Manual de Seguridad de Redes

Principios
fundamentales
de la seguridad
de las redes
Por Christopher Leidigh
Informe interno N 101
Resumen ejecutivo
Los incidentes relativos a la seguridad aumentan a una tasa alarmante ao a ao. A medida
que crece la complejidad de las amenazas, se incrementan las medidas de seguridad
necesarias para proteger las redes. En la actualidad, los operadores de centros de datos, los
administradores de redes y otros profesionales relacionados con los centros de datos
deben comprender los fundamentos de la seguridad para poder implementar y administrar
las redes sin riesgos. Este informe explica los fundamentos de los sistemas de redes
seguros, entre los que se incluyen los firewalls, la topologa de las redes y los protocolos
seguros. Tambin se detallan las mejores prcticas relacionadas con algunos de los
aspectos ms crticos de la seguridad de las redes.
2005 American Power Conversion. Todos los derechos reservados. Queda prohibida la utilizacin, reproduccin, fotocopiado, transmisin o
almacenamiento en cualquier sistema de recuperacin de cualquier tipo de esta publicacin, en todo o en parte, sin el consentimiento escrito
del titular del derecho de autor. www.apc.com
Rev 2005-0
Introduccin
La seguridad de la red corporativa y la infraestructura informtica modernas requiere un enfoque integral y
conocimientos slidos sobre las vulnerabilidades y las medidas de proteccin asociadas a ellas. Tales
conocimientos no impedirn todos los intentos de ingreso a la red o ataques al sistema, pero permitirn que
los ingenieros de redes eliminen algunos problemas generales, disminuyan los posibles daos en gran
medida y detecten violaciones a la seguridad rpidamente. Dado el aumento incesante en el nmero y la
complejidad de los ataques, es imprescindible implementar enfoques que permitan vigilar el aspecto de la
seguridad, tanto en empresas grandes como pequeas. La Figura 1 muestra el marcado incremento de los
incidentes de seguridad por ao, segn lo denunciado ante el Centro de Coordinacin CERT (centro
especializado en la seguridad en Internet).
Figura 1 Incidentes de seguridad por ao -- CERT.ORG

100.000
95.000
Nmero de incidentes denunciados
90.000
85.000
82.094
80.000
75.000
70.000
65.000
60.000
55.100
55.000
50.000
45.000
40.000
35.000
30.000
25.000
21.756
20.000
15.000
9.859
10.000
5.000
2.340
1995
2.412
2.573
1996
1997
2.134
1998
3.734
1999
2000
2001
2002
2003
Ao
1998 -2003 por la Carnegie Mellon University
Este informe presenta los aspectos fundamentales de la seguridad, as como algunas mejores prcticas en
lo referente a la red, los hosts y los elementos de infraestructura integrados en red. Dado que no existe una
nica forma de encarar el tema de la seguridad, el lector o implementador deber evaluar qu medidas
considera apropiadas.
El problema de las personas

Las personas son realmente el eslabn ms dbil de cualquier esquema de seguridad. La mayora de las
personas no son cuidadosas a la hora de mantener sus contraseas y cdigos de acceso en secreto. Estos
Rev 2005-0
elementos son la base de la mayora de los sistemas seguros. Todos los sistemas de seguridad se basan en
una serie de medidas que se toman para controlar el acceso, verificar identidades y evitar que se divulgue
informacin importante. Por lo general, para que estas medidas sean eficaces, es necesario guardar uno o
ms "secretos". Si se revelara o robara un secreto, los sistemas que esos secretos protegen podran verse
en riesgo. Puede parecer una afirmacin absolutamente obvia, pero los riesgos que afectan a la mayora de
los sistemas son provocados por causas muy bsicas. Quiz parezca una tontera dejar una nota con la
contrasea de acceso al sistema pegada en el costado del monitor, pero de hecho, muchas personas lo
hacen. Otro ejemplo, apenas menos obvio que el anterior, es la tendencia a dejar las contraseas
predeterminadas en algunos dispositivos de la red. Uno de esos dispositivos podra ser una interfaz de
gestin de redes conectada a un sistema UPS. En un esquema de seguridad, muchas veces se pasan por
alto los sistemas UPS, ya sean pequeos o lo suficientemente grandes para abastecer a 100 servidores. Si
se dejan los nombres de usuario y las contraseas predeterminados en esos dispositivos, es solo cuestin
de tiempo que alguien acceda al equipo con solo conocer el tipo de dispositivo y los datos de identificacin
predeterminados publicados para el producto. Imagnese el colapso de un banco de servidores con
protocolos de seguridad infranqueables en cada servidor Web y de correo electrnico debido a un simple
ciclo de potencia de un sistema UPS desprotegido!
Seguridad: panorama general

Una empresa segura, ya sea grande o pequea, debe tener un enfoque de seguridad integral y de extremo
a extremo si se pretende que tal enfoque sea eficaz. La mayora de las organizaciones no implementan
polticas ni prcticas de ese tipo. Existen muy buenas razones para que as sea; est claro que la seguridad
tiene un costo. Ese costo no solo se mide en dlares, sino en complejidad, tiempo y eficiencia. Para hacer
que un sistema sea seguro, es necesario gastar dinero, realizar ms procedimientos y esperar a que esos
procedimientos se completen (o tal vez contar con asistencia externa).
La realidad indica que los verdaderos programas de seguridad son difciles de lograr. Por lo general, se debe
elegir un esquema que incluya una parte de costo y una parte de cobertura de seguridad contemplada de
antemano. (Esto casi nunca llega a ser integral y de extremo a extremo.) Aqu lo ms importante es tomar
decisiones informadas para cada aspecto de un sistema general y utilizar los recursos de forma ms o
menos planificada. Si se conocen las reas menos protegidas, por lo menos se las puede monitorear para
identificar problemas o violaciones a la seguridad.
Conceptos bsicos de seguridad

Conocer la red
No se puede proteger nada si no se sabe con certeza QU se quiere proteger. Las organizaciones de
cualquier tamao deberan contar con un conjunto de recursos, activos y sistemas documentados. Cada uno
de esos elementos debera tener un valor relativo, asignado de acuerdo con su importancia para la
organizacin. Algunos de los elementos que deberan considerarse son los servidores, estaciones de
trabajo, sistemas de almacenamiento, routers, switches, hubs, enlaces de red y telefona, y cualquier otro
Rev 2005-0
dispositivo de la red, como impresoras, sistemas UPS y sistemas HVAC. Otros aspectos importantes de esta
tarea incluyen la documentacin de la ubicacin de los equipos y notas sobre el establecimiento. Por
ejemplo, la mayora de las computadoras utilizan sistemas de energa de respaldo como UPS que, si se los
administra, pueden formar parte de la red. Tambin se pueden encontrar equipos de monitoreo ambiental,
como unidades HVAC o purificadores de aire.
Anlisis de las diferentes amenazas

El siguiente paso es identificar las amenazas potenciales a cada uno de esos elementos, como se indica
en la Tabla 1. Las amenazas pueden provenir de fuentes internas o externas. Pueden ser causadas por
personas, automticas, o incluso provocadas por fenmenos naturales no intencionales. Sera ms
apropiado incluir a las ltimas en la categora de amenazas a la integridad del sistema en contraposicin a
amenazas a la seguridad, pero unas pueden conducir a las otras. Un ejemplo puede ser un corte en el
suministro elctrico que deja inactiva una alarma contra robos. El corte en el suministro elctrico podra ser
intencional o causado por un fenmeno natural, como la cada de un rayo. En cualquiera de los dos casos, la
seguridad disminuye.
Tabla 1 Resumen de las distintas amenazas y sus consecuencias

Amenaza
Interna/ externa
Consecuencias de la amenaza
Correo electrnico
con virus
Origen externo, uso interno
Puede infectar el sistema al leerse el correo electrnico

y, posteriormente, distribuirse a toda la organizacin.
Virus de red
Externo
Puede ingresar por puertos desprotegidos y poner en

riesgo toda la red.
Virus de la Web
Navegacin interna por

sitio Web externo
Puede poner el riesgo el sistema con el que se navega y,

en consecuencia, afectar otros sistemas internos.
Ataque a servidor
Web
Externo a servidores Web
Si se pone en riesgo al servidor Web, el hacker puede

acceder a otros sistemas internos a la red.
Ataque de negacin
de servicio
Externo
Los servicios externos, como la Web, el correo

electrnico y el FTP, podran quedar inutilizados.
Si el router recibe el ataque, podra caerse toda la red.
Ataque de un usuario
de la red (empleado
interno)
Interno a cualquier parte de

la red
Los firewalls de frontera tradicionales no detienen este

ataque. Los firewalls que permiten la segmentacin
interna pueden ayudar a acotar los daos.
Seguridad fsica: proteccin desde el interior

Segn la mayora de los expertos, toda seguridad empieza con la seguridad fsica. El control del acceso
fsico a los dispositivos y puntos de conexin de la red es quiz ms importante que cualquier otro aspecto
de la seguridad. Cualquier tipo de acceso fsico a un establecimiento interno hace que este quede muy
expuesto. Por lo general, si se logra el acceso fsico, pueden obtenerse archivos seguros, contraseas,
Rev 2005-0
certificados y todo otro tipo de datos. Por suerte, existen todo tipo de dispositivos para el control de accesos
y gabinetes seguros que pueden ayudar a resolver este problema. Para obtener ms informacin sobre la
seguridad fsica de los centros de datos y salas de redes, consulte el Informe interno N 82 de APC:
Seguridad fsica en infraestructuras de misin crtica.
Cmo particionar y proteger los lmites de la red con firewalls

Luego de lograr la seguridad fsica bsica de un establecimiento, lo siguiente es controlar el acceso digital a
y desde la red de la organizacin. En la mayora de los casos, esto implica controlar los puntos de
conectividad con el mundo exterior, que suele ser equivalente a Internet. Casi todas las empresas medianas
y grandes tienen presencia en Internet y una red corporativa conectada a la red. De hecho, cada vez son
ms las pequeas empresas y hogares que tienen conectividad con Internet las 24 horas. La particin de los
lmites entre Internet la red externa y la intranet interna es un aspecto clave de la seguridad. A veces, se
habla de la red interna como el lado "confiable" y de Internet como el lado "no confiable". A grandes rasgos,
esta distincin es correcta. Sin embargo, no es lo suficientemente especfica, como se detallar ms
adelante.
Un firewall es un mecanismo mediante el cual una barrera controlada regula el trfico de red hacia y desde
la intranet de una organizacin. Bsicamente, los firewalls son routers de aplicacin especfica. Funcionan
en sistemas dedicados incorporados tales como un dispositivo para Internet, o pueden ser programas de
software que funcionen en una plataforma de servidor general. En la mayora de los casos, estos sistemas
tienen dos interfaces de red, una para la red externa, como Internet, y otra para la intranet interna. El
proceso del firewall puede controlar estrictamente qu se autoriza a pasar de un lado al otro. La gama de
firewalls va desde los bastante sencillos a los muy complejos. Como ocurre con la mayora de los aspectos
de la seguridad, la eleccin del tipo de firewall que se utilizar depender de ciertos factores, como los
niveles de trfico, los servicios que requieran proteccin y la complejidad de las reglas que se necesita
implementar. Cuantos ms servicios deban poder atravesar el firewall, ms complejos son los requisitos. El
problema relacionado con los firewalls es la distincin entre el trfico legtimo y el ilegtimo.
Qu clases de proteccin ofrecen los firewalls y qu situaciones quedan excluidas? Los firewalls son como
muchas otras cosas; si se los configura correctamente, pueden ser una buena forma de proteccin contra
amenazas externas, incluso contra algunos ataques de negacin de servicio (DOS). Si no se los configura
correctamente, pueden convertirse en grandes huecos en la seguridad de la empresa. La proteccin ms
elemental que brinda un firewall es la posibilidad de bloquear el trfico de red dirigido a ciertos destinos. Se
incluyen tanto las direcciones IP como puertos de servicio especficos de la red. Un establecimiento que
desee brindar acceso externo a su servidor Web puede restringir todo el trfico al puerto 80 (el puerto HTTP
estndar). Por lo general, esta restriccin solo se aplica al trfico que se origina en el lado no confiable. No
se restringe el trfico que se origina en el lado confiable. Se impide que otros tipos de trfico, como el de
correo electrnico, FTP, SNMP, etc., atraviesen el firewall e ingresen en la intranet. En la Figura 2 se puede
ver un ejemplo de un firewall sencillo.
Rev 2005-0
Figura 2 Firewall sencillo en una red

Red privada
(corporativa )
Internet
Firewall
Un caso todava ms sencillo es el del firewall que comnmente se utiliza en los hogares o pequeas
empresas con routers para conexiones DSL o cable mdem. Por lo general, estos firewalls estn
configurados para limitar TODO el acceso externo y permitir que funcionen solo los servicios que se originan
en el interior. Un lector cuidadoso podra advertir que en ninguno de estos casos el firewall bloquea
realmente todo el trfico del exterior. Si as fuera, cmo se podra navegar por la Web y recibir pginas
Web? Lo que el firewall hace es restringir los pedidos de conexin provenientes del exterior. En el primer
caso, todos los pedidos de conexin del interior y la posterior transferencia de datos con esa conexin pasan
al exterior. Desde el exterior, solo se permite que un pedido de conexin con el servidor Web se complete y
pase datos. Todos los dems se bloquean. El segundo caso es ms estricto, ya que solo se pueden realizar
conexiones del interior al exterior.
Otras reglas de firewall ms complejas pueden utilizar lo que se conoce como tcnicas de Stateful Inspection
(filtrado dinmico de paquetes). Este enfoque agrega al enfoque bsico de bloqueo de puertos el anlisis de
las secuencias y el comportamiento del trfico para detectar ataques por enmascaramiento y ataques de
negacin de servicio. Cuanto ms complejas sean las reglas, mayor deber ser la potencia informtica del
firewall.
Un problema que la mayora de las organizaciones enfrenta es cmo permitir el acceso legtimo a los
servicios "pblicos", como la Web, el FTP y el correo electrnico y, a la vez, mantener una seguridad
rigurosa en la intranet. El enfoque ms comn para resolver este problema es lo que se conoce como DMZ
(zona desmilitarizada), un eufemismo de la Guerra Fra aplicado a las redes. En este tipo de arquitectura se
utilizan dos firewalls: uno entre la red externa y la DMZ, y otro entre la DMZ y la red interna. Todos los
servidores pblicos se encuentran en la DMZ. Este tipo de configuracin hace posible aplicar reglas para el
firewall que permitan el acceso pblico a los servidores pblicos. A la vez, el firewall interno puede restringir
todas las conexiones entrantes. Si se tiene una DMZ, los servidores pblicos estn ms protegidos que si
estuvieran ubicados fuera de un nico firewall. La Figura 3 muestra el uso de una DMZ.
Rev 2005-0
Figura 3 Firewalls duales con DMZ

Red privada
(corporativa)
DMZ
Internet
Firewall
interno
Firewall
Servidor FTP
El uso de firewalls internos en varios lmites de la intranet tambin puede ayudar a acotar los daos
causados por amenazas internas y otros elementos como gusanos que hayan logrado transponer los
firewalls de frontera. Incluso se los puede ejecutar en modo standby para no bloquear los patrones de trfico
normales y permitir la activacin de reglas estrictas si surge algn problema.
Firewalls para estaciones de trabajo

Otro factor importante en la seguridad de las redes, y que la mayora est empezando a advertir recin
ahora, es que CADA nodo o estacin de trabajo de una red podra ser un hueco de seguridad potencial. En
el pasado, la atencin se centraba en los firewalls y los servidores. Sin embargo, con el surgimiento de la
Web y la proliferacin de nuevos tipos de nodos, como los dispositivos para Internet, hay muchas ms
dimensiones que tener en cuenta a la hora de proteger las redes. Ciertos virus gusanos secuestran
computadoras y las utilizan para seguir diseminndose y, en ocasiones, daar los sistemas. Podra
detenerse o dificultarse en gran medida el ingreso de muchos de estos gusanos si las empresas tuvieran sus
sistemas internos mejor "cerrados". Los firewalls para estaciones de trabajo pueden bloquear los accesos a
todos los puertos que impliquen la entrada o salida de los hosts individuales que no formen parte de las
necesidades habituales de cada host. Adems, las reglas de los firewalls del lado INTERNO que bloquean
las conexiones sospechosas hacia afuera de la empresa pueden ayudar a evitar que los gusanos se
diseminen fuera de la organizacin. Con los dos firewalls se puede reducir la replicacin interna y externa del
virus. En trminos generales, todos los sistemas deberan poder bloquear todos los puertos que no se
utilicen.
Rev 2005-0
Seguridad bsica para los hosts de la red

Cmo bloquear puertos y reducir la cantidad de servicios en funcionamiento
Muchos hosts y dispositivos de red ponen en marcha servicios de red en forma predeterminada. Cada uno
de estos servicios puede ser una oportunidad para un ataque o el ingreso de gusanos y troyanos. Muchas
veces, estos servicios predeterminados no son necesarios. Esta exposicin a las amenazas se reduce al
bloquear puertos por medio de la desactivacin de servicios. Como se mencion en la seccin sobre
firewalls, al igual que las redes, las computadoras de escritorio y los servidores pueden poseer un programa
de firewall sencillo para bloquear el acceso a puertos IP innecesarios en el host o para restringir el acceso
desde ciertos hosts. Esta prctica es importante para la proteccin interna si se han vulnerado las defensas
exteriores y para la proteccin de otras amenazas internas. Existen muchos paquetes de software con
firewalls para computadoras de escritorio que funcionan muy bien a la hora de proteger hosts. Por ejemplo, a
partir de Windows XP Service Pack 2, Microsoft tambin ofrece como parte del paquete un firewall sencillo.
Administracin de nombres de usuario y contraseas

Como se mencion en la introduccin, la mala administracin de los nombres de usuario y las contraseas
constituye un problema comn en la mayora de las redes corporativas. Los sofisticados sistemas de
autenticacin centralizada (que veremos ms adelante) pueden ayudar a reducir la cantidad de problemas,
pero tambin existen algunas pautas bsicas que, si se siguen, son de gran ayuda. Hay cuatro reglas
bsicas relacionadas con los nombres de usuario y las contraseas:
1.
No utilice contraseas obvias, como el nombre de su pareja, su equipo favorito, etc.
2.
Use contraseas largas e incluya nmeros o smbolos.
3.
Cambie las contraseas en forma regular.
4.
NUNCA deje los datos de identificacin predeterminados en los equipos de la red.
Salvo que las computadoras o los equipos posean polticas integradas que hagan respetar los conceptos
aqu mencionados, estas son reglas que cada uno debe ocuparse de cumplir. El cumplimiento de la regla 4
puede evaluarse si se tienen programas en la red que se ocupen de detectar dispositivos con datos de
identificacin predeterminados.
Listas de control de acceso

Pueden configurarse listas de acceso en muchos tipos de equipos o hosts. Estas listas indican los nombres
de hosts o direcciones IP que son vlidos para acceder al dispositivo en cuestin. Por ejemplo, es comn
que se restrinja el acceso a los equipos de la red desde el interior de la red de una empresa. Esto protegera
a la red de cualquier tipo de acceso que pudiera vulnerar el firewall externo. Este tipo de listas de acceso es
importante como ltimo recurso de defensa y puede ser bastante potente en algunos dispositivos que tengan
diferentes reglas para distintos protocolos de acceso.
Rev 2005-0
Acceso seguro a dispositivos y sistemas

Dado que no siempre se puede suponer que las redes de datos estn protegidas del ingreso de intrusos o
del espionaje de datos, se crearon protocolos que incrementan la seguridad de los dispositivos conectados a
la red. En general, hay dos conceptos distintos que tener en cuenta: la autenticacin y la no divulgacin
(cifrado). Existen diversos esquemas y protocolos que se ocupan de estos dos requisitos en los sistemas y
comunicaciones seguros. Primero veremos los fundamentos de la autenticacin y luego pasaremos al
cifrado.
Autenticacin de usuarios para dispositivos de red

La autenticacin es necesaria cuando se quiere controlar el acceso a los elementos de la red, en particular,
a los dispositivos que forman la infraestructura de la red. La autenticacin comprende dos cuestiones: la
autenticacin del acceso general y la autorizacin funcional. El acceso general es lo que permite controlar si
un usuario en particular tiene ALGN tipo de derecho de acceso al elemento en cuestin o no.
Habitualmente, el acceso general se representa con una cuenta de usuario. La autorizacin se ocupa de
los derechos de cada usuario individual. Por ejemplo, qu puede hacer un usuario una vez que fue
autenticado? Puede configurar el dispositivo o solo ver datos? La Tabla 2 muestra un resumen de los
protocolos de autenticacin ms importantes, sus caractersticas y las aplicaciones asociadas.
Tabla 2 Resumen de los protocolos de autenticacin ms importantes

Protocolo
Caractersticas
Usos del protocolo
Nombre de usuario/
contrasea
Texto plano, token memorizado
Telnet, HTTP
CHAP
(Protocolo de
autenticacin por
desafo mutuo)
Utiliza valores hash formados a partir de

contraseas y datos variables en el
tiempo para evitar la transmisin directa
de la contrasea
MS-CHAP, PPP, APC HTTP, Radius
RADIUS
Contraseas directas o CHAP, mtodos

de autorizacin y de control de actividad
del usuario
Backend para Telnet, SSH, SSL, Front end para

el Servidor IAS de Microsoft. Mtodo comn de
autenticacin centralizada para los dispositivos
de la red
TACACS+
Autenticacin, autorizacin, control de

actividad del usuario y soporte total de
cifrado
Protocolo Cisco, autenticacin centralizada,

algunos usos en RAS (Servicio de acceso
remoto)
Kerberos
Autenticacin y autorizacin de servicios,

cifrado total
Aplicaciones con Kerberos, como Telnet,

servicio de autenticacin de dominios de
Microsoft integrado con Active Directory
Uno de los aspectos ms importantes de la seguridad de una red es la restriccin del acceso a los
dispositivos. Dado que los dispositivos de la infraestructura brindan soporte tanto a la red como a los
equipos informticos ipso facto, cualquier riesgo que corran puede causar el colapso de toda la red y sus
recursos. Paradjicamente, muchos departamentos informticos se esfuerzan por proteger los servidores e
Rev 2005-0
10
instalar firewalls y mecanismos de acceso seguros, pero conservan medidas de seguridad rudimentarias en
algunos dispositivos elementales.
Como mnimo, todos los dispositivos deberan contar con autenticacin de nombre de usuario y contrasea.
Estos campos no deberan ser de formacin sencilla (10 caracteres que mezclen letras, nmeros y
smbolos). Se deben establecer restricciones tanto en cuanto al nmero de usuarios como a los tipos de
autorizacin que se confieren a estos. Se debe tener cuidado cuando se utilizan mtodos de acceso remoto
que no son seguros, por ejemplo, cuando se transmiten por la red nombres de usuario y contraseas sin
cifrar. Tambin deberan cambiarse las contraseas con una frecuencia razonable, por ejemplo, cada tres
meses y cada vez que un empleado deja de trabajar para la empresa, si se utilizan contraseas grupales.
Mtodos de autenticacin centralizada

Para empezar, es importante que los mtodos de autenticacin sean apropiados. Sin embargo, los mtodos
de autenticacin centralizada funcionan mejor cuando a) hay un gran nmero de usuarios para cada
dispositivo, o b) hay muchos dispositivos en la red. Tradicionalmente, la autenticacin centralizada se
utilizaba para resolver problemas como los del punto (a). El ms comn era el acceso remoto a la red. En los
sistemas de acceso remoto, como los RAS por dial-up, sencillamente no se podan administrar los usuarios
de las unidades RAS de la red. Exista la posibilidad de que cualquier usuario de la red intentara utilizar
cualquiera de los puntos de acceso RAS existentes. Colocar y mantener actualizada toda la informacin de
los usuarios en todas las unidades RAS excedera la capacidad de esas unidades en una gran empresa con
muchos usuarios y sera una pesadilla para los administradores.
Los sistemas de autenticacin centralizada, como RADIUS o Kerberos, resuelven este inconveniente al
utilizar informacin centralizada de las cuentas de usuario a la que las unidades RAS, u otros tipos de
equipos, pueden acceder en forma segura. Estos esquemas centralizados permiten que la informacin se
almacene en un solo lugar y no en varios. En vez de tener que administrar usuarios en varios dispositivos,
se los puede administrar desde un solo lugar. En caso de ser necesario, una sencilla tarea permite modificar
informacin del usuario, por ejemplo, introducir una nueva contrasea. Si un usuario deja la empresa, se
elimina la cuenta del usuario y se impide su acceso a todos los equipos mediante la autenticacin
centralizada. Un inconveniente que surge con frecuencia en las redes grandes que no utilizan autenticacin
centralizada es recordar que se deben eliminar las cuentas en todos los equipos. Por lo general, los
sistemas de autenticacin centralizada, como RADIUS, se pueden integrar sin problemas a otros esquemas
de administracin de cuentas de usuario, como Active Directory de Microsoft o los directorios LDAP. Estos
dos sistemas de directorios no son sistemas de autenticacin en s mismos, pero se los utiliza como
mecanismos centralizados de almacenamiento de cuentas. La mayora de los servidores RADIUS pueden
comunicarse con unidades RAS y otros dispositivos de la red por medio del protocolo RADIUS para luego
acceder en forma segura a la informacin de las cuentas almacenada en los directorios. Esto es
exactamente lo que hace el servidor IAS de Microsoft para integrar RADIUS y Active Directory. Este enfoque
indica que no solo se brinda autenticacin centralizada para los usuarios del servicio de acceso remoto y los
dispositivos, sino que la informacin de las cuentas tambin se unifica con las cuentas de dominio de
Microsoft. La Figura 4 muestra un controlador de dominio Windows que funciona como servidor Active
Rev 2005-0
11
Directory y como servidor RADIUS para elementos de la red que se autentican en un dominio Active
Directory.
Figura 4 Controlador de dominio Windows

Controlador de dominio
Windows con servidor IAS
Radius
Active
Directory
CD
Base de datos
Usuario cliente de
Radius
Respuesta
de acceso
Pedido
de acceso
Respuesta de
autenticacin
Dispositivo
CUPS /
Placa de gestin
IAS /
Radius
Pedido de
autenticacin
Radius
Cmo asegurar los datos de la red por medio del cifrado y la autenticacin
En algunos casos, se debe tener en cuenta el tema de la divulgacin de la informacin que se intercambia
entre elementos de la red, computadoras o sistemas. Sin duda, no conviene que alguien ingrese a una
cuenta bancaria que no le pertenece u obtenga informacin personal que se transmite por una red. Cuando
se quiere evitar que se divulguen datos por una red, deben utilizarse mtodos de cifrado para que quien
obtuvo esos datos de algn modo a medida que transitaban la red no pueda leerlos. Existen muchos
mtodos para cifrar datos. Explicaremos los ms importantes. En lo que se refiere a algunos dispositivos
de la red como los sistemas UPS, la mayor preocupacin no suele ser la importancia de proteger datos
como las tensiones del sistema UPS y las corrientes de los bloques de tomacorrientes. Sin embargo, se
debe tener en cuenta el control del acceso a dichos elementos.
La no divulgacin de datos de identificacin para autenticacin, como los nombres de usuario y las
contraseas, es clave en los sistemas a los cuales se accede por redes no seguras, como Internet. Se
considera mejor prctica proteger estos datos de identificacin incluso dentro de las redes privadas de las
empresas. Aunque es menos frecuente, muchas empresas comenzaron a implementar polticas para que
TODO el trfico administrativo, no solo los datos de identificacin para autenticacin, sea seguro (cifrado).
En cualquier caso, se debe utilizar algn tipo de mtodo criptogrfico.
Rev 2005-0
12
Por lo general, el cifrado de datos se logra mediante la combinacin de datos en texto plano (la entrada) y
una clave secreta que utiliza un algoritmo de cifrado especfico (por ejemplo, 3DES, AES, etc.). El resultado
(la salida) es un texto cifrado. Salvo que una persona (o computadora) conozca la clave secreta, no podr
reconvertir el texto cifrado en el texto plano original. Esta metodologa elemental es la base de cualquiera de
los protocolos seguros (que describiremos ms adelante). Otro de los ladrillos que construyen el sistema
criptogrfico es el hashing. Luego de que se ingresa cierto texto plano, y en algunos casos tambin una
clave, los mtodos de hashing calculan un nmero grande que se denomina hash. Dicho nmero tiene un
tamao (nmero de bits) fijo, independientemente del tamao de la entrada. A diferencia de los mtodos de
cifrado reversibles, en los que se puede volver al texto plano por medio de la clave, los mtodos de hashing
funcionan en un nico sentido. Matemticamente, no se puede volver de un hash al texto plano. Los hashes
se utilizan como identificaciones especiales en varios sistemas de protocolos porque brindan un mecanismo
de control de datos similar al CRC (control por redundancia cclico) que permite analizar archivos en un
disco para detectar posibles alteraciones en los datos. Los hashes se utilizan como mtodos de
autenticacin de datos (que difiere de la autenticacin de usuarios). Si alguien intenta alterar en forma
secreta los datos que circulan por una red, cambiar los valores del hash y, de esa forma, podr ser
detectado. La Tabla 3 muestra una comparacin bsica de los algoritmos criptogrficos y sus usos.
Tabla 3 Resumen de los algoritmos criptogrficos ms importantes

Algoritmo
Uso principal
Uso de protocolos
DES
Cifrado
SSH, SNMPv3, SSL/TLS
3DES
Cifrado
RC4
Cifrado
SSL/TLS
Blowfish
Cifrado
SSH
AES
Cifrado
SSH, SSL/TLS
MD5
Hashing, cdigos de autenticacin de

mensajes
SHA
Hashing, cdigos de autenticacin de

mensajes
Protocolos de acceso seguro

Existen una variedad de protocolos, como el SSH y el SSL, que utilizan distintos mecanismos criptogrficos
para brindar seguridad a travs de mtodos de autenticacin y cifrado. El nivel de seguridad que brindan
depende de muchos factores, como los mtodos criptogrficos que se utilizan, el acceso a los datos
transmitidos, el largo de las claves de los algoritmos, las implementaciones de los servidores y los clientes y,
lo ms importante, el factor humano. Se puede vulnerar incluso el mejor esquema criptogrfico si un tercero
obtiene los datos de acceso de un usuario, como la contrasea o el certificado. El caso tpico mencionado
anteriormente es el de una nota con una contrasea de acceso pegada en un monitor.
Rev 2005-0
13
El protocolo SSH
El protocolo SSH (Secure Shell) para clientes y servidores se desarroll a mediados de los aos 90 con el fin
de brindar un mecanismo seguro para acceder a las consolas informticas o interfaces de usuario de
manera remota por redes desprotegidas o "no seguras". Este protocolo brinda mtodos seguros para
abordar el tema de la autenticacin de usuarios y servidores y el cifrado absoluto de todo el trfico entre el
cliente y el servidor. El protocolo SSH tiene dos versiones, V1y V2, que difieren mnimamente en los
mecanismos criptogrficos que emplea cada una. Adems, la versin V2 es superior a la hora de ofrecer
proteccin contra ciertos tipos de ataques. (Se considera ataque cualquier intento de interceptar, falsificar o
alterar de algn modo la informacin transmitida realizado por un tercero que no participe en la interaccin
en cuestin.)
SSH se utiliza como protocolo de acceso seguro a consolas informticas desde hace aos. Sin embargo,
tradicionalmente se lo ha usado menos en dispositivos de carcter secundario en la infraestructura de la red,
como los sistemas UPS y HVAC. De todas formas, dado que las redes y la infraestructura de redes que les
brindan soporte son cada vez ms importantes en las prcticas de negocios de las empresas, el uso de este
mtodo de acceso seguro para todo tipo de equipos se est volviendo ms comn.
El protocolo SSL\TLS
El protocolo SSH es el protocolo seguro que normalmente se utiliza para el acceso a consolas informticas
para tareas de administracin del tipo de las de lneas de comando, pero el protocolo SSL (Secure Socket
Layer), y luego el protocolo TLS (Transport Layer Security), se convirtieron en el mtodo estndar para
asegurar el trfico Web y otros protocolos como el SMTP (para correo electrnico). El protocolo TLS es la
versin ms reciente del protocolo SSL. Hoy en da, es comn que todava se usen ambos trminos de
manera intercambiable. El SSL y el SSH difieren principalmente en lo que concierne a los mecanismos de
autenticacin de clientes y servidores incorporados a cada protocolo. El protocolo TLS tambin fue aceptado
como estndar por el IETF (Grupo de Trabajo en Ingeniera de Internet), mientras que dicha organizacin
nunca acept completamente el SSH como estndar definitivo, a pesar de que se lo implementa mucho
como estndar preliminar. El SSL es el protocolo seguro que protege el trfico Web HTTP, tambin conocido
como HTTPS ("HTTP Seguro"). Tanto Netscape como Internet Explorer son compatibles con los protocolos
SSL y TLS. Cuando se utilizan estos protocolos, se realiza una autenticacin formal del servidor para el
cliente por medio de un certificado de servidor. A continuacin, desarrollaremos el tema de los certificados.
Tambin se puede autenticar al cliente por medio de certificados, aunque ms comnmente se utilizan
nombres de usuarios y contraseas. Dado que las sesiones SSL siempre estn cifradas, la informacin de
la autenticacin y cualquier tipo de datos de las pginas Web son seguros. El protocolo SSL siempre se
utiliza en sitios Web que desean ser seguros para la realizacin de transacciones bancarias y para otros
fines comerciales, ya que los clientes generalmente acceden a ellos desde Internet, la red pblica.
Como la administracin a travs de la Web de los dispositivos de la red (servidores Web incorporados) es
hoy en da la forma ms comn de configuracin bsica y determinacin de puntos de acceso de usuarios,
es muy importante protegerla. Las empresas que desean que toda su red se administre en forma segura,
pero a la vez quieren aprovechar las ventajas de las interfaces grficas como el HTTP, deberan utilizar
Rev 2005-0
14
sistemas que funcionen con el protocolo SSL. Como mencionbamos anteriormente, el SSL tambin puede
proteger comunicaciones no basadas en HTTP. Si se utilizan clientes que no se comunican por HTTP,
tambin debe emplearse el SSL para que sus protocolos de acceso garanticen la seguridad. La otra ventaja
de utilizar el SSL en todos estos casos es que se pueden utilizar protocolos estndar con esquemas de
autenticacin y cifrado comunes.
Mejores prcticas para la seguridad de las redes

Las polticas de seguridad bien planificadas pueden incrementar la seguridad de la red de manera
significativa. Si bien las polticas pueden ser complejas y engorrosas o simples y elementales, muchas veces
los aspectos sencillos son los ms tiles. Pensemos en la combinacin de un sistema de actualizacin de
antivirus que se administra en forma centralizada y un sistema de anlisis en los hosts que detecta sistemas
nuevos o desactualizados. Este tipo de sistemas requiere configuracin, una administracin centralizada y la
capacidad de implementar software, pero por lo general todos estos elementos se ofrecen como parte de los
sistemas operativos actuales. En general, las polticas y las herramientas de aplicacin automticas, dentro
de parmetros ideales, ayudan a reducir los huecos obvios en la seguridad del sistema y nos permiten
concentrarnos en aspectos ms complejos. A continuacin se detallan los aspectos ms comunes de las
polticas de seguridad para redes corporativas:
Firewalls en todos los puntos de trnsito de la red pblica o privada
Conjuntos de reglas para firewalls de implementacin centralizada con control de versiones
Recursos externos ubicados en un firewall dual y redes protegidas por una DMZ
Todos los hosts de la red deben bloquear los puertos de red innecesarios y desactivar los servicios
que no se utilizan
Todos los hosts de la red deben contar con software anti-virus administrado en forma centralizada
Todos los hosts de la red deben tener actualizaciones de seguridad centralizadas
Se debe utilizar un mtodo de autenticacin centralizada seguro, como Radius o

Windows/Kerberos/Active Directory
Administracin de usuarios centralizada con poltica de contraseas (por ejemplo, deben cambiarse
las contraseas cada tres meses y deben utilizarse "contraseas seguras)
Anlisis proactivo de la red en busca de nuevos hosts y sistemas desactualizados
Monitoreo de la red en busca de comportamientos sospechosos
Mecanismos de respuesta a incidentes (polticas, manuales, automticos, etc.).
La lista anterior muestra los puntos clave que debe contemplar la poltica de seguridad. Tambin podran
incluirse en las polticas otros puntos de gran alcance. Obviamente, siempre es importante evaluar algunos
factores, como el tamao de la empresa, el anlisis de riesgos, el costo y el impacto para los negocios antes
de definir el tipo de poltica y su alcance. Como mencionbamos anteriormente, el anlisis del sistema suele
ser un buen punto de partida, seguido del anlisis de los negocios. Aunque no parezca obvio, incluso las
empresas muy pequeas deben tener algn tipo de poltica de seguridad, ya que todas las redes,
independientemente de su tamao, pueden ser blanco de ataques.
Rev 2005-0
15
Conclusiones
Dado el aumento en la cantidad de amenazas a las redes, como los gusanos, los virus y los hackers
inteligentes, la seguridad ya no puede ser considerada una opcin, incluso en las redes privadas. Es clave
proteger todos los equipos, incluso los que conforman la infraestructura fsica, como los sistemas UPS y
HVAC, para mantener el tiempo productivo y el acceso sin dificultades a los servicios. En general, brindar y
mantener la seguridad en toda la empresa requiere un incremento en las tareas de administracin.
Histricamente, este ha sido el mayor obstculo para la implementacin de medidas de seguridad a gran
escala. Hoy en da, el tiempo que lleva reparar una red por un solo ataque de un gusano o virus suele ser
mayor que el tiempo inicial que lleva proteger una empresa ms adecuadamente. Por suerte, existen
muchas opciones en lo que se refiere a sistemas y software para aumentar la seguridad de la red y reducir el
gasto fijo que representa administrar esos sistemas. Hasta las prcticas ms elementales, como la
actualizacin peridica del software, la desactivacin de todos los dispositivos y el uso de autenticacin
centralizada y mtodos de acceso seguro pueden reducir los riesgos de manera considerable. La
implementacin de polticas de seguridad adecuadas y auditoras de redes frecuentes aumentan aun ms la
proteccin global de la red.
Acerca del autor

Christopher Leidigh es el Director del rea de Investigaciones sobre Comunicaciones y Tecnologa de APC
ubicada en Rhode Island, Estados Unidos. Tiene 18 aos de experiencia en programacin y diseo de
sistemas de microprocesadores y computadoras, y actualmente est dedicado a la investigacin y el diseo
de sistemas de seguridad e incorporados, sistemas de comunicacin y redes IP. Trabaja en APC desde
hace diez aos, a cargo de la lnea de productos de administracin y redes incorporadas. Obtuvo el ttulo de
Bachelor of Science en Ingeniera Bioelctrica en la Brown University. Es orador frecuente en los Congresos
sobre Sistemas Incorporados en los Estados Unidos y el exterior, y es miembro del Consejo Consultivo.
Escribi artculos en las siguientes publicaciones: Journal of Physiology, Embedded Systems Programming,
EE Times y Communications Systems Design.
Rev 2005-0
16

Manual de Seguridad de Redes

Cargado por

Información del documento

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Manual de Seguridad de Redes

Cargado por

Copyright:

Formatos disponibles

Principios

Por Christopher Leidigh

Informe interno N 101

Figura 1 Incidentes de seguridad por ao -- CERT.ORG

Nmero de incidentes denunciados

El problema de las personas

Seguridad: panorama general

Conceptos bsicos de seguridad

Anlisis de las diferentes amenazas

Tabla 1 Resumen de las distintas amenazas y sus consecuencias

Origen externo, uso interno

Puede infectar el sistema al leerse el correo electrnico

Puede ingresar por puertos desprotegidos y poner en

Navegacin interna por

Puede poner el riesgo el sistema con el que se navega y,

Externo a servidores Web

Si se pone en riesgo al servidor Web, el hacker puede

Los servicios externos, como la Web, el correo

Interno a cualquier parte de

Los firewalls de frontera tradicionales no detienen este

Seguridad fsica: proteccin desde el interior

Cmo particionar y proteger los lmites de la red con firewalls

Figura 2 Firewall sencillo en una red

Figura 3 Firewalls duales con DMZ

Firewalls para estaciones de trabajo

Seguridad bsica para los hosts de la red

Administracin de nombres de usuario y contraseas

No utilice contraseas obvias, como el nombre de su pareja, su equipo favorito, etc.

Use contraseas largas e incluya nmeros o smbolos.

Cambie las contraseas en forma regular.

NUNCA deje los datos de identificacin predeterminados en los equipos de la red.

Listas de control de acceso

Acceso seguro a dispositivos y sistemas

Autenticacin de usuarios para dispositivos de red

Tabla 2 Resumen de los protocolos de autenticacin ms importantes

Usos del protocolo

Texto plano, token memorizado

Utiliza valores hash formados a partir de

MS-CHAP, PPP, APC HTTP, Radius

Contraseas directas o CHAP, mtodos

Backend para Telnet, SSH, SSL, Front end para

Autenticacin, autorizacin, control de

Protocolo Cisco, autenticacin centralizada,

Autenticacin y autorizacin de servicios,

Aplicaciones con Kerberos, como Telnet,

Mtodos de autenticacin centralizada

Figura 4 Controlador de dominio Windows

Tabla 3 Resumen de los algoritmos criptogrficos ms importantes

SSH, SNMPv3, SSL/TLS

SSH, SNMPv3, SSL/TLS

Hashing, cdigos de autenticacin de

SSH, SNMPv3, SSL/TLS

Hashing, cdigos de autenticacin de

SSH, SNMPv3, SSL/TLS

Protocolos de acceso seguro

Mejores prcticas para la seguridad de las redes

Firewalls en todos los puntos de trnsito de la red pblica o privada

Conjuntos de reglas para firewalls de implementacin centralizada con control de versiones

Todos los hosts de la red deben tener actualizaciones de seguridad centralizadas

Se debe utilizar un mtodo de autenticacin centralizada seguro, como Radius o

Anlisis proactivo de la red en busca de nuevos hosts y sistemas desactualizados

Monitoreo de la red en busca de comportamientos sospechosos

Mecanismos de respuesta a incidentes (polticas, manuales, automticos, etc.).

Acerca del autor