Fundamentos de Seguridad en Redes: Cortafuegos, Proxies y Arquitecturas

Arquitecturas de Red con Cortafuegos

La implementación de un cortafuegos puede realizarse siguiendo diferentes arquitecturas de red para maximizar la seguridad. A continuación, se describen algunas de las más comunes.

Dual-Homed Host

Se basa fundamentalmente en un equipo (conocido como bastión) que tiene varias tarjetas de red. Una de ellas lo comunica con la red externa, mientras que la otra lo comunica con la red interna. Todo el tráfico entre ambas redes debe pasar obligatoriamente por el bastión.

Screened Host

Esta arquitectura combina el uso de un router con un bastión. El router se encarga de realizar un primer filtrado de paquetes. Desde el exterior, el único equipo accesible es el bastión. Sin embargo, desde la red interna pueden ocurrir varias cosas: el router puede permitir que algunos servicios de la red interna pasen directamente hacia el exterior, pero el resto del tráfico debe ser evaluado por el bastión.

Screened Subnet (DMZ)

En esta arquitectura, el router externo filtra la entrada de tráfico desde la red externa y la salida hacia la misma, mientras que el router interno se ocupa de filtrar el tráfico generado y dirigido por y para los equipos de la red interna, creando una zona desmilitarizada (DMZ).

Componentes y Conceptos Clave en Seguridad de Red

Servidor Proxy

Un servidor proxy permite definir los permisos que tienen los usuarios de la red interna sobre los servicios, dominios y direcciones IP externas. Todos los equipos de la red comparten una única dirección IP pública. Además, permite almacenar las páginas recientemente consultadas en una caché para aumentar el rendimiento de la red.

Monitorización y Logs

Los registros de actividad de un sistema, que habitualmente se conocen como logs, permiten detectar incidentes y comportamientos no habituales.

Registro de Actividad en Sistemas Operativos

Los sistemas operativos (SO) incorporan logs donde registran información sobre qué usuarios y en qué momento abren o cierran una sesión, y qué procesos están en ejecución dentro del sistema. También registran las aplicaciones que son ejecutadas por los usuarios, el uso que hacen de los recursos (impresoras, etc.), así como los problemas de seguridad.

Traducción de Direcciones de Red: SNAT vs. MASQUERADE

En las reglas de SNAT (Source Network Address Translation), se debe indicar exactamente cuál es la IP a la que se debe traducir el origen, mientras que MASQUERADE averigua cuál es la IP de la interfaz de salida de modo automático. La desventaja de MASQUERADE es que el tiempo de procesamiento es mayor.

Criterios para la Selección de un Cortafuegos

Hay que tener en cuenta una serie de factores antes de comprar o descargar un cortafuegos. Algunos criterios importantes son:

• El sistema operativo del equipo bastión.
• La cantidad de equipos que se van a ver involucrados.
• La localización física donde se va a instalar.
• El presupuesto disponible (no es lo mismo querer proteger un equipo que una red corporativa).
• El sistema de control y monitorización que se va a llevar a cabo.
• La correcta implementación de las medidas de seguridad.
• La realización de pruebas: antes de aplicar modificaciones al cortafuegos, es crucial hacer un test de prueba.