Aspectos Conceptuales - Gestión de Seguridad

Su objetivo es ofrecer servicios de seguridad a cada uno de los elementos de la red así como a la red
en su conjunto, creando estrategias para la prevención y detección de ataques, así como para la
respuesta ante incidentes de seguridad.

Prevención de ataques

El objetivo es mantener los recursos de red fuera del alcance de potenciales usuarios maliciosos. Una
acción puede ser la implementación de alguna estrategia de control de acceso. Obviamente, los
ataques solamente se reducen pero nunca se eliminan del todo.

Riesgos para la seguridad de la red

 Ataques de denegación de servicio

En seguridad informática, un ataque de denegación de servicio, también llamado ataque DoS (de las
siglas en inglés Denial of Service), es un ataque a un sistema de computadoraso red que causa que un
servicio o recurso sea inaccesible a los usuarios legítimos. Normalmente provoca la pérdida de la
conectividad de la red por el consumo del ancho de banda de la red de la víctima o sobrecarga de los
recursos computacionales del sistema de la víctima.

Se genera mediante la saturación de los puertos con flujo de información, haciendo que el servidor se
sobrecargue y no pueda seguir prestando servicios, por eso se le dice "denegación", pues hace que el
servidor no dé abasto a la cantidad de usuarios. Esta técnica es usada por los llamados crackers para
dejar fuera de servicio a servidores objetivo.

 Aspiración de paquetes en la red (Packect Sniffing)

Cuando una computadora está conectada a una red de área local (LAN), como una Ethernet, es
vulnerable a ataques de este tipo en los que alguien puede “escuchar” los datos que fluyen por la red.
Los programas llamados aspiradores de paquetes (sniffers) capturan paquetes que recorren la LAN y
los presentan de forma legible.

 Spoofing

Spoofing, en términos de seguridad de redes hace referencia al uso de técnicas de suplantación de

identidad generalmente con usos maliciosos o de investigación.

Existen diferentes tipos dependiendo de la tecnología a la que nos refiramos, los cuales se describirán
más adelante, como el IP spoofing (quizás el más conocido), ARP spoofing, DNS spoofing, Web
spoofing o e-mail spoofing, aunque en general se puede englobar dentro de spoofing cualquier
tecnología de red susceptible de sufrir suplantaciones de identidad.
ISO 27000

La información es un activo vital para el éxito y la continuidad en el mercado de cualquier

organización. El aseguramiento de dicha información y de los sistemas que la procesan es, por tanto,
un objetivo de primer nivel para la organización.

Para la adecuada gestión de la seguridad de la información, es necesario implantar un sistema que

aborde esta tarea de una forma metódica, documentada y basada en unos objetivos claros de
seguridad y una evaluación de los riesgos a los que está sometida la información de la organización.

ISO/IEC 27000 es un conjunto de estándares desarrollados -o en fase de desarrollo- por ISO

(International Organization for Standardization) e IEC (International Electrotechnical Commission),
que proporcionan un marco de gestión de la seguridad de la información utilizable por cualquier tipo
de organización, pública o privada, grande o pequeña.

En este apartado se resumen las distintas normas que componen la serie ISO 27000 y se indica cómo
puede una organización implantar un sistema de gestión de seguridad de la información (SGSI) basado
en ISO 27001.

Detección de intrusos

El objetivo es detectar el momento en que un ataque se esta llevando a cabo. Hay diferentes maneras
en la detección de ataques, tantas como la variedad de ataques mismo. El objetivo de la detección de
intrusos se puede lograr mediante un sistema de detección de intrusos que vigile y registre el tráfico
que circula por la red apoyado en un esquema de notificaciones o alarmes que indiquen el momento
en que se detecte una situación anormal en la red.

Respuesta a incidentes

El objetivo es tomar las medidas necesarias para conocer las causas de un compromiso de seguridad
en un sistema que es parte de la red, cuando éste hay sido detectado, además de tratar de eliminar
dichas causas.

Políticas de Seguridad

La meta principal de las políticas de seguridad es establecer los requerimientos recomendados para
proteger adecuadamente la infraestructura de cómputo y la información ahí contenida. Una política
debe especificar los mecanismos por los cuales estos requerimientos deben cumplirse. El grupo
encargado de ésta tarea debe desarrollar todas las políticas después de haber hecho un análisis
profundo de las necesidades de seguridad.

Entre otras, algunas políticas necesarias son:

 Políticas de uso aceptable

 Políticas de cuentas de usuario

  Políticas de configuración de ruteadores

 Políticas de listas de acceso

 Políticas de acceso remoto.

 Políticas de contraseñas.

 Políticas de respaldos.

Servicios de seguridad

Los servicios de seguridad definen los objetivos específicos a ser implementados por medio de
mecanismos de seguridad. Identifica el “que”. De acuerdo a la Arquitectura de Seguridad OSI, un
servicio de seguridad es una característica que debe tener un sistema para satisfacer una política de
seguridad.

La arquitectura de seguridad OSI identifica cinco clases de servicios de seguridad:

 Confidencialidad

 Autenticación

 Integridad

 Control de acceso

 No repudio

Un paso importante es definir cuáles de estos servicios deben ser implementados para satisfacer los
requerimientos de las políticas de seguridad.

Mecanismos de seguridad

Se deben definir las herramientas necesarias para poder implementar los servicios de seguridad
dictados por las políticas de seguridad. Algunas herramientas comunes son: herramientas de control
de acceso, cortafuegos (firewall), TACACS+ o RADIUS; mecanismos para acceso remoto como Secure
shell o IPSec; Mecanismos de integridad como MD5, entre otras.

Todos estos elementos en su conjunto conforman el modelo de seguridad para una red de cómputo.

Estrategias de Seguridad

Mediante la adopción de una política de seguridad es posible identificar las amenazas de las cuales se
intenta proteger los recursos de la red, los mecanismos de seguridad a implementar y el nivel de
protección requerido.

La política de seguridad misma responderá a la posición que asuma la organización ante tales
amenazas. Esta posición se traduce en la determinación de una estrategia de seguridad que
corresponde a un enfoque en particular para la elección de las reglas y medidas a tomar para proteger
la red.

Ajustarse a una estrategia de seguridad es una decisión muy importante al momento de construir una
solución de seguridad firewall ya que será determinante de la estructura resultante de dicha solución.

Existen algunas estrategias generales que responden a diferentes principios asumidos para llevar a
cabo la implementación de una solución de seguridad.

Mínimo privilegio

Este es uno de los principios más fundamentales de seguridad. La estrategia consiste en conceder a
cada objeto (usuario, programa, sistema, etc) solo aquellos permisos o privilegios que son necesarios
para realizar las tareas que se programó para ellos. El tipo de objeto al cual se apliquen los permisos
determinará la granularidad de la seguridad obtenida.

Esta estrategia permite limitar la exposición a ataques y limitar el daño causado por ataques
particulares. Está basada en el razonamiento de que todos los servicios ofrecidos por una red están
pensados para ser utilizados por algún perfil de usuario en particular, y no que todos los usuarios
pueden utilizar todos los servicios de la red. De esta forma es posible reducir los privilegios requeridos
para varias operaciones sin afectar al servicio prestado a los usuarios de la red.

Muchas soluciones utilizadas en la protección de un sitio utilizan técnicas para implementar una
estrategia de mínimo privilegio, como es el caso de los sistemas de filtrado de paquetes, que solo
permiten el paso de paquetes únicamente para los servicios deseados.

Esta estrategia es difícil de implementar cuando no está prevista como una característica de diseño en
los programas y protocolos que estén siendo utilizados. Debe tenerse cuidado en asegurarse si
realmente se está logrando implementar esta estrategia. En cualquier caso, es posible que se termine
por implementar algo menos que el mínimo privilegio, o mucho más. Esta consideración esta
relacionada con el objeto sobre el cual se aplica la restricción, es decir la granularidad de la
protección. Por ejemplo, aplicar la restricción sobre los usuarios, puede restringir el uso de servicios
que fueron pensados para todos los usuarios.

Para cada servicio debe establecerse cuidadosamente el objeto y las restricciones que se le aplican.

Defensa en profundidad

Esta estrategia se basa en la implementación de varios mecanismos de seguridad y que cada uno de
ellos refuerce a los demás. De esta forma se evita que la falla de uno de los mecanismos deje
vulnerable a la red completa.

La idea es hacerle más difícil y costoso a un atacante la tarea de violar la seguridad de la red. Esto se
logra con la multiplicidad y redundancia de la protección, es decir, con cada mecanismo respaldando a
los demás mecanismos de seguridad y cubriendo aspectos solapados, de forma que si uno de esos
mecanismos falla, existen otras barreras más que vencer. Por ejemplo, se pueden aplicar política de
seguridad de red, junto con políticas de seguridad de hosts y seguridad humana (educación de
seguridad para los integrantes de la organización y usuarios de los servicios de red). Para el caso de la
seguridad de red, por ejemplo, con un firewall, es común utilizar una solución de múltiples capas
donde puede existir más de un filtro de paquetes, donde uno de ellos es capaz de filtrar aquellos
paquetes que deberían haber sido rechazados por el filtro anterior.

Un aspecto importante de esta estrategia es la necesidad de evitar fallas de modo común es decir que
los diferentes mecanismos deben ser cuidadosamente configurados para evitar que las fallas de un
mecanismo no se propaguen al resto.

Punto de Ahogo (acceso)

Esta estrategia consiste en depender de un único punto de acceso a la red privada para todas las
comunicaciones entre ésta y la red pública. Ya que no existe otro camino para el tráfico de entrada y
salida, los esfuerzos de control y mecanismos de seguridad se centran y simplifican en monitorear un
solo sitio de la red.

Esta estrategia se considera como una solución “todo en uno”. Como consecuencia, uno de los
problemas que presenta es que si un atacante es capaz de traspasar la seguridad de este único punto
del acceso tendrá acceso a todos los recursos de la red. Esta situación puede ser tratada utilizando
mecanismos de protección redundantes y reforzar la seguridad de dicho punto.

Adicionalmente, otro de los inconvenientes que puede provocar esta estrategia, es que pueden
producirse bajas en el desempeño de la comunicación de la red con el exterior, si se ve superada la
capacidad del punto de acceso de registrar los sucesos y controlar todo el tráfico de entrada y salida.

En muchas soluciones este punto de acceso es implementado por un firewall perimetral por lo que
éste debe tener la capacidad de procesar todo el tráfico que por él pase sin afectar en gran medida el
desempeño de las comunicaciones.

La alternativa a este problema es proveer más caminos de acceso a la red pero estos también deben
ser protegidos por algún mecanismo de seguridad y hace mas compleja la solución.

La estrategia del punto de ahogo no es útil si existe una forma alternativa de acceder a la red, por lo
que estos caminos deben ser cuidadosamente localizados y restringidos del acceso exterior.

El enlace más débil

Esta estrategia responde a un principio de seguridad que, aplicado a redes, establece que un sitio es
tan seguro como lo es su enlace más débil. Este enlace suele ser el objetivo de los ataques a la
privacidad de una red.

El objetivo de esta estrategia es identificar aquellos enlaces débiles de acceso a la red privada y tratar
de eliminarlos, reforzarlos y/o monitorearlos. Aunque no por esto debe restarse importancia a la
seguridad de otros aspectos de la red.

De todas formas, siempre habrá algún enlace que será más débil que todos, la idea que ese enlace
debe ser lo suficientemente seguro en proporción al riesgo que implica que sea vulnerado.
Estado a prueba de fallos

Esta estrategia considera un importante factor en la seguridad de redes: ninguna solución de

seguridad es 100% segura. Más o menos segura, una protección puede fallar. La pregunta es ¿cómo
responderá la red a esta falla?. Obviamente se tratará de reestablecer la barrera cuanto antes, pero,
mientras tanto...

Uno de los principios fundamentales en la seguridad de redes es que si un mecanismo de seguridad

fallara, debería negarse el acceso a todo usuario, inclusive aquellos usuarios permitidos (no podemos
determinar si lo son si la función de autenticación no está funcionando), es decir debe fallar en un
estado seguro.

Este principio debe ser considerado al diseñar firewalls de Internet. Los filtros de paquetes y
gateways, deben fallar en tal forma que el trafico desde y hacia Internet sea detenido.

La mayoría de las aplicaciones y dispositivos utilizados en una solución firewall, como routers de
filtrado de paquetes y servidores proxy, dejan de retransmitir información si fallan; con excepción de
los sistemas de filtrado basados en hosts, que generalmente poseen servicios mediante aplicaciones
independientes de estos sistemas, siguen recibiendo conexiones por este otro servicio. Estos casos
deben ser evitados, ya que no llevan a cabo esta estrategia y tienden a ofrecer “puertas” abiertas a
posibles ataques.

Esta estrategia está apoyada por la implementación de una posición específica con respecto a
decisiones de seguridad y políticas. Existen dos posibles posiciones:

 Rechazar por defecto: Se establece cuales son las comunicaciones que serán permitidas,
cualquiera que no sea considerada, será rechazada.
 Aceptar por defecto: Se establece cuales son las comunicaciones que no son permitidas,
cualquiera que no sea considerada, será aceptada.

Es claro que la posición de rechazar por defecto es una estrategia a prueba de fallos ya que si el
mecanismo falla no habrá comunicación se que sea aceptada. Para determinar qué será permitido,
deben considerarse las siguientes tareas:

 Examinar los servicios a ofrecer a los usuarios.

 Tener en cuenta qué implica ofrecer estos servicios en términos de seguridad y como pueden
ser implementados de forma segura en balance con las necesidades de los usuarios.
 Permitir solo aquellos servicios necesarios, conocidos y que puedan ser protegidos de forma
segura utilizando mecanismos disponibles.

Por otro lado, la posición de Aceptar por defecto, asume que todo es permitido a menos que se
conozca que es inseguro, en cuyo caso se prohíbe su acceso. Esta posición no es en absoluto una
implementación de una estrategia de estado a prueba de fallos.

Protección Universal
Más que una estrategia, es un principio que debería cumplir toda solución de seguridad. Se plantea
que todo individuo en la organización que posee la red privada debe colaborar en mantener y cumplir
las medidas de seguridad que permitan ofrecer una protección efectiva sus sistemas. De otra forma,
un atacante podría aprovechar la debilidad de aquellos sistemas a cargo de estas personas para poder
llegar al resto de los recursos de la red.

Un ejemplo claro de esto sería el caso de alguien que desde su equipo decidiera establecer una
conexión telefónica a Internet utilizando un modem, sin ningún tipo de protección. Estaría abriendo
una “puerta trasera” a posibles atacantes.

Esta colaboración es necesaria ya que al administrador de seguridad de la red no puede estar en

todos lados; al menos no debería convertirse en una batalla entre éste y los individuos de la
organización.

Diversidad de la Defensa

Esta estrategia plantea el uso de diferentes tipos de sistemas, es decir, de diferentes proveedores
para implementar los diferentes mecanismos se seguridad. Esta estrategia puede complementarse a
la de defensa en profundidad.

El objetivo de esta variedad es reducir las posibilidades de fallas comunes en todos los sistemas
utilizados para proteger la red, debidas a errores propios de los sistemas o de configuración.

Esta estrategia tiene la desventaja del posible costo adicional, tanto económico como de tiempo y
complejidad, ya que se debe conocer el funcionamiento y manejo de más de un producto. Otra de las
posibles desventajas es la incompatibilidad de los sistemas, aunque actualmente existen estándares
en varias áreas de la seguridad que hacen posible que diferentes sistemas puedan coexistir en la
misma red colaborando para lograr una solución integral.

Adicionalmente estos sistemas pueden ser configurados por distintos administradores de seguridad
para evitar que algún error conceptual por parte de los mismos afecte a la protección completa.

Estas consideraciones deberían ser evaluadas por la organización para determinar la conveniencia de
aplicar esta estrategia.

Seguridad a través de “Oscuridad”

La idea de esta estrategia está basada en mantener oculta la verdadera naturaleza de la red privada y
hacer público un perfil bajo (o no hacerlo). De esta forma, un atacante no lo notará, o lo pasará por
alto como una posible víctima.

Esta suposición es algo ingenua ya que varios estudios han demostrado que el interés de un atacante
por un determinado sitio no solo está determinado por el interés que éste tenga sobre la información
de la red. Generalmente, los ataques involucran varios sistemas y varias cuentas de usuarios para
poder ganar acceso no autorizado a otros sistemas antes de alcanzar su objetivo real. Un sitio puede
ser comprometido solo para proveer un escenario de ataque a otros sitios, y para el atacante, no
significa más que una dirección de IP más.
Esta estrategia, aunque puede ser útil en el comienzo de la vida de un sitio, y una buena precaución,
es una base pobre para una solución de seguridad a largo término ya que la información tiende a
filtrarse y los atacantes son habilidosos para obtener información relevante del sitio

Una de las medidas que suelen tomar muchas compañías es la no publicación de los números de
teléfono de sus módems de servicio de conexión; solo los divulgan para usuarios que contraten sus
servicios.

Simplicidad

Se sabe que cuanto más grande y complejo es un sistema, más errores tendrá, será más difícil y
costoso de testear. Probablemente posea agujeros de seguridad no conocidos que un atacante puede
explotar, por más complejos que sean.

La simplicidad de los sistemas de seguridad es un factor importante de una sólida defensa de red.
Particularmente los sistemas de seguridad de red a nivel de aplicación no deberían tener
funcionalidades desconocidas y deberían mantenerse lo más simples posible.

Seguridad basada en Hosts

En este modelo, los esfuerzos de protección están enfocados en los sistemas finales de una red
privada, es decir que los mecanismos de seguridad son implementados en estos sistemas, y son ellos
mismos quienes deciden si aceptar o no los paquetes de una comunicación.

Probablemente sea el modelo de seguridad para computadoras mas comúnmente usado en la

actualidad, aunque el mayor problema con este modelo es que no es escalable sin no se considera un
esquema de administración apropiado, por lo que solo es usado en ambientes muy chicos o donde no
existe una red configurada que pueda ofrecer tal protección.

El mayor impedimento para hacer efectiva la seguridad de estos sistemas en ambientes de redes de
computadoras actuales es la complejidad y heterogeneidad de esos ambientes. Inclusive si todos los
hosts fueran idénticos o si tal heterogeneidad fuera superada, un sitio con un gran número de hosts
hace que sea difícil asegurar de forma efectiva a cada uno. Mantener e implementar efectivamente la
protección a este nivel requiere una importante cantidad de tiempo y esfuerzo, y es una tarea
compleja.

En pocas palabras, puede no ser rentable implementar un nivel de seguridad a nivel de hosts para
sitios grandes ya que requieran muchas restricciones, y mucho personal de seguridad.

Adicionalmente, este modelo presenta un problema importante en cuanto a puntos de ahogo y

enlaces débiles: no existe un único punto de acceso ya que existen múltiples conexiones, una para
cada host, muchas de las cuales pueden estar débilmente protegidas.

Seguridad basada en la Red

El modelo de seguridad de red se enfoca en controlar el acceso a la red, y no en asegurar los hosts en
sí mismos. Este modelo esta diseñado para tratar los problemas identificados en el ambiente de
seguridad de hosts, aplicando los mecanismos de protección en un lugar en común por el cual circula
todo el tráfico desde y hacia los hosts: los puntos de acceso a la red.

Un enfoque de seguridad de red involucra la construcción de firewalls para proteger redes confiadas
de redes no confiables, utilizando sólidas técnicas de autenticación, y usando encriptación para
proteger la confidencialidad e integridad de los datos a medida que atraviesan la red.

La ventaja sobre el modelo de seguridad de hosts es una considerable reducción del costo para
proveer la misma o mejor protección, ya que solo se necesita proteger unos pocos puntos de acceso
(en muchos casos, uno) lo que permite concentrar todos los esfuerzos en una solución perimetral.
Este modelo es escalable en la medida de que la solución perimetral pueda soportar los cambios sin
afectar su desempeño.

Una desventaja de este modelo es que es muy dependiente de algunos pocos puntos de acceso por lo
que pueden producirse reducciones en el desempeño del trafico de entrada y salida de la red; por
otro lado, la protección lograda no es flexible y posee un bajo grado de granularidad, es decir, no es
posible especializar la protección necesaria para cada host y sistema final de la red privada.

Firewall

Un cortafuegos es una parte de un sistema o una red que está diseñada para bloquear el acceso no
autorizado, permitiendo al mismo tiempo comunicaciones autorizadas. Se trata de un dispositivo o
conjunto de dispositivos configurados para permitir, limitar, cifrar, descifrar, el tráfico entre los
diferentes ámbitos sobre la base de un conjunto de normas y otros criterios.

Los cortafuegos pueden ser implementados en hardware o software, o una combinación de ambos.
Los cortafuegos se utilizan con frecuencia para evitar que los usuarios de Internet no autorizados
tengan acceso a redes privadas conectadas a Internet, especialmente intranets. Todos los mensajes
que entren o salgan de la intranet pasan a través del cortafuegos, que examina cada mensaje y
bloquea aquellos que no cumplen los criterios de seguridad especificados. También es frecuente
conectar al cortafuegos a una tercera red, llamada Zona desmilitarizada o DMZ, en la que se ubican
los servidores de la organización que deben permanecer accesibles desde la red exterior. Un
cortafuegos correctamente configurado añade una protección necesaria a la red, pero que en ningún
caso debe considerarse suficiente. La seguridad informática abarca más ámbitos y más niveles de
trabajo y protección.
 Figura representativa de un Firewall

Ventajas de un cortafuegos

 Establece perimetros confiables.

 Protege de intrusiones.- El acceso a ciertos segmentos de la red de una organización sólo se

permite desde máquinas autorizadas de otros segmentos de la organización o de Internet.

 Protección de información privada.- Permite definir distintos niveles de acceso a la

información, de manera que en una organización cada grupo de usuarios definido tenga
acceso sólo a los servicios e información que le son estrictamente necesarios.

 Optimización de acceso.- Identifica los elementos de la red internos y optimiza que la

comunicación entre ellos sea más directa. Esto ayuda a reconfigurar los parámetros de
seguridad.

Políticas del cortafuegos

Hay dos políticas básicas en la configuración de un cortafuegos que cambian radicalmente la filosofía
fundamental de la seguridad en la organización:

 Política restrictiva: Se deniega todo el tráfico excepto el que está explícitamente permitido. El
cortafuegos obstruye todo el tráfico y hay que habilitar expresamente el tráfico de los
servicios que se necesiten.

 Política permisiva: Se permite todo el tráfico excepto el que esté explícitamente denegado.
Cada servicio potencialmente peligroso necesitará ser aislado básicamente caso por caso,
mientras que el resto del tráfico no será filtrado.

La política restrictiva es la más segura, ya que es más difícil permitir por error tráfico potencialmente
peligroso, mientras que en la política permisiva es posible que no se haya contemplado algún caso de
tráfico peligroso y sea permitido por omisión.

El concepto de Aislamiento DMZ

Los sistemas Firewall permiten definir las reglas de acceso entre dos redes. Sin embargo, en la
práctica, las compañías cuentan generalmente con varias subredes con diferentes políticas de
seguridad. Por esta razón, es necesario configurar arquitecturas de firewall que aíslen las diferentes
redes de una compañía. Esto se denomina "aislamiento de la red".

Arquitectura DMZ

Cuando algunas máquinas de la red interna deben ser accesibles desde una red externa (servidores
web, servidores de correo electrónico, servidores FTP), a veces es necesario crear una nueva interfaz
hacia una red separada a la que se pueda acceder tanto desde la red interna como por vía externa sin
correr el riesgo de comprometer la seguridad de la compañía. El término "zona desmilitarizada" o
DMZ hace referencia a esta zona aislada que posee aplicaciones disponibles para el público. La DMZ
actúa como una "zona de búfer" entre la red que necesita protección y la red hostil.

Los servidores en la DMZ se denominan "anfitriones bastión" ya que actúan como un puesto de
avanzada en la red de la compañía.

Por lo general, la política de seguridad para la DMZ es la siguiente:

 El tráfico de la red externa a la DMZ está autorizado

 El tráfico de la red externa a la red interna está prohibido
 El tráfico de la red interna a la DMZ está autorizado
 El tráfico de la red interna a la red externa está autorizado
 El tráfico de la DMZ a la red interna está prohibido
 El tráfico de la DMZ a la red externa está denegado

De esta manera, la DMZ posee un nivel de seguridad intermedio, el cual no es lo suficientemente alto
para almacenar datos imprescindibles de la compañía.

Debe observarse que es posible instalar las DMZ en forma interna para aislar la red interna con
niveles de protección variados y así evitar intrusiones internas.

En el caso de un enrutador de uso doméstico, el DMZ host se refiere a la dirección IP que tiene una
computadora para la que un enrutador deja todos los puertos abiertos, excepto aquellos que estén
explícitamente definidos en la sección NAT del enrutador. Es configurable en varios enrutadores y se
puede habilitar y deshabilitar.

Con ello se persigue conseguir superar limitaciones para conectarse con según qué programas,
aunque es un riesgo muy grande de seguridad que conviene tener solventado instalando un
cortafuegos por software en el ordenador que tiene dicha ip en modo DMZ.
Para evitar riesgos es mejor no habilitar esta opción y usar las tablas NAT del enrutador y abrir
únicamente los puertos que son necesarios

Opciones para una arquitectura de seguridad

Diversos tipos de negocios sobre Internet que necesitan una solución de seguridad ponen énfasis en
el alto desempeño de sus redes de información. La mayoría de estas organizaciones dispone de una
gran diversidad de dispositivos conectados a sus redes; la necesidad de ofrecer una protección para
redes heterogéneas influye en la topología de seguridad así como los objetivos de cada negocio y
condiciones de trabajo.

Como ya se comentó, un firewall tradicional causa una degradación en el desempeño si se excede su

capacidad de procesamiento de paquetes por segundo, esto va en contra de los objetivos de todo
negocio que dependa de su interacción con sus usuarios y otras compañías a través de Internet.
La arquitectura de firewalls distribuidos provee un alto grado de flexibilidad para estos ambientes de
negocios sobre Internet ya que no dependen de un único punto de acceso y funcionan en modo
kernel, como una extensión del S.O. de cada sistema final, realizando las funciones normales de un
firewall de perímetro sin degradar el servicio de la red a sus clientes. Esta flexibilidad es muy útil en
servidores ASP donde es necesario cubrir las diversas necesidades de los diferentes clientes.

El principal beneficio de utilizar un firewall distribuido es el mantenimiento del desempeño de las

comunicaciones y, el hecho de que pueden ser desplegados en servidores de misión critica para
suplementar a un firewall de perímetro, aportando una solución de seguridad de múltiples niveles o
capas de defensa, sin un único punto de falla.

Todos los sistemas operativos son igualmente vulnerables a ataques ya que no están diseñados
especialmente para ofrecer tal protección. Los aspectos de seguridad de estos S.O.s son de bajo nivel,
basados en filtros estáticos asignados a puertos TCP y UDP, como también a IP. Los firewalls
distribuidos protegen a los sistemas contra estas vulnerabilidades actuando como una extensión del
sistema operativo.

Existen varias posibles configuraciones para una solución de seguridad utilizando firewalls distribuidos
para poder ajustarse a las necesidades de una organización o empresa. Por ejemplo, pueden ser
usados para proteger servidores bastiones conectados fuera de un firewall de perímetro, pueden ser
instalados en todos los servidores de la red o solo en los más críticos, detrás de un firewall de
perímetro; también pueden ser desplegados sin firewall de perímetro en ambientes donde el
desempeño es clave. A continuación se presentan algunas posibles configuraciones.

Proteger la red de perímetro

Para proteger la red interna y proveer un alto desempeño al usuario final de la Web, las
organizaciones a veces despliegan sus servidores Web como hosts bastiones. Estos están
desprotegidos, enfrentando la Web, y son particularmente vulnerables a ataques. (ver Figura 29)

Los firewalls distribuidos pueden ser desplegados, junto con un firewall tradicional, en la red de
perímetro (zona desmilitarizada) para proteger de forma individual a los hosts bastiones conectados a
la misma, basando esta protección en sus funciones específicas (SQL, HPPT, FTP, Exchange, etc). Esta
configuración permite aislar los servidores públicos de la red interna para asegurar su integridad así
como protegerlos de posibles ataques provenientes de la red externa.

Aunque la red interna esta protegida por el firewall de perímetro, los hosts del sitio conectados a la
zona desmilitarizada están expuestos a ataques. Los firewalls distribuidos proveen una forma directa
de asegurar los servidores desplegados como hosts bastiones. Esto también provee una red interna
más segura ofreciendo una configuración de firewall de múltiples capas.

En esta configuración la política de seguridad está optimizada para la aplicación específica de cada
servidor; la seguridad es escalable a medida que se agregan recursos a la red de perímetro; ya que la
carga de procesamiento de seguridad está distribuida, el desempeño no se ve afectado con el
crecimiento de la red, además es simple de instalar y configurar.

Proteger una red de servidores (Server Farm)

En ambientes de redes de servidores, los firewalls distribuidos pueden ser desplegados como primer
medida de seguridad protegiendo individualmente a cada servidor sin el uso de un firewall de
perímetro, las políticas de seguridad pueden ser personalizadas de forma particular para cada
servidor o cliente para acomodar los requerimientos únicos de cada proveedor de servicios o ser
compartidas entre diferentes clientes (ver Figura 30). De esta forma, Los administradores de sistema
son capaces de limitar el acceso solo a aquellos puertos y protocolos esenciales a la aplicación o
función implementada, por ejemplo, HTTP, HTTPS, puerto 80, puerto 443, etc. Gracias a estas
características, los firewalls distribuidos proveen los medios de efectuar un despliegue de seguridad
rápido y flexible cuando se albergan aplicaciones de otras organizaciones. Esto permite, además, que
el desempeño de la red sea maximizado cuando éste sea un aspecto crítico. Al mismo tiempo,
proveen una solución de seguridad de múltiples firewalls para ASPs y otras organizaciones que
implementan estas configuraciones de seguridad.

Esta configuración permite obtener políticas de seguridad individualizadas para cada compañía,
personalizada por aplicación, usuarios permitidos, u otros. De esta forma las políticas de seguridad
estarán optimizadas para cada servidor de acuerdo con la aplicación, protocolo y compañía. Además
puede ser remotamente administrada por los clientes proveedores de servicios o por los propietarios
de los servidores.

Esta configuración asegura el mejor desempeño y escalabilidad. A medida que la red de servidores
crece, la carga de procesamiento de seguridad es distribuida. Esto resulta en una escalabilidad
ilimitada.

Aquellas organizaciones que compartan un servidor obtienen las funciones de firewall como un
recurso compartido.

El firewall distribuido puede ser tratado como otra aplicación a ser cargada en el servidor, puede ser
configurado y ejecutado luego de su instalación en el servidor.

Proteger las computadoras de los usuarios finales

Ya que la defensa perimetral tradicional no es impenetrable para muchas de las aplicaciones y

servicios de Internet actuales, en ocasiones es recomendable mover las medidas de seguridad a los
puntos finales de la red para proveer la protección donde más se necesita – los servidores y maquinas
de usuarios finales.

Un firewall distribuido puede proteger los sistemas de los usuarios finales de una red y competir de
esa forma con los firewalls personales. En este sentido son como firewalls personales pero con
algunas diferencias significativas. Ofrecen administración centralizada, y en algunos casos
(dependiendo del producto), alta granularidad de control de acceso. Cuando estos dos atributos se
encuentran juntos, es posible configurar políticas de seguridad especializadas para la red de la
organización y enviarlas a través de la misma a los usuarios finales. De esta forma, los usuarios
conectados directamente a la red de la organización o en maquinas remotas, conectados mediante
enlaces de alta velocidad (tales como cable modem o DSL), pueden ser protegidos. Los firewalls
distribuidos en las estaciones de trabajo y computadoras personales son actualizados y monitoreados
centralmente para maximizar los recursos.

Herramientas Cisco
Equipos de gestión de seguridad IronPort de Cisco

 Simplifican la gestión de seguridad en todos los productos de seguridad para el correo

electrónico IronPort y en la Web de Cisco.

 Ofrece generación de informes centralizada, seguimiento de mensajes, cuarentena de

mensajes spam para los dispositivos de seguridad para el correo electrónico.

 Proporciona gestión centralizada de políticas para la Web para los dispositivos de seguridad en
línea.

 Permite la administración delegada de las políticas de acceso a la Web y categorías de URL

personalizadas

Cisco Security Manager

 Facilita la configuración y gestión de cortafuegos, VPN, sensores IPS y servicios de seguridad

integrada de Cisco.

 Idóneo para controlar implementaciones grandes o complejas de dispositivos de seguridad y

de red de Cisco.

 Admite control de acceso basado en funciones y un marco de aprobación para proponer e

integrar cambios.

 Ofrece opciones flexibles de gestión de dispositivos, que incluyen gestión basada en políticas y
métodos para implementar cambios de configuración.

Sistema de supervisión, análisis y respuesta de seguridad de Cisco

Identifica las amenazas aprendiendo la topología, la configuración y el comportamiento del entorno

de red Facilita la resolución de problemas y la identificación de ataques o puntos vulnerables para una
amplia variedad de redes empresariales Caracteriza visualmente una vía de ataque, identifica el
origen de la amenaza y realiza recomendaciones precisas para paliar las amenazas Simplifica la
gestión y la respuesta a incidentes a través de la integración con el software de gestión de seguridad
de Cisco.

Otras Herramientas

Sondeo de vulnerabilidades

Nessus (www.nessus.org)

Análisis de bitácoras (logs)

 swatch – reportes via e-mail

Filtros de Servicios

iptables, tcpwrappers

Cifrado

SSH – cifrado de sesiones interactivas

Revisión de Integridad

Tripwire – monitoriza cambios en los archivos

Proceso.

Para lograr el objetivo perseguido se deben, al menos, realizar las siguientes acciones:

Elaborar las políticas de seguridad donde se describan las reglas de administración de la

infraestructura de red. Y donde además se definan las expectativas de la red en cuanto a su buen uso,
y en cuanto a la prevención y respuesta a incidentes de seguridad.

Definir, de acuerdo a las políticas de seguridad, los servicios de necesarios y que pueden ser ofrecidos
e implementados en la infraestructura de la red.

Implementar las política de seguridad mediante los mecanismos adecuados.

Pretende controlar el acceso a los recursos de la red de acuerdo a unas políticas bien definidas Uso
periódico de herramientas para analizar y controlar el uso legítimo de la red Distribución de
certificados.
TRABAJO DE DISEÑO ADMINISTRACION Y SEGURIDAD EN REDES

PRESENTADO POR:

ARISTIDES CABANA GOMEZ

PRESENTADO A:

ENERSTO GARCIA PUCHE

PROGRAMA DE INGENIERIA DE SISTEMAS

UNIMAGDALENA

SANTA MARTA

2010