaboración y no dañar su capacidad de trabajo.
• Para compatibilizar el acceso a recursos compartidos hay muchas soluciones que deben considerarse con cuidado: usar el mismo tipo de cortafuegos usar un sistemas compatible de control de acceso convertir las comunicaciones a un protocolo común…

Otro tipo de pasarelas a nivel de aplicación además de los servidores proxy o apoderados, son las pasarelas a nivel de circuito. En éstas los paquetes se envían a un proceso a nivel de aplicación de usuario. Las pasarelas a nivel de circuito se dedican a reencaminar conexiones TCP. Cada vez que se tenga que establecer una conexión a través del cortafuegos debe establecerse un circuito TCP hasta éste y tras hacer las comprobaciones pertinentes, el cortafuegos establece un segundo circuito hasta el destino requerido. Entonces, el cortafuegos actúa como un mero cable de conexión entre ambos circuitos, copiando los bytes de uno a otro lado. Las compuertas a nivel de circuito constituyen el método más general y flexible para construir pasarelas a nivel de aplicación.

1. programa cliente especial, lo cual podría constituir un inconveniente.
2. Degradación del rendimiento del cortafuegos. Puesto que el filtrado de información a nivel 3 y 4 es muy sencillo, los encaminadores apantallados suelen ser muy rápidos y transparentes al usuario. En cambio el filtrado a nivel 7, supone un mayor retardo en el análisis de cada paquete. No obstante, el hecho de efectuar el control a este nivel dándole al cortafuegos conocimiento sobre los protocolos de alto nivel que está manejando incrementa mucho la seguridad.

 

 

 

 

Autor:

Ramón Jesús Millán Tejedor

Ingeniero de Telecomunicación y Master en Tecnologías de la Información

Web:

Blog: http://ramonmillan.blogspot.com

Partes: 1, 2