Firewalls

Seguridad
Llanos Tobarra
Defensa en profundidad
Firewalls

 Firewall es un dispositivo que

proporciona conectividad
segura entre redes. Usuarios remotos

Intranet Internet

Firewall Router

DMZ

Usuarios externos
(no confiables)
Objetivos de un firewall

 Garantizar el cumplimiento de las políticas de seguridad relacionadas con el tráfico de red específicas de
una organización:
 El tráfico de red marcado como autorizado debe poder enviarse y recibirse sin problemas.
 El tráfico de red no autorizado no debe poder atravesar las redes indicadas.
 Debe ser robusto ante ataques destabilizadores.
 Otras propiedades:
 Registro del tráfico.
 Network Address Translation.
 Tunneling o cifrado de comunicaciones.
 Limitaciones:
 Sólo actúa sobre el tráfico de red que lo atraviesa, incluyendo rangos de direcciones IP, protocolos
aplicaciones y tipo de contenido.
 Depende de su configuración.
Evolución de los firewalls

Filtrado de paquetes
Filtrado por sesiones
Uso de la información de
las cabeceras de los Filtrado de Aplicaciones
mensajes. Filtrado por sesiones.
Paquete individual. Capa 4 OSI.
Firewall ultima generación.
Capa 3 OSI. Stateful Inspection,
Capa 7 OSI.
Acciones: permitir o borrar. Configuración por zonas
Incluyen otras
ACLs características avanzadas
como IPS, creación de
VPNs, NAT,..
Reputación de IPs
Fortinet, ASA de Cisco,…
 Filtrado de Tráfico

Tipos
Listas de control de acceso

A nivel de
paquete

Filtrado dinámico de paquetes

A nivel de
sesión
Stateful Inspection

Control de acceso basado en contextos (zonas)

Política asociada a un firewall

 Desarrollo a partir de la información obtenida de analizar el riesgo de la organización y las

políticas derivadas.
 Determinar que tipo de tráfico de red es necesario para el funcionamiento de los
procesos de la organización.
 Combinación de los elementos de filtrado junto a una topología de firewall apropiada.
Filtrado de Paquetes

 Decisiones tomadas a nivel de paquete.

 Dirección IP de origen
 Dirección IP destino.
 Puerto origen/destino
 Interfaz de red
 ….
 No se almacena información del estado.
 Definición de reglas que se aplican a los paquetes entrantes y salientes.
 Generalmente deben coincidir los encabezados de los paquetes.
 Acciones posibles:
 Descartar el paquete
 Reenviar el paquete.
 Ejemplo

Regla Dirección Origen Destino Protocolo Puerto Puerto Acción

Origen destino
1 Entrada Pública Privada TCP 25 >1023 Permitir
2 Salida Privada Publica TCP >1023 25 Permitir
3 Salida Privada Pública TCP 25 >1023 Permitir
4 Entrada Pública Privada TCP >1023 25 Permitir
5 Cualquier Cualquiera Cualquiera Cualquiera Cualquiera Cualquiera Bloquear
a
 Recomendaciones

IP Spoofing Descartar paquetes de una red interna si llegan a una

interfaz externa

Enrutamiento Descartar todos los paquetes que indiquen la ruta.

en origen

Ataques Obligar a que el primer fragmento de un paquete

basados en contenga un mínimo del encabezado de transporte.
fragmentos
Ventajas y desventajas

Ventajas Desventajas
✓ Sencillez No pueden evitar ataque que emplean
✓ Transparente para los usuarios sólo ciertas vulnerabilidades o funciones
✓ Muy rápidos de capa de aplicación.
Funcionalidad de registro de actividad
limitada.
Vulnerable a ataques que explotan fallos
en TCP/IP a nivel de sesión.
Susceptibles a fallos de seguridad debidos
a configuraciones erróneas.
Tipos de Firewalls

Web Application
Host
Firewalls (WaF)
Local
Firewall

Personales
Bastión
Proxy
Red
Router
Bastiones
 Es una aplicación que se localiza en un servidor con el fin
de ofrecer seguridad a la red interna, por lo que ha sido
especialmente configurado para la recepción de ataques.
 Características:
 Versión segura del sistema operativo, sólo servicios
mínimos.
 Acceso autenticado para el tráfico de hosts.
 Configurado para acceso sólo de sistemas específicos
de la red.
 Optimizado para la seguridad.
 Bajo uso de disco duro.
 Ejecución como usuario no privilegiado en un
directorio del bastión.
Proxy

 Actúan como un intermediario en el tráfico a nivel de aplicación.

3. Información
autenticación 5. ¿Tráfico
valida permitido?

1. Aplicación 4. Contactar la
TCP/IP aplicación equipo
usuario proxy
remoto

2. ¿equipo
remoto?