Principios Básicos de La Seguridad en Red - R0 - ES - Schneider Electric - Jun2012

Principios bsicos de la seguridad de red
Por Christopher Leidigh
Documento tcnico n. 101
Sumario
Los incidentes de seguridad estn aumentando a un ritmo alarmante cada ao. A medida que aumenta la complejidad de las amenazas, crece tambin el nmero de medidas de seguridad necesarias para proteger las redes. Los operadores, los administradores de red y otros profesionales responsables de los centros de datos, tienen que comprender los principios bsicos de seguridad para poder implementar y gestionar de forma segura las redes de hoy en da. En este documento se tratan los fundamentos bsicos de los sistemas de red seguros, incluidos los cortafuegos, la topologa de red y los protocolos seguros. Se ofrecen prcticas ptimas que presentan al lector algunos de los aspectos ms crticos a la hora de garantizar la seguridad de una red.
2005 American Power Conversion. Reservados todos los derechos. Ninguna parte de esta publicacin podr utilizarse, reproducirse, fotocopiarse, transmitirse o almacenarse en ningn sistema de recuperacin de datos de ningn tipo sin contar con la autorizacin por escrito del propietario del copyright. www.apc.com Rev. 2005-0
Introduccin
Para garantizar la seguridad de la infraestructura de TI y de las redes empresariales modernas, se requiere un enfoque global y un slido conocimiento de las vulnerabilidades y las medidas de proteccin asociadas. Aunque tal conocimiento no puede frustrar todos los intentos de ataque al sistema o de incursin en la red, s que ayuda a los ingenieros de redes a eliminar ciertos problemas de carcter general, a reducir considerablemente los posibles daos y a detectar infracciones con rapidez. Teniendo en cuenta que el nmero y la complejidad de los ataques estn en constante aumento, es imprescindible adoptar una actitud vigilante por lo que respecta a la seguridad, tanto en grandes como en pequeas empresas. En la Figura 1 se ilustra el pronunciado aumento de incidentes de seguridad que se producen cada ao, de acuerdo con las notificaciones recibidas por el centro de coordinacin del CERT (un centro experto sobre seguridad en Internet).
Figura 1 Incidentes de seguridad por ao (CERT.ORG)

100,000
95,000 90,000
Nmero de incidentes comunicados
85,000 80,000 82,094
75,000
70,000 65,000 60,000 55,000 55,100
50,000
45,000 40,000 35,000 30,000
25,000
20,000 15,000 10,000 5,000 2,340 2,412 2,573 2,134 3,734 9,859 21,756
1995
1996
1997
1998
1999
2000
2001
2002
2003
Ao
1998-2003 de Carnegie Mellon University
En este documento se describen los fundamentos bsicos de seguridad y se indican algunas prcticas ptimas sobre la red, hosts informticos y elementos de red de infraestructura. Como no existe un enfoque de seguridad nico, dejamos la eleccin de las medidas adecuadas al criterio del lector o del responsable de implementacin.
El factor humano
Las personas son realmente el eslabn ms dbil en cualquier cadena de seguridad. La mayora de las personas no son lo suficientemente cuidadosas a la hora de mantener secretos como las contraseas y cdigos de acceso, que conforman la base de gran parte de los sistemas seguros. Todos los sistemas de seguridad dependen de una serie de medidas aplicadas para controlar el acceso, verificar la identidad y proteger la revelacin de informacin confidencial. Normalmente, estas medidas implican una o ms claves. Cuando alguien desvela o roba una de estas claves, la seguridad de los sistemas protegidos mediante dichas contraseas se ve comprometida. Tal vez esta afirmacin parezca terriblemente obvia, pero la verdad es que la seguridad de la mayora de los sistemas se ve comprometida por detalles muy bsicos. Dejar una nota con la contrasea del sistema pegada en el lateral del monitor de un ordenador puede parecer un error estpido pero, de hecho, hay muchas personas que hacen este tipo de cosas. Otro ejemplo, aunque algo menos obvio, es la tendencia a mantener las contraseas predeterminadas de fbrica en determinados dispositivos de red. Uno de dichos dispositivos podra ser una interfaz de gestin de red de un SAI. A menudo, los sistemas SAI, tanto los pequeos como los que tienen capacidad para alimentar 100 servidores, se pasan por alto en los esquemas de seguridad. Si no se modifican los nombres de usuario y contraseas predeterminados de estos dispositivos, es slo cuestin de tiempo que alguien acceda al sistema valindose simplemente del tipo de dispositivo y sus credenciales predeterminadas publicadas. Imagnese un banco de servidores con frreos protocolos de seguridad en cada servidor de correo y Web bloqueado por un simple ciclo de alimentacin de un SAI desprotegido.
Seguridad: radiografa general

Una empresa segura, grande o pequea, debe enfocar la seguridad de forma exhaustiva y global si desea que sta sea eficaz. La mayora de las organizaciones no pone en prctica las polticas y medidas necesarias. Existen diversos motivos de peso para ello; lgicamente, la seguridad tiene un coste. Este coste se puede contabilizar no slo en capital, sino tambin en complejidad, tiempo y eficacia. Para garantizar la seguridad del sistema hay que invertir dinero, aplicar ms procedimientos y esperar a que dichos procedimientos concluyan (o quiz recurrir a terceras personas). La verdad es que los autnticos programas de seguridad son difciles de implementar. Normalmente es necesario elegir un esquema que tenga cierta cantidad de costes y una cantidad implcita de cobertura de seguridad. (Esta solucin es casi siempre inferior a una estrategia exhaustiva y global). La clave en este caso es tomar decisiones coherentes para cada aspecto de un sistema general y emplear conscientemente ms o menos de forma calculada. Si uno sabe qu reas estn menos protegidas, al menos puede supervisarlas para identificar problemas o infracciones.
Principios bsicos de seguridad

Conocimiento de la red
No es posible proteger nada a menos que uno entienda claramente AQUELLO que desea proteger. Independientemente de su tamao, todas las organizaciones deberan tener una serie de sistemas, activos y recursos documentados. Cada uno de estos elementos debera tener un valor relativo asignado de alguna forma que acredite su importancia para la organizacin. Por ejemplo, deberan tenerse en cuenta los servidores, estaciones de trabajo, sistemas de almacenamiento, routers, conmutadores, hubs, conectores Telco y de red, y todos los dems elementos de la red, como impresoras, sistemas SAI y sistemas de aire acondicionado. Otros aspectos importantes de esta tarea incluyen la documentacin de la ubicacin de los equipos y cualquier nota sobre dependencias. Por ejemplo, la mayora de los ordenadores dependen de sistemas de alimentacin de reserva (como SAI) que, a su vez, pueden formar parte de la red si estn gestionados. Tambin es posible que existan equipos ambientales, como unidades de aire acondicionado o purificadores de aire.
Conocimiento de las distintas amenazas

El siguiente paso es identificar los riesgos potenciales que amenazan a cada uno de estos elementos, como se muestra en la Tabla 1. Estas amenazas pueden tener un origen externo o interno. Pueden deberse a causas humanas, tcnicas o incluso a fenmenos naturales fortuitos. stos ltimos podran clasificarse de forma ms adecuada como riesgos de integridad del sistema, en lugar de como amenazas de seguridad, pero, en cualquier caso, los unos pueden llevar a las otras. Pensemos, por ejemplo, en un corte de alimentacin de una alarma antirrobo. El corte de alimentacin tal vez sea intencionado o tal vez se deba a algn fenmeno natural, como un rayo. En cualquier caso, disminuye la seguridad.
Tabla 1 Resumen de diversas amenazas y sus consecuencias Amenaza

Correo electrnico con virus Virus de red Virus de transmisin por navegador Ataque de servidor Web
Origen interno o externo

Origen externo, uso interno Externo Navegacin interna a sitios externos Externo a servidores Web
Consecuencias de la amenaza
Podra infectar el sistema en el que se lea el mensaje y despus extenderse por toda la organizacin. Podra filtrarse a travs de puertos desprotegidos comprometiendo la seguridad de toda la red. Podra comprometer la seguridad del sistema desde el que se realiza la navegacin y despus afectar a otros sistemas internos. Si se compromete la seguridad del servidor Web, el pirata informtico podra acceder a otros sistemas internos de la red.
Amenaza
Ataque de denegacin de servicio Ataque de usuario de red (empleado interno)
Origen interno o externo

Externo
Consecuencias de la amenaza
Los servicios externos como el correo electrnico, FTP y Web podran quedar inutilizables. Si el ataque llega hasta el router, podra colapsarse toda la red. Los cortafuegos fronterizos tradicionales no sirven para prevenir estos ataques. Los cortafuegos de segmentacin interna pueden contribuir a reducir los daos.
Interno a cualquier parte
Seguridad fsica, proteccin desde el interior

La mayora de los expertos coincide en que toda seguridad comienza con la seguridad fsica. El control del acceso fsico a los equipos y a los puntos de conexin de red es posiblemente el aspecto ms determinante de toda la seguridad. Cualquier tipo de acceso fsico a un sitio interno deja expuesto el sitio a grandes riesgos. Si el acceso fsico es posible, normalmente se pueden obtener archivos protegidos, contraseas, certificados y todo tipo de datos. Por suerte, existen armarios seguros y dispositivos de control de acceso de muchas clases que pueden ayudar a combatir este problema. Para obtener ms informacin sobre la seguridad fsica de los centros de datos y salas de red, consulte el Documento tcnico de APC n82, Physical Security in Mission Critical Facilities (Seguridad fsica en instalaciones de misin crtica).
Particin y proteccin de los lmites de la red mediante cortafuegos

Aparte de la seguridad fsica bsica de un sitio, el siguiente aspecto ms importante es el control del acceso digital desde y hacia la red de la organizacin. En la mayora de los casos, esto implica el control de los puntos de conectividad hacia el mundo exterior, normalmente Internet. Casi todas las empresas de mediano y gran tamao tienen presencia en Internet y disponen de una red empresarial conectada a ella. De hecho, el nmero de pequeas empresas y hogares particulares con conexin a Internet durante las 24 horas ha crecido considerablemente. La particin de la frontera entre Internet (exterior) y la intranet (interior) es una pieza clave para la seguridad. A veces, a la intranet se la denomina zona de confianza y a Internet, zona no fiable. A continuacin veremos que, como norma general, esto es correcto, pero no lo suficientemente especfico. Un cortafuegos es un mecanismo que permite el uso de una barrera controlada para supervisar el trfico de red desde y hacia la intranet de una organizacin. Bsicamente, los cortafuegos son routers especficos de aplicacin. Se corren en sistemas integrados dedicados, como dispositivos de Internet, o pueden ser programas software ejecutados en una plataforma general de servidor. En la mayora de los casos, estos sistemas tienen dos interfaces de red, una para red externa (p. ej., Internet) y otra para red interna (intranet). El cortafuegos puede llevar un control riguroso del trfico que est autorizado a pasar de una red a otra. Existen numerosos tipos de cortafuegos, desde los ms simples hasta los ms complejos. Como ocurre con gran parte de los aspectos de la seguridad, la eleccin del tipo de cortafuegos adecuado para
cada caso depende de una serie de factores, como los niveles de trfico, los servicios que requieren proteccin y la complejidad de las reglas necesarias. Cuanto mayor sea el nmero de servicios que deban poder atravesar el cortafuegos, ms complejos sern los requisitos. En el caso de los cortafuegos, la dificultad reside en poder distinguir entre trfico legtimo e ilegtimo. Frente a qu protegen los cortafuegos y qu proteccin no ofrecen? Con los cortafuegos ocurre como con muchas otras cosas: si se configuran correctamente, pueden ser un medio de proteccin razonable ante amenazas externas, incluidos algunos ataques de denegacin de servicio (DOS). Sin embargo, si no se configuran correctamente, pueden convertirse en grandes agujeros de seguridad dentro de una organizacin. La proteccin ms bsica que proporciona un cortafuegos es la posibilidad de bloquear el trfico de red enviado a determinados destinos. Esto incluye tanto direcciones IP como puertos de servicio de redes particulares. Un sitio que desee proporcionar acceso externo a un servidor Web puede restringir todo el trfico al puerto 80 (el puerto http estndar). Normalmente, esta restriccin slo se aplica al trfico originado en la zona no fiable. El trfico de la zona de confianza no se restringe. Al resto del trfico, como correo electrnico, FTP, SNMP, etc., no se le permitir el paso a travs del cortafuegos y al interior de la intranet. En la Figura 2 se muestra un ejemplo de un cortafuegos simple.
Figura 2 Cortafuegos simple de una red

Red privada (empresarial)
Internet
Cortafuegos
An ms simples son los cortafuegos utilizados normalmente en hogares o pequeas empresas con routers DSL. Por lo general, estos cortafuegos estn configurados para restringir TODOS los accesos externos y permitir slo los servicios originados en la zona interna. Los lectores avispados se darn cuenta de que en ninguno de estos casos el cortafuegos bloquea realmente todo el trfico procedente del exterior. Si fuese as, cmo podramos navegar por Internet y consultar pginas Web? Lo que hace el cortafuegos es restringir las peticiones de conexin desde el exterior. En el primer caso, todas las peticiones de conexin procedentes del interior se transfieren al exterior, as como todas las transferencias de datos subsiguientes de dicha conexin. Desde el exterior, slo se permite que se completen y transfieran datos las peticiones de conexin al servidor Web, las dems peticiones se bloquean. El segundo caso es ms restrictivo, ya que slo se pueden realizar conexiones desde el interior al exterior.
Las reglas de cortafuegos ms complejas pueden utilizar la tecnologa patentada Stateful Inspection. Este enfoque complementa el enfoque de bloqueo bsico de puertos examinando el comportamiento y las secuencias del trfico para detectar ataques de suplantacin y ataques de denegacin de servicio. Cuanto ms complejas son las reglas, mayor es la potencia informtica requerida del cortafuegos. Un problema al que se enfrenta la mayora de las organizaciones es cmo permitir el acceso legtimo a servicios pblicos, como Web, FTP y correo electrnico al mismo tiempo que se mantiene intacta la seguridad de la intranet. La solucin habitual es crear lo que comnmente se conoce como zona desmilitarizada (DMZ), un eufemismo de la guerra fra aplicado a la red. Esta arquitectura consta de dos cortafuegos: uno entre la red externa y la DMZ, y otro entre la DMZ y la red interna. Todos los servidores pblicos se colocan en la DMZ. Con esta configuracin, es posible aplicar reglas de cortafuegos que permitan el acceso pblico a los servidores pblicos al mismo tiempo que el cortafuegos interno restringe todas las conexiones entrantes. Con la DMZ, los servidores pblicos estn ms protegidos que si se encontrasen fuera de un sitio de un slo cortafuegos. En la Figura 3 se ilustra el uso de una DMZ.
Figura 3 Dos cortafuegos con DMZ

Red privada (empresarial)
DMZ
Internet
Cortafuegos
Cortafuegos interno
Servidor FTP
La utilizacin de cortafuegos internos en diversas fronteras de la intranet tambin puede contribuir a limitar los daos debidos a amenazas internas o a otras causas, p. ej., gusanos que hayan logrado atravesar los cortafuegos externos. Estos cortafuegos pueden funcionar como dispositivos de reserva, de tal forma que no se bloqueen los patrones normales de trfico, pero que se activen normas ms estrictas en situaciones problemticas.
Cortafuegos para estaciones de trabajo

Existe un factor de seguridad de red muy importante del que la mayora de las personas no ha empezado a darse cuenta hasta ahora: CADA nodo o estacin de trabajo de una red puede ser un agujero de seguridad potencial. Antes, la atencin se centraba en los servidores y los cortafuegos. Sin embargo, con la aparicin de la Web y la proliferacin de nuevas clases de nodos (p. ej., dispositivos de Internet), la proteccin de las redes ha cobrado nuevas dimensiones. Una amplia gama de gusanos puede apropiarse de un ordenador y utilizarlo para continuar expandindose y para daar sistemas. Si las organizaciones contasen con sistemas internos mejor defendidos, sera posible detener a estos gusanos o, al menos, entorpecer su camino considerablemente. Los cortafuegos de estacin de trabajo pueden bloquear todos los accesos de puerto desde y hacia los hosts individuales que no formen parte de las necesidades habituales del host. Adems, mediante reglas de cortafuegos adicionales en la zona INTERNA que bloqueen las conexiones sospechosas con el exterior de la organizacin, se puede evitar que los gusanos se propaguen de nuevo al exterior de la organizacin. Entre ambos se puede reducir la replicacin interna y externa. Todos los sistemas deberan ser capaces de bloquear todos los puertos que no sea necesario utilizar.
Seguridad bsica de hosts de red

Bloqueo de puertos y reduccin de servicios activos
Muchos hosts informticos y dispositivos de red inician servicios de red de forma predeterminada. Cada uno de estos servicios representa una oportunidad para atacantes, gusanos y troyanos. A menudo, todos estos servicios predeterminados no son necesarios. Al bloquear los puertos desactivando servicios se reduce la exposicin a riesgos. Como ya hemos mencionado antes, al igual que los cortafuegos de red, los ordenadores de sobremesa y los servidores pueden utilizar programas cortafuegos bsicos para bloquear el acceso a puertos IP innecesarios del host o para restringir el acceso a determinados hosts. Esta prctica es fundamental para la proteccin interna cuando se produce un fallo de seguridad en las defensas externas o cuando existen amenazas internas. Hay disponibles muchos paquetes software cortafuegos para ordenadores de sobremesa que son muy eficaces para la proteccin de hosts, por ejemplo, Microsoft incluye un cortafuegos bsico en Windows XP Service Pack 2.
Gestin de nombres de usuario y contraseas

Como ya hemos indicado en la introduccin, la gestin incorrecta de nombres de usuario y contraseas es un problema habitual en la mayora de las redes empresariales. Aunque los sofisticados sistemas de autenticacin centralizados (descritos ms adelante) pueden ayudar a reducir los problemas, existe una serie de medidas bsicas que pueden resultar tremendamente provechosas si se aplican como es debido. A continuacin se indican cuatro reglas bsicas que deben utilizarse siempre para los nombres de usuario y contraseas: 1. 2. 3. 4. No utilice contraseas obvias, como el nombre de su pareja, de su equipo favorito, etc. Utilice contraseas largas con nmeros o smbolos intercalados. Cambie las contraseas de forma peridica. No mantenga NUNCA las credenciales predeterminadas de los equipos de red.
A menos que los ordenadores o los equipos tengan polticas integradas que impongan su cumplimiento, el usuario tiene la responsabilidad de aplicar estas reglas de motu propio. El cumplimiento de la cuarta regla se puede verificar realizando comprobaciones de red para detectar la existencia de equipos con credenciales predeterminadas.
Listas de control de acceso

Muchos tipos de equipos o hosts se pueden configurar con listas de acceso. Estas listas contienen los nombres de usuario o direcciones IP autorizados para acceder al dispositivo en cuestin. Por ejemplo, es habitual restringir el acceso a los equipos de red desde el interior de la red de una organizacin. De este modo, la red est protegida frente a cualquier tipo de acceso que sea capaz de burlar el cortafuegos externo. Estas listas de acceso constituyen una importante defensa de ltimo recurso, que puede ser muy eficaz en determinados dispositivos con distintas reglas para distintos protocolos de acceso.
Cmo proteger el acceso a dispositivos y sistemas

Puesto que no siempre se puede asumir que las redes de datos estn protegidas frente a posibles intrusiones o fisgoneos de datos, se han creado protocolos para aumentar la seguridad de los dispositivos de red conectados. En general, hay dos cuestiones independientes de las que preocuparse: la autenticacin y la no revelacin (cifrado). Existen diversos esquemas y protocolos para satisfacer estos dos requisitos en las comunicaciones y los sistemas seguros. En primer lugar se describen los principios bsicos de la autenticacin y despus los del cifrado.
10
Autenticacin de usuarios para dispositivos de red

La autenticacin es necesaria si se desea controlar el acceso a los elementos de la red, en particular, a los dispositivos de la infraestructura de red. La autenticacin tiene dos subsecciones: la autenticacin de acceso general y la autorizacin funcional. El acceso general es la forma de controlar si un usuario particular tiene o no ALGN tipo de derecho de acceso al elemento en cuestin. Normalmente, estos derechos se gestionan en la forma de cuenta de usuario. La autorizacin tiene que ver con los derechos de los usuarios individuales. Por ejemplo, qu puede hacer un usuario una vez autenticado? Puede configurar un dispositivo o slo puede consultar datos? En la Tabla 2 se describen de forma resumida los protocolos de autenticacin principales, sus caractersticas y sus aplicaciones relevantes.
Tabla 2 Resumen de los principales protocolos de autenticacin Protocolo

Nombre de usuario y contrasea CHAP (Challenge Handshake Authentication Protocol) RADIUS
Caractersticas
Token memorizado de texto sin formato Utiliza algoritmos hash de contraseas y datos de tiempo variable para evitar la transmisin directa de contraseas. Contraseas CHAP o directas, mtodos de autorizacin y gestin de cuentas Autenticacin, autorizacin, gestin de cuentas, soporte de cifrado completo Autenticacin y autorizacin de servicio, cifrado completo
Aplicaciones del protocolo

Telnet, HTTP MS-CHAP, PPP, APC Http, Radius
Backend para Telnet, SSH, SSL, Front end para servidor IAS de Microsoft. Mtodo tpico de autenticacin central para dispositivos de red. Protocolo Cisco, autenticacin central, cierto uso de RAS (servicio de acceso remoto) Aplicaciones kerberizadas como Telnet, servicio de autenticacin de dominios de Microsoft integrado en Active Directory
TACACS+ Kerberos
Restringir el acceso a los dispositivos es uno de los aspectos ms importantes para garantizar la seguridad de una red. Puesto que los dispositivos de infraestructura dan soporte a la red y a los equipos informticos ipso facto, si stos se ven comprometidos, se puede colapsar toda la red, as como sus recursos. Paradjicamente, muchos departamentos de TI tratan de proteger servidores, cortafuegos y mecanismos de acceso seguro por todos los medios a su alcance y, sin embargo, dejan algunos dispositivos bsicos con medidas de seguridad rudimentarias. Como mnimo, todos los dispositivos deben disponer de autenticacin mediante nombre de usuario y contrasea no trivial (10 caracteres, combinacin de letras, nmeros y smbolos). Los usuarios deben estar restringidos en cuanto a nmero y tipo de autorizacin. Adems, hay que adoptar todas las precauciones al utilizar mtodos de acceso remoto que no sean seguros, es decir, nombres de usuario y contraseas transmitidos sin cifrado por la red. Tambin es recomendable cambiar las contraseas de forma peridica, por ejemplo cada tres meses, y cada vez que un empleado deja la empresa, si se utilizan contraseas de grupo.
11
Mtodos de autenticacin centralizada

Es esencial que exista un mnimo de mtodos de autenticacin adecuados. Sin embargo, los mtodos de autenticacin centralizada son incluso mejores cuando a) existe un gran nmero de usuarios para los dispositivos o b) la red dispone de un gran nmero de dispositivos. Tradicionalmente, la autenticacin centralizada se ha utilizado para resolver los problemas enmarcados en el caso (a); sobre todo para el acceso remoto a la red. En los sistemas de acceso remoto, como el sistema RAS de marcacin telefnica, no era posible la administracin de los usuarios en las propias unidades de red RAS. Potencialmente, cualquier usuario de la red poda intentar utilizar cualquiera de los puntos de acceso RAS existentes. Ubicar toda la informacin de usuarios en todas las unidades RAS y mantener dicha informacin actualizada sobrepasara la capacidad de las unidades RAS de cualquier empresa con muchos usuarios y se convertira en una pesadilla administrativa. Los sistemas de autenticacin centralizada, como RADIUS y Kerberos, resuelven este problema utilizando informacin de cuentas de usuario centralizada a la que pueden acceder las unidades RAS u otros tipos de equipos. Estos esquemas centralizados permiten que la informacin se guarde en un solo lugar y no en varios. En vez de tener que gestionar usuarios en muchos dispositivos, se puede utilizar una nica ubicacin de gestin de usuarios. Si es necesario modificar la informacin de usuarios (por ejemplo, cambiar una contrasea), basta con realizar una sola tarea. Si un usuario se marcha, borrando su cuenta de usuario se impide el acceso a todos los equipos que utilicen el sistema de autenticacin centralizada. Un problema habitual con la autenticacin no centralizada es el hecho de que en las redes de gran tamao hay que acordarse de eliminar las cuentas en todos los lugares. Los sistemas de autenticacin centralizada, como RADIUS, se pueden integrar normalmente sin problemas con otros esquemas de gestin de cuentas de usuarios, como Active Directory de Microsoft o los directorios LDAP. Aunque estos dos sistemas de directorio no son sistemas de autenticacin propiamente dichos, se utilizan como mecanismos de almacenamiento centralizado de cuentas. La mayora de los servidores RADIUS se puede comunicar con RAS u otros dispositivos de red con el protocolo RADIUS habitual y acceder de forma segura a la informacin de cuentas almacenada en los directorios. Esto es exactamente lo que hace el servidor IAS de Microsoft para tender un puente entre RADIUS y Active Directory. Este enfoque no slo implica que se proporciona autenticacin centralizada para los usuarios de RAS y los dispositivos, sino tambin que la informacin de cuentas est unificada con las cuentas de dominio de Microsoft. En la Figura 4 se muestra un controlador de dominios Windows que funciona como servidor de Active Directory y servidor de RADIUS para la autenticacin de elementos de red en un dominio de Active Directory.
12
Figura 4 Controlador de dominios Windows

Controlador de dominios Windows con servidor Radius IAS
Active Directory
DC Base de datos Respuesta de autenticacin
Usuario cliente Radius
Respuesta de inicio de sesin
IAS / Radius
Peticin de inicio de sesin
Tarjeta de gestin / CUPS de dispositivo
Peticin de autenticacin Radius
Cmo proteger datos de red con cifrado y autenticacin

En algunos casos es importante proteger la informacin que se intercambia entre sistemas, ordenadores o elementos de red para que ninguna persona no autorizada pueda conocerla. Ciertamente no es deseable que alguien pueda acceder a una cuenta bancaria que no sea la suya u obtener datos personales que otros estn transmitiendo a travs de una red. Para evitar que terceras personas se apoderen de los datos que circulan por una red se deben utilizar mtodos de cifrado que hagan que los datos transmitidos sean ilegibles para cualquiera que pueda obtenerlos durante su transmisin. Existen numerosos mtodos para cifrar datos. A continuacin se describen los ms importantes. Por lo que respecta a los dispositivos de red del tipo de los sistemas SAI, lo que hay que proteger no son los datos del propio dispositivo (tensiones, corrientes de regletas de alimentacin, etc.) sino el acceso a estos elementos. Mantener en secreto las credenciales de autenticacin, como nombres de usuario y contraseas, es esencial en cualquier sistema en el que el acceso se realice a travs de redes no seguras, p. ej., Internet. Incluso dentro de las redes privadas de las organizaciones, la proteccin de estas credenciales es una prctica ptima. Aunque es menos habitual, muchas organizaciones estn empezando a aplicar polticas para que TODO el trfico de gestin sea seguro (mediante cifrado), no slo las credenciales de autenticacin. En cualquier caso, hay que utilizar algn tipo de mtodo criptogrfico. El cifrado de datos se realiza normalmente a travs de una combinacin de datos en texto sin formato (la entrada) con una clave secreta que utiliza un algoritmo de cifrado particular (es decir, 3DES, AES, etc.). El resultado (salida) es el texto cifrado. A menos que una persona (o un ordenador) disponga de la clave secreta, no podr convertir el texto cifrado de nuevo en texto sin formato. Esta metodologa bsica es la espina dorsal de todos los protocolos seguros (descritos ms adelante). Otro componente bsico de los sistemas criptogrficos es el algoritmo hash. Los mtodos hash toman parte de la entrada en texto sin formato y, tal vez, parte de la entrada de la clave y generan un nmero de muchos dgitos llamado algoritmo hash. Este nmero tiene una longitud fija (nmero de bits) independientemente del tamao de la entrada.
13
Al contrario que los mtodos de cifrado reversibles (es decir, que permiten recuperar el texto en formato plano a travs de la clave), los algoritmos hash son unidireccionales. No es matemticamente viable recuperar un texto sin formato a partir de un algoritmo hash. Los algoritmos hash se utilizan como identificadores especiales en diversos sistemas de protocolo porque pueden ofrecer un mecanismo de verificacin de los datos similar a una CRC (comprobacin cclica redundante) en un archivo de disco para detectar la alteracin de los datos. Los algoritmos hash se utilizan como mtodo de autenticacin de datos (que no es lo mismo que la autenticacin de usuarios). Cualquiera que intente alterar los datos en secreto durante su paso por una red, alterar los valores hash, y su intento ser detectado. La Tabla 3 contiene una comparacin bsica de algoritmos criptogrficos y sus aplicaciones.
Tabla 3 Resumen de los principales algoritmos criptogrficos Algoritmo

DES 3DES RC4 Blowfish AES MD5 SHA
Aplicacin principal
Cifrado Cifrado Cifrado Cifrado Cifrado Algoritmo hash, cdigos de autenticacin de mensajes Algoritmo hash, cdigos de autenticacin de mensajes
Aplicaciones de protocolo
SSH, SNMPv3, SSL/TLS SSH, SNMPv3, SSL/TLS SSL/TLS SSH SSH, SSL/TLS SSH, SNMPv3, SSL/TLS SSH, SNMPv3, SSL/TLS
Protocolos de acceso seguro

Existen diversos protocolos, como SSH y SSL, que utilizan varios mecanismos criptogrficos para garantizar la seguridad a travs de mtodos de cifrado y autenticacin. El nivel de seguridad garantizado por un protocolo depende de muchos factores, p. ej., los mtodos criptogrficos utilizados, el acceso a los datos transmitidos, la longitud de las claves de algoritmos, las implementaciones de cliente y servidor y, sobre todo, el factor humano. El esquema de cifrado ms ingenioso ser intil si una persona no autorizada obtiene las credenciales de acceso de un usuario (contrasea o certificado). El caso tpico mencionado al principio del documento es el de la contrasea escrita en una nota pegada en el monitor del usuario.
14
Protocolo SSH
El protocolo cliente / servidor Secure Shell (SSH) se desarroll a mediados de los 90 para facilitar un mecanismo seguro para el acceso remoto a shells o consolas informticas a travs de redes no protegidas o inseguras. Este protocolo ofrece mtodos seguros encargndose de la autenticacin de usuario y servidor y del cifrado completo de todo el trfico intercambiado entre el cliente y el servidor. El protocolo tiene dos versiones (V1 y V2) que difieren ligeramente en los mecanismos criptogrficos que utilizan. Adems, V2 tiene una capacidad superior de proteccin frente a ciertos tipos de ataques. (El intento de una tercera persona no participante de interceptar, falsificar o alterar de cualquier modo los datos intercambiados se considera un ataque). Aunque SSH se ha utilizado como protocolo de acceso seguro a consolas informticas durante aos, su uso ha estado menos extendido en el caso de equipos de infraestructura secundarios, como sistemas SAI o de aire acondicionado. Sin embargo, a medida que las redes y la infraestructura de red que las respalda se vuelven ms y ms vitales para las prcticas empresariales de cada negocio, la utilizacin de este mtodo de acceso seguro para todos los equipos es cada vez ms habitual.
Protocolo SSL\TLS
Aunque el protocolo SSH ha sido el protocolo seguro habitual para el acceso a consolas para la gestin del tipo de lnea de comandos, el protocolo Secure Socket Layer (SSL), ahora Transport Layer Security (TLS), se ha convertido en el mtodo estndar para la seguridad del trfico Web y otros protocolos, como SMTP (correo electrnico). TLS es la versin ms reciente de SSL, y SSL se sigue utilizando normalmente como sinnimo de TLS. La principal diferencia entre SSL y SSH reside en los mecanismos de autenticacin de cliente y servidor incorporados en los protocolos. Adems, TLS se ha aceptado como estndar IETF (Internet Engineering Task Force), mientras que SSH nunca lleg a ser un estndar IETF completo, aunque su uso est muy extendido como proyecto de estndar. SSL es el protocolo seguro que protege el trfico Web http, tambin conocido como https (http secure). Tanto Netscape como Internet Explorer son compatibles con SSL y TLS. Cuando se utilizan estos protocolos, se realiza una autenticacin formal del servidor para el cliente en forma de certificado de servidor. Los certificados se describen ms adelante. El cliente tambin se puede autenticar mediante certificados, aunque normalmente se utilizan nombres de usuario y contraseas. Como todas las sesiones SSL estn cifradas, la informacin de autenticacin y todos los datos de las pginas Web son seguros. Todos los sitios Web que deban ser seguros para operaciones bancarias y otros fines comerciales utilizan SSL, ya que los clientes suelen acceder a estos sitios a travs de Internet.
15
Como la gestin accesible por navegador de los dispositivos de red (servidores Web incorporados) se ha convertido en el mtodo ms comn de configuracin bsica y punto de acceso de usuarios, la proteccin de este mtodo de gestin es muy importante. Las empresas que deseen que toda la gestin de red se realice de forma segura, pero que al mismo tiempo deseen aprovechar las ventajas de las interfaces grficas como http, deben utilizar sistemas basados en SSL. Como ya hemos mencionado, SSL tambin puede proteger otros tipos de comunicacin aparte de la comunicacin http. Si se utilizan clientes de dispositivos no basados en http, estos sistemas tambin deben emplear SSL para los protocolos de acceso con el fin de garantizar la seguridad. La aplicacin de SSL en todos estos casos tambin presenta la ventaja de utilizar protocolos estandarizados con esquemas de cifrado y autenticacin comunes.
Prcticas ptimas para la seguridad de red

Bien pensado, las polticas de seguridad pueden aumentar considerablemente la seguridad de una red. Aunque las polticas pueden ser complejas y enrevesadas, o bsicas y directas, los aspectos ms simples son los que suelen resultar ms tiles. Piense en la combinacin de un sistema de actualizacin de antivirus gestionado de forma centralizada y un explorador host que deba detectar sistemas nuevos u obsoletos. Aunque este sistema implicara capacidad de configuracin, administracin central e implantacin de software, estas caractersticas ya estn disponibles normalmente en los sistemas operativos de hoy en da. En general, las polticas y las herramientas de aplicacin idealmente automtica contribuyen a reducir las lagunas obvias en la seguridad del sistema para que podamos concentrarnos en los problemas ms complejos. A continuacin se enumeran algunas prcticas que suelen formar parte de la poltica de seguridad de red de una empresa: Cortafuegos en todos los puntos de trnsito de red pblica / privada Conjuntos de reglas de cortafuegos implantadas de forma centralizada y controladas por versin Recursos externos ubicados en redes de dos cortafuegos con proteccin DMZ Todos los hosts de red con puertos de red innecesarios bloqueados y servicios innecesarios desactivados Todos los hosts de red con software antivirus gestionado de forma centralizada Todos los hosts de red con actualizaciones centrales de seguridad Autenticacin central segura, como Radius, Windows / Kerberos / Active Directory Administracin de usuarios gestionada centralmente mediante una poltica de contraseas (las contraseas deben cambiar cada tres meses y deben ser contraseas seguras) Exploracin proactiva de la red en busca de hosts nuevos y sistemas obsoletos Supervisin de red para detectar comportamientos sospechosos Mecanismos de respuesta ante incidentes (polticas, manuales, automatizados, etc.)
16
La lista anterior contiene los elementos clave que no pueden faltar en una poltica. Existen otros elementos de amplio alcance que tambin se pueden incluir en una poltica de seguridad. Naturalmente, siempre es importante sopesar factores como el tamao de la empresa, el anlisis de riesgos, los costes y el impacto empresarial a la hora de determinar el tipo y la extensin de una poltica de seguridad. Como ya hemos indicado, un anlisis del sistema es siempre un buen punto de partida, seguido por un anlisis empresarial. Hasta las empresas ms pequeas deberan contar con algn tipo de poltica de seguridad, ya que todas las redes pueden convertirse en objetivos independientemente de su tamao.
Conclusin
A medida que aumenta el nmero de amenazas que se ciernen sobre una red (gusanos, virus, hackers avispados, etc.), la seguridad ha dejado de ser algo opcional, incluso dentro de las redes privadas. Garantizar la seguridad de todos los equipos, incluidos los equipos de la infraestructura fsica, como los sistemas SAI o de aire acondicionado, es esencial para mantener un acceso fluido e ininterrumpido a los servicios. Proporcionar y mantener la seguridad en toda la empresa implica a menudo una mayor carga administrativa. ste ha sido siempre el mayor obstculo para las implementaciones de seguridad a gran escala. Hoy en da, la cantidad de tiempo dedicado a reparar una red que ha sufrido daos debido a un ataque de virus o a un simple gusano puede llegar fcilmente a ser superior que el tiempo necesario para asegurar una empresa de una forma ms adecuada por adelantado. Afortunadamente, existen muchas opciones en sistemas y software para aumentar la seguridad de la red al mismo tiempo que se reducen los costes de gestin de dichos sistemas. Incluso las prcticas ms bsicas, como la actualizacin peridica del software, el bloqueo de todos los dispositivos y la utilizacin de mtodos de acceso seguro y autenticacin centralizada pueden representar un avance considerable a la hora de reducir riesgos. El establecimiento de polticas de seguridad adecuadas y las inspecciones frecuentes de la red aumentan an ms la proteccin global de la red.
Acerca del autor:

Christopher Leidigh es Director de comunicaciones e investigacin tecnolgica en APC, Rhode Island, Estados Unidos. Cuenta con 18 aos de experiencia en programacin y diseo de sistemas informticos y de microprocesadores, y actualmente se centra en la investigacin y el diseo de sistemas integrados y de seguridad, conexiones de red IP y sistemas de comunicaciones. Ha trabajado en APC durante 10 aos, dirigiendo la lnea de productos de gestin y conexin de red integrada. Se licenci en Ingeniera bioelctrica en la Brown University. Es ponente habitual en las Embedded Systems Conferences de Estados Unidos y otros pases, y es miembro del comit consultivo. Ha realizado publicaciones en los medios Journal of Physiology, Communications Systems Design, Embedded Systems Programming y EE Times.
17

Principios Básicos de La Seguridad en Red - R0 - ES - Schneider Electric - Jun2012

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Principios Básicos de La Seguridad en Red - R0 - ES - Schneider Electric - Jun2012

Cargado por

Copyright:

Formatos disponibles

Principios bsicos de la seguridad de red

Por Christopher Leidigh

Documento tcnico n. 101

Figura 1 Incidentes de seguridad por ao (CERT.ORG)

Nmero de incidentes comunicados

85,000 80,000 82,094

Seguridad: radiografa general

Principios bsicos de seguridad

Conocimiento de las distintas amenazas

Tabla 1 Resumen de diversas amenazas y sus consecuencias Amenaza

Origen interno o externo

Origen interno o externo

Interno a cualquier parte

Seguridad fsica, proteccin desde el interior

Particin y proteccin de los lmites de la red mediante cortafuegos

Figura 2 Cortafuegos simple de una red

Figura 3 Dos cortafuegos con DMZ

Cortafuegos para estaciones de trabajo

Seguridad bsica de hosts de red

Gestin de nombres de usuario y contraseas

Listas de control de acceso

Cmo proteger el acceso a dispositivos y sistemas

Autenticacin de usuarios para dispositivos de red

Tabla 2 Resumen de los principales protocolos de autenticacin Protocolo

Aplicaciones del protocolo

Mtodos de autenticacin centralizada

Figura 4 Controlador de dominios Windows

DC Base de datos Respuesta de autenticacin

Usuario cliente Radius

Respuesta de inicio de sesin

Peticin de inicio de sesin

Tarjeta de gestin / CUPS de dispositivo

Peticin de autenticacin Radius

Cmo proteger datos de red con cifrado y autenticacin

Tabla 3 Resumen de los principales algoritmos criptogrficos Algoritmo

Protocolos de acceso seguro

Prcticas ptimas para la seguridad de red

Acerca del autor:

También podría gustarte