Componentes Esenciales de Seguridad Perimetral: Firewalls, Proxies e IDS/IPS

Herramientas de Monitorización de Tráfico

TCDUMP

TCDUMP es una herramienta sencilla de Linux que permite realizar la monitorización de todo el tráfico que llega a una tarjeta de red.

WireShark

WireShark se utiliza para realizar capturas de tráfico y analizar los resultados obtenidos.

Port Mirroring (Duplicación de Puertos)

El Port Mirroring consiste en ajustar el switch para que copie todo el tráfico de un puerto y lo envíe a otro. En el segundo puerto conectamos el sniffer para analizar dicho tráfico.

Sistemas de Detección y Prevención de Intrusiones (IDS/IPS)

IDS/IPS y Snort

Los IDS (Intrusion Detection Systems) detectan los ataques, mientras que los IPS (Intrusion Prevention Systems) actúan activamente contra ellos. Snort es un ejemplo popular de este tipo de sistemas.

Tipos de IDS/IPS

• NIDS/NIPS: Buscan ataques sobre servicios de comunicaciones (a nivel de red).
• HIDS/HIPS: Buscan ataques sobre las aplicaciones y el sistema operativo de la máquina (a nivel de host).

Problemas Comunes

• Rendimiento.
• Falsos positivos.

Firewalls y Seguridad Perimetral

Definición de Firewall

Un FIREWALL (cortafuegos) es un software o dispositivo que analiza y revisa el tráfico, evitando los intentos de conexión no deseados tanto desde el exterior como desde el interior. Su objetivo es proporcionar seguridad a la red interna frente al exterior. Generalmente, se sitúa entre la red LAN y la red WAN.

Zona Desmilitarizada (DMZ)

La Zona Desmilitarizada (DMZ) es una red separada que se coloca entre una red interna y una red externa. Su función es añadir una capa extra de seguridad, permitiendo que los servicios públicos estén accesibles desde fuera, pero permanezcan aislados de la red interna. Para configurar una DMZ es necesario contar con un firewall, y para mayor seguridad, se puede añadir un doble firewall.

Características del Firewall

• Bloqueo de tráfico no autorizado.
• Ocultación de equipos LAN.
• Registro del tráfico (logging).
• Redirección del tráfico.

Host Bastión

Un Host Bastión es un servidor expuesto en una red pública que filtra el tráfico para proteger la red interna. Ofrece un solo servicio (como proxy o servidor web) y se coloca típicamente entre cortafuegos o dentro de una DMZ.

El host bastión debe ser un servidor potente y seguro, especializado en una sola tarea, diseñado para proteger la red. Se mantiene actualizado, se eliminan los servicios innecesarios y se monitorea constantemente para detectar intrusos.

Arquitecturas de Firewall

Cortafuegos Personales

Restringen la comunicación no autorizada con un equipo específico (host).

Cortafuegos de Subredes

Protegen grupos de sistemas mediante zonas de seguridad, cada una con su propio cortafuegos.

Dual-Homed Host

Se basa en el uso de equipos con dos o más tarjetas de red (una conectada a la red interna y la otra a la externa).

Screened Host (Host Filtrado)

Combina el uso de un router con un host bastión. El filtrado de paquetes se produce en el router.

Screened Subnet (Subred Filtrada)

El bastión se aísla en una red perimétrica (la zona DMZ), la cual se sitúa entre la red interna y la red externa, limitada por dos routers.

Servidores Proxy

Función y Definición

La función del PROXY es controlar el acceso que se realiza desde la red interna hacia Internet. El proxy es un equipo que actúa como intermediario.

Características del Proxy

• Define los permisos que tienen los usuarios.
• Permite que los usuarios de la red interna compartan una única dirección IP pública.
• Facilita la auditoría del uso de Internet.
• Almacena las páginas recientemente consultadas en una caché para acelerar el acceso.

Tipos de Proxy

Proxy Explícito

Requiere que los equipos cliente sean configurados para utilizar el proxy. Generalmente, soporta autenticación.

Proxy Transparente

Un router o firewall intercepta y redirige automáticamente el tráfico al proxy. No requiere configuración en el cliente ni autenticación directa.

Ubicación del Proxy

La ubicación del proxy depende del volumen de tráfico y de la complejidad de las reglas a gestionar:

• Volumen Reducido y Reglas Sencillas: El proxy puede estar incluido en la misma máquina del firewall.
• Volumen Elevado y Reglas Complejas: Requiere una máquina exclusiva dedicada al servicio de proxy.