Universidad Peruana Los Andes Seguridad

UNIVERSIDAD PERUANA LOS ANDES SEGURIDAD Y DESARROLLO DE APLICACIONES EN INTERNET
DISEÑO DE LA SEGURIDAD Y DE LOS

FIREWALLS
ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR

UNIVERSIDADUNIVERSIDAD
PERUANA LOSPERUANA
ANDES LOS ANDES SEGURIDAD Y DESARROLLO DE APLICACIONES EN INTERNET
OBJETIVOS
 Indicar y definir las diferentes amenazas y políticas de seguridad.

 Explicar los diversos problemas de seguridad.
 Enumerar y explicar las consideraciones de diseño de una red con firewall.
 Explicar las consideraciones que se toman en el diseño de un sistema de detección de
intrusos.
ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR Página 1

PERUANA LOSPERUANA
ÍNDICE
DESARROLLO DEL CAPÍTULO ............................................................................... 3

3.1 AMENAZAS Y POLÍTICAS DE SEGURIDAD ...................................................... 3
3.2 PROBLEMAS DE SEGURIDAD ....................................................................... 5
3.2.1 Rastreador de paquetes ........................................................................ 5
3.2.2 Falsificación de IP ................................................................................ 5
3.2.3 Denegación del servicio ........................................................................ 6
3.2.4 Ataques mediante contraseña ...............................................................10
3.2.5 Ataques en el nivel de aplicación ...........................................................10
3.3 CONSIDERACIONES SOBRE EL DISEÑO DE RED............................................11
3.3.1 Tipos generales de infraestructura de red ...............................................12
3.3.2 Metodología de diseño .........................................................................14
3.3.3 Tipos de topologías de red....................................................................22
3.3.4 Diseños habituales de firewall de red .....................................................27
3.3.5 Creación de una directiva de seguridad de empresa .................................31
3.4 DISEÑO DE UN SISTEMA DE DETECCIÓN DE INTRUSOS.................................35
3.4.1 Detección de utilización indebida ...........................................................35
3.4.2 Detección de anomalías .......................................................................35
3.4.3 Reconocimiento de firma......................................................................36
3.4.4 Análisis de la integridad .......................................................................36

PERUANA LOSPERUANA
DESARROLLO DEL CAPÍTULO
3.1 AMENAZAS Y POLÍTICAS DE SEGURIDAD
Siempre que se habla de seguridad, se debe considerar los riesgos. Es necesario identificar lo
que tenemos y por qué lo protegemos. También se deben identificar las amenazas y la
vulnerabilidad a dichas amenazas. Si tenemos a una empresa que vende zapatos, la
preocupación de que la gente pueda entrar por la fuerza en la tienda y robar los catálogos o
incluso zapatos será menor que la de un banco, en el que se puede modificar las cuentas de
los clientes o robar dinero en efectivo.
El resultado final de la seguridad es una política. Después de identificar lo que tenemos y

cuáles son las amenazas, es necesario decidir una política de seguridad. Una política de
seguridad debe incluir los problemas siguientes, aunque no está limitada a ellos:
 Autenticación: ¿A quién se le permite el acceso a la red?

 Autorización: ¿Qué tienen permiso de hacer una vez que están conectados a la red?
 Administración: ¿Quién debería dar los permisos?
 Integridad de los datos: ¿Cómo protegeremos nuestros datos, por ejemplo con métodos
de cifrado, copias de seguridad o almacenamiento?
 Inspección o detección de intrusos: ¿Quién está utilizando que recursos y cuando?
¿Cómo nos podemos enterar de una utilización no autorizada?
 Contabilidad: ¿Qué haremos cuando no se sigan las políticas?
 Respuesta y recuperación: ¿Qué haremos cuando se pierdan, roben, alteren o espíen
los datos?
 Prevención: ¿Cómo nos aseguramos que no se produzca de nuevo el mismo problema
o vulnerabilidad?
Estas áreas son críticas y deben ser estudiadas. Es posible que tenga que preocuparse de
otros temas en función de su situación personal, pero esta lista es una buena base para
cualquier política de seguridad de red.
Debe comprender los compromisos involucrados en la implementación de esta seguridad. Los

problemas que rodean a estos compromisos son el coste, comodidad, disponibilidad,
productividad y rendimiento, por nombrar unos cuantos.

PERUANA LOSPERUANA
Coste
Los costes involucrados en la implementación de una política de seguridad fuerte pueden ser
considerables. Los cortafuegos y sus productos relacionados son caros. El personal necesario
para implementar, inspeccionar y mantener las políticas de seguridad son difíciles de encontrar
y encima es muy caro.
Comodidad
Las políticas de seguridad fuertes son más incomodas que las políticas relajadas o inexistentes.
A la gente no le gusta utilizar contraseñas difíciles de recordar, ni les gusta cambiarlas con
frecuencia. Los cortafuegos pueden hacer que ciertos servicios de internet no estén
disponibles. Cosas como el correo electrónico externo, archivos de audio y video, además de
los servicios de chat de Internet Explorer, son solo algunos ejemplos de los paquetes que los
cortafuegos probablemente no permitan.
Disponibilidad
Los cortafuegos pueden introducir lo que se llama “puntos únicos de avería”. La naturaleza de
los cortafuegos es que examinan cada paquete que entra y sale de la red. Si el cortafuego se
avería por alguna razón, es posible que las comunicaciones se detengan. La redundancia es
complicada e incluso más cara.
En la seguridad de computadoras, es necesario considerar tres aspectos básicos:
 Mantener como privado el contenido de los datos.

 Asegurar que se mantiene la integridad de los datos.
 Asegurar que los datos y la red siguen estando accesibles.
Estos tres aspectos se deben combinar e integrar de forma que las características de uno de
estos temas no interfieran con los otros. Por ejemplo, si no se les permite a otros acceder a
nuestros datos, se preserva la integridad y la privacidad. Si la red permanece accesible,
también se asegura la integridad. Parte del mantenimiento de la accesibilidad es evitar que
piratas informáticos (hackers) maliciosos destruyan su utilidad, como con u n virus o un ataque
de denegación del servicio (DoS).

PERUANA LOSPERUANA
Productividad y rendimiento
A la gente le gusta utilizar el trayecto con la menor resistencia. Si las políticas de seguridad
dificultan la conexión remota desde casa o viajando, es menos probable que la gente se
conecte y trabaje cuando estén ausentes. Los cortafuegos pueden ralentizar las transmisiones
considerablemente dependiendo de lo detallados que sean los métodos de filtrado.
3.2 PROBLEMAS DE SEGURIDAD
3.2.1 Rastreador de paquetes
Una de las formas más habituales de recoger información de una red es utilizando lo que se
llama un rastreador de paquetes (packet sniffer) o analizador de red. Muchos de estos
programas son totalmente gratuitos y sencillos de utilizar. Una vez se ha comprometido un host,
se puede cargar en el software del rastreador y después escuchar en el puerto Ethernet
buscando cosas como “Contraseña” (Password). “Login” y “su” en el flujo de paquetes, además
del tráfico que le sigue. De este modo, los atacantes pueden averiguar contraseñas de sistemas
en los que ni siquiera estén intentando entrar. Las contraseñas en texto sin cifrar son muy
vulnerables a este ataque. Todo esto puede resultar incluso más sencillo para gente que actué
internamente. Pueden cargar el software ellos mismos y hacer lo mismo. Recuerde que la
mayor parte de las actividades maliciosas en las redes de computadoras se producen desde
dentro de la empresa.
3.2.2 Falsificación de IP
La falsificación (spoofing) de IP se produce cuando una maquina finge ser otra máquina. La
máquina que falsifica lo que hace es convencer a un servidor de que su dirección de origen es
la de una maquina con la que intento comunicarse previamente. Las máquinas que se
transmiten datos entre sí lo hacen proporcionando direcciones de origen y desti no en el
paquete IP. Si se falsifica dicho paquete en el momento adecuado, podemos convencer a la
otra computadora de que somos el origen y receptor pretendidos. Esta técnica se puede utilizar
para averiguar cuentas de usuarios, contraseñas y otra información peligrosa. Otra forma de
hacerlo es utilizando encaminamiento de origen de IP; un host atacante es una opción que se
puede utilizar para especificar una ruta directa hacia su destino, además del trayecto de retorno
hacia el origen. La ruta puede literalmente exigir y puede implicar la utilización de otros routers
u hosts que normalmente no se utilizarían para reenviar los paquetes hasta su destino. Se

PERUANA LOSPERUANA
puede hacer esto suplantando a un cliente de un servidor dado en quien se confía de la manera
siguiente:
1. En primer lugar, el atacante podría cambiar la dirección IP de su máquina para que sea
la misma que la de otra máquina en la que se confía.
2. Entonces, este atacante crearía una ruta de origen hasta el servidor especificado, el
trayecto exacto que deberían seguir los paquetes IP hasta el servidor y desde el
servidor de vuelta hasta la máquina del atacante, utilizando el cliente en quien se confía
como último salto en la ruta hasta el servidor.
3. El atacante envía una solicitud de cliente al servidor utilizando esta ruta de origen.
4. El servidor acepta la solicitud de cliente como si proviniera directamente del cliente en
quien confía y a continuación devuelve la respuesta a dicho cliente.
5. El cliente es quien confía. Utilizando el encaminamiento de origen, reen vía el paquete al
host del atacante.
Otra forma de engañar a un cliente, que es incluso más sencilla, es simplemente esperar hasta
que se apague su máquina y entonces suplantar a la maquina cliente. Una forma de hacerlo
sería utilizar NFS para obtener el acceso a los directorios y archivos del servidor (NFS utiliza
solamente direcciones IP para autenticar a los clientes). Después de unas horas, basta con
configurar una maquina con el mismo nombre y dirección IP e iniciar conexiones con el servidor
como si fuera el cliente real.
3.2.3 Denegación del servicio
La Denegación del servicio (DoS). Denial of Service) es un ataque diseñado para conseguir que
una computadora o red sean inútiles o incapaces de proporcionar los servicios normales. Los
ataques de DoS más habituales estarán dirigidos al ancho de banda o a la conectividad de red.
Los ataques de ancho de banda inundan la red con tanto tráfico que se consumen todos los
recursos de la red. Haciendo que les resulte imposible a los usuarios normales el conectarse.
Los ataques de conectividad inundan una computadora con tantas solicitudes de conexión que
se consumen todos los recursos disponibles del sistema operativo, y la computadora ya no
puede procesar las solicitudes de usuarios normales. Otro tipo de ataque de DoS es el llamado
ataque de Denegación distribuida del servicio (DoS). Distributed Denial of Service). Este ataque
utiliza múltiples computadoras para lanzar un ataque de DoS sincronizado contra uno o más
objetivos. Utilizando tecnología tipo cliente/servidor, el atacante es capaz de multiplicar la
efectividad (también se le llama amplificación) del DoS de manera significativa utilizando los

PERUANA LOSPERUANA
recursos de múltiples máquinas, cómplices sin saberlo, como plataformas de ataque

distribuidas. Estos son algunos de los métodos más habituales utilizados para los ataques de
DoS:
 Inundación de SYN. La inundación de SYN es un ataque de DoS de red. Se aprovecha

de la forma en que se crean las conexiones TCP. Un ataque de inundación de SYN
simplemente envía solicitudes de conexión TCP más rápido de lo que puede
procesarlas la máquina.
1. En primer lugar. el atacante crea una dirección de origen aleatoria para cada
paquete.
2. Después se activa el indicador SYN en cada paquete. lo que supone una
solicitud de abrir una nueva conexión con el servidor desde la dirección IP falsa.
3. La víctima responde entonces a la dirección IP falsa y espera una confirmación
que no llega nunca (habitualmente unos tres minutos).
4. Esto provoca que la tabla de conexiones de la víctima se llene mientras e spera a
estas respuestas.
5. Cuando se llena la tabla, se ignoran todas las conexiones nuevas.
6. Se puede utilizar una inundación de SYN para otros tipos de ataques. como la
inhabilitación de un extremo de una conexión TCP como preparación para un
ataque de secuestro de sesión o impidiendo la autenticación o conexión entre
servidores.
 Ataque por tierra. El Ataque por tierra utiliza la falsificación de IP en combinación con
una conexión TCP inicial. Envía un paquete en el que el indicador SYN de la cabecera
está activo durante la apertura de una conexión TCP. Después, se modifican las
direcciones IP del paquete de IP subyacente. En un Ataque por tierra se modifican las
direcciones IP de origen y destino para que sean idénticas a la dirección del host de
destino. Una vez el host de destino recibe el paquete, responde a la solicitud de SYN.
Cuando responde el host de destino crea primero un paquete con el indicador ACK
activado y después cambia la dirección de destino por la dirección de origen y viceversa.
Por tanto. si ambas direcciones son idénticas. entonces obviamente la máquina
comienza a enviarse el paquete a sí misma, por lo que se mete en una guerra de ACK
consigo misma, y continúa creando una situación de DoS.

UNIVERSIDAD PERUANA LOS PERUANA
UNIVERSIDAD ANDES LOS ANDES SEGURIDAD Y DESARROLLO DE APLICACIONES EN INTERNET
 Inundación de ICMP. Este ataque de DoS envía una gran cantidad de paquetes de
solicitud de eco de ICMP a la máquina objetivo que no puede responder con la
suficiente rapidez como para ocuparse de todo el tráfico de la red. En primer lugar. el
atacante falsificará su IP de origen, porque si no lo hace su máquina sería una víctima
de su propio ataque al dedicar recursos no sólo para enviar el paquete sino también
para recibir las respuestas al paquete. Ahora, simplemente continúa enviando paquetes.
y mientras el objetivo tiene que utilizar recursos para recibir u contestar a los paquetes.
Multiplique esto por un ataque distribuido entre múltiples máquinas y se acabara
fácilmente con la máquina objetivo. Se pueden programar los servicios del Sistema de
detección de intrusos (IDS. Intrusión detection system) en routers y cortafuegos para
limitar las solicitudes de eco de ICMP o descartarlas totalmente, impidiendo su entrada
en la subred.
 El Ping de la muerte. El ataque del Ping de la muerte envía paquetes de solicitud de

eco de ICMP (pings) que son más grandes de lo que pueden admitir las estructuras de
datos del sistema operativo que almacenan esta información porque enviar un único
paquete ping grande a muchos sistemas provocara que se cuelguen.
 Ataque de los pitufos. El ataque de los pitufos (smurf) es el que se aprovecha de una
característica de la pila de IP llamada difusiones dirigidas. Un ataque de pitufos inundara
al router con paquetes de solicitud de eco de ICMP (pings). Como la dirección IP de
destino de cada paquete es la dirección de difusión de nuestra red, el router hará una
difusión del paquete de solicitud de eco de ICMP a todos los hosts de la red. Cuantas
más maquinas estén conectadas a la red, más tráfico de solicitudes respuestas de eco
de ICMP se generarán. Si el atacante decide falsif icar la dirección IP de origen del
paquete de solicitud de eco de ICMP, el tráfico de ICMP resultante no solo
congestionará la red (la red intermedia) sino que también congestionará la red de la
dirección IP de origen falsificada llamada red víctima, por el envió de los paquetes de
respuesta de eco de ICMP. Para evitar que una red se convierta en intermedia, tendría
que desactivar el direccionamiento de difusión en cualquier router de red que lo permita
o configurar el cortafuegos para que filtre las solicitudes de eco de ICMP. Para evitar
convertirse en la víctima del propio ataque, configure el cortafuegos o los routers para
que filtren las respuestas de eco de ICMP o limiten el tráfico de eco aun pequeño
porcentaje del tráfico global de a red.

UNIVERSIDAD PERUANA LOS PERUANA
UNIVERSIDAD ANDES LOS ANDES SEGURIDAD Y DESARROLLO DE APLICACIONES EN INTERNET
 Inundación de UDP. El Protocolo de datagrarna de usuario (UDP) es un protocolo no

orientado a conexión. No se necesita establecer una conexión para transferir los datos.
Como no se requiere el establecimiento de la conexión antes de que se transfieran los
datos, es difícil derribar un host inundándolo simplemente con paquetes de UDP. Se
crea un ataque de DoS de inundación de UDP cuando el host agente envió un paquete
a un puerto aleatorio de la máquina objetivo. Cuando el host objetivo recibe un paquete
de UDP, determinará que está escuchando en el puerto de destino. Si no hay nada
escuchando, entonces devolverá un paquete de lCMP a la dirección IP de origen
falsificada notificando que no se puede alcanzar el puerto de destino. Si se envían
suficientes paquetes de UDP a puertos muertos del host objetivo, no sólo se colgará
dicho host, sino que también se inhabilitarán las computadoras del mismo segmento
debido a la gran cantidad de tráfico.
 Ataque de lágrima. La mayoría de las redes tienen un tamaño máximo de paquete que
pueden manejar. A este tamaño de paquete se le llama Unidad Máxima de
Transferencia (MTU, Maximun Transfer Unit). Si la red subyacente no puede transportar
un paquete dado porque es demasiado grande, es necesario descomponer el paquete
en fragmentos más pequeños, a esto se le llama fragmentación. Una vez los fragmentos
de paquete han llegado a su destino final, se reensamblan el paquete a partir de los
fragmentos. Tanto la fragmentación como el reensamblado se realizan en el nivel IP de
TCP/IP. Cuando el nivel IP recibe un paquete de IP, habitualmente realiza lo siguiente:
1. En primer lugar, verifica que el paquete tenga al menos la longitud de la

cabecera de IP y se asegura de que la cabecera este contigua.
2. Después, ejecuta una suma de verificación sobre la cabecera del paquete para
comprobar si hay errores. Si existen errores, se descartará el paquete.
3. A continuación, verifica si el paquete tiene al menos la longitud que indica la
cabecera. Si no es así, se descartará el paquete.
4. Después procesa las opciones de IP si hay alguna.
5. Comprueba si el paquete está dirigido a esta máquina, Si es así, continuará el
procesamiento del paquete. Si no así, lo reenviará y lo descartará.
6. Si el paquete ha sido fragmentado. mantendrá el fragmento en una cola hasta
que se reciban todos los otros fragmentos.
7. Finalmente, pasa el paquete a los niveles superiores.

PERUANA LOSPERUANA
Los ataques de lágrima explotan que estos procedimientos confían en las cabeceras de
paquete de los fragmentos. Si se solapan estos desplazamientos de fragmento, ent onces se
puede provocar el derribo del sistema, lo que supone un DoS.
3.2.4 Ataques mediante contraseña
Los ataques mediante contraseña se pueden producir de varias maneras:
 Rastreo de la red (Nerwork sniffing). Un pirata malicioso podría utilizar un rastreador

de red para ver todos los datos transmitidos a través de una red. Cuando se transmite la
contraseña a través de la red, el pirata podría capturarla y almacenarla para utilizaría en
el futuro.
 Caballo de Troya. Algunos programas Caballo de Troya pueden capturar contraseñas a
medida que se introducen en el teclado del usuario.
 Fuerza bruta. En un ataque de fuerza bruta, un programa de computadora de diseño
especial intenta adivinar la contraseña probando todas las combinaciones posibles de
caracteres hasta que aparezca la contraseña.
 Ataque mediante diccionario. En vez de intentar averiguar la contraseña probando
todas las combinaciones posibles de caracteres como en el ataque de fuerza bruta., el
atacante puede utilizar el ataque de diccionario y probar todas las palabras de un
diccionario o de múltiples diccionarios hasta encontrar la contraseña. Este método es
muy popular porque ya se sabe que mucha gente utiliza palabras comunes corno
contraseñas.
 Ingeniería social. La Ingeniería social es la forma más sencilla y afortunada de todas.
La Ingeniería social es una forma de embaucar a la gente para que, sin saberlo,
proporcione información que ayude al pirata.
3.2.5 Ataques en el nivel de aplicación
Los ataques en el nivel de aplicación se pueden implementar utilizando varios métodos

diferentes. Uno de los métodos más habituales es explotar las debilidades bien conocidas del
software que se encuentra habitualmente en la pila. Como ejemplo de los servicios de la pila
TCP/lP que se exploran habitualmente cabe mencionar los siguientes:
 El Protocolo de transferencia de archivos (FTP) realiza transferencias de archivos

interactivos, básicos y con estado entre los host.
PERUANA LOSPERUANA
 Telnet permite a los usuarios ejecutar sesiones de terminal de manera remota.

 El Protocolo simple de transferencia de correo (SMTP) es un servicio de entrega de
mensajes muy básicos.
 El Protocolo de transferencia de hipertexto (HTTP) es un protocolo sin estado, orientado
a conexión y orientado a objetos con órdenes simples que seleccionan y transpor tan
objetos entre el cliente y el servidor.
 El Servicio de nombres de dominio (DNS), también llamado servicio de nombres, es una
aplicación que traduce direcciones IP a los nombres asignados a los dispositivos de red
y viceversa.
 El Protocolo de información de encaminamiento (RIP) es básico para la forma en que
funciona TCP/IP. Los dispositivos de red utilizan RIP para intercambiar información de
encaminamiento.
 El Protocolo simple de gestión de red (SNMP) se utiliza para recopilar información de
gestión o MIB de diferentes dispositivos de red.
 El Sistema de archivos de red (NFS), un sistema desarrollado por Sun Microsystems,
permite a las computadoras utilizar unidades en hosts remotos como si fueran unidades
locales.
Explotando estas debilidades los atacantes pueden obtener el acceso a una computadora con
los permisos de la cuenta que ejecuta la aplicación, que habitualmente tiene permisos para
hacer un daño importante.
Una de las formas más modernas de ataques de nivel de aplicación explota el grado de
apertura de varias tecnologías nuevas que se utilizan a menudo en la Web hoy en día, como
por ejemplo las nuevas especificaciones HTML. Las funciones de los navegadores de Web y
otros protocolos populares como el IRC (chat). Estos ataques, que incluyen app lets de Java y
los controles ActiveX, implican el envió de programas dañinos a través de Internet hasta
nuestra red cargándolos a través del navegador de la víctima.
3.3 CONSIDERACIONES SOBRE EL DISEÑO DE RED
A menudo, la seguridad es un componente excesivamente vigilado cuando se diseña una red.

Un plan serio debe dedicarse a proteger y asegurar los datos valiosos y la propiedad intelectual.
La mayoría de las perdidas ocurren, más de los que uno se imagina, debido a una falta de
seguridad.

PERUANA LOSPERUANA
Cada vez más las principales publicaciones están subrayando las intrusiones en la seguridad
de la red. Esto se debe a dos importantes razones:
 Las personas y los grupos que asaltan los sistemas de seguridad de red corporativa
revelan sus intrusiones en foros públicos.
 Las irrupciones en estos entornos infligen daños económicos y sociales.
La seguridad tiene que incluirse en el diseño de la red, independientemente de que tenga o no

acceso a Internet. Se puede obtener grados de seguridad más altos implantándola desde el
principio, en lugar de intentar incluirla al final. Por desgracia actualmente no se hace suficiente
hincapié en la seguridad durante la fase de diseño de redes. Este problema es fácil de
solucionar y corregir.
En el diseño de seguridad de una red deben tomarse las siguientes consideraciones:
 Tipos generales de infraestructura de red

 Metodología de diseño
 Tipos de topología de redes
 Tipos de protocolo de enrutamiento
 Tipos de firewall de red
 Directivas
3.3.1 Tipos generales de infraestructura de red
Es importante comprender los significados de Intranet, extranet e Internet debido a que son
términos y conceptos básicos en el diseño de seguridad de redes. Los términos definen los
segmentos generales de la red.
Una seguridad general comienza con la comprensión de cómo estás redes diferentes se
interconectan o interactúan entre ellas. Cada una necesita un nivel y un tipo de seguridad
diferente. Se describe a continuación los tipos generales de infraestructura de red:
3.3.1.1 Intranet.
Se definen como redes internas sobre las que un usuario o una empresa tienen control. Por
ejemplo una página web www.negocios.com define una intranet como una red privada

PERUANA LOSPERUANA
contenida dentro de una empresa. Puede consistir en muchas redes de área local vinculadas
entre sí, y también utilizar líneas concedidas en la red de área extensa. Normalmente una
Intranet incluye conexiones a Internet a través de uno o más equipos de puerta de enlace. El
propósito principal de una Intranet es compartir la información de una empresa y los recursos
informáticos entre los empleados. La intranets son LAN y las WAN que interconectan una
empresa; también pueden contener puntos de entrada y salida (extranet e Internet) fuera de su
control.
3.3.1.2 Extranet.
Las extranets son redes de acceso externo para los asociados de empresa a empresa,
principales u otras redes sobre las que el usuario no tiene control. El sitio web
www.negocios.com define una extranet como una red privada que utiliza protocolo Internet y el
sistema de telecomunicaciones público para compartir de forma segura parte de la información
de la empresa u operaciones con proveedores, colaboradores, clientes u otras empresas. Una
extranet se puede ver como parte de la Intranet de una empresa que se extiende a usuarios
que están fuera de la empresa. Un ejemplo de extranet es el acceso que comparten las
entidades gubernamentales con los contratistas militares. Las extranets requieren procesos de
seguridad adicionales y procedimientos que vayan más allá que los de las intranets.
3.3.1.3 Internet.
El termino Internet se utiliza sobre todo para describir la interconectividad entre redes
autómatas (diferentes empresa o redes que están fuera de su control) que sirve para
proporcionar una conectividad colectiva. Una Internet también puede verse como una Intranet o
una extranet. La mayor Internet es, por supuesto, el World W ide Web, a la que se hace
referencia como Internet. El acceso a Internet representa un tipo de riesgo especial para la
seguridad. Las amenazas pueden proceder de millones de ubicaciones muy lejanas imposibles
de rastrear, para así poder llegar hasta una persona o incluso un origen. Las intrusiones en su
red y su sistema pueden pasar desapercibidas a menos que se implanten medidas de
seguridad apropiadas un firewall.
3.3.1.4 Se elige un ISP Público

Habiendo definido los términos de Intranet, extranet e Internet, los usuarios en general deberán
tomar una decisión de acuerdo a sus necesidades del tipo de infraestructura de red a utilizar.
En el caso de decidir por un proveedor de servicio de Internet público, la se guridad tiene que
servir para lo siguiente:

PERUANA LOSPERUANA
 Proporcionarle flujo de tráfico IP ilimitado a los usuarios o ISP privados
 Proporcionar componentes de acceso muy seguros (conmutadores y enrutadores) que
pueden proporcionar acceso compartido en la misma estructura de red a empresas que
compiten directamente entre sí.
 Proporciona acceso de alta velocidad y una convergencia de enrutamiento rápida con
fragmentación de direcciones IP mínima mediante el resumen de rutas de las
direcciones IP sin clase.
 Prevenir el acceso no autorizado a los componentes de enrutamiento de entrada y
salida.
 Controlar la publicidad y el enrutamiento de direcciones IP para evitar los problemas de
enrutamiento, las direcciones duplicadas y anuncios del ámbito de las direcciones
privadas.
3.3.1.5 Seguridad departamental
La seguridad en los puntos de entrada y salida departamentales de la Intranet es importante

para proteger las LAN y los servidores. Hay muchas amenazas que deben controlarse y
mitigarse cuando se diseña la seguridad departamental.
Las amenazas departamentales más habituales son PC desatendidas pero autorizados que
cualquiera puede aprovechar y utilizar, comandos y puertos de red que están activados pero
que no se utilizan y que permiten a un individuo no autorizado entrar y conectar un equipo
portátil para así tener acceso a la red. Por ejemplo si se tiene DHCP activado, obtener una
dirección IP disponible resultara más fácil porque DHCP asigna la dirección al dispositivo de
conexión. Mientras existan controles simples para mitigar estos riesgos, los firewall internos
pueden reducir el riesgo de un daño global si se omitieran estos controles.
3.3.1.6 Seguridad en oficina pequeña y oficina domestica (SOHO)
Los puntos de entrada y salida de redes SOHO están limitados normalmente aun único punto
de demarcación y los servicios de firewall se pueden proporcionar de forma local o desde un
ISP (pagando una mensualidad). Se puede agregar equipos de firewall de bajo coste y
software, para proporcionar servicios locales de firewall en la demarcación de Internet.
3.3.2 Metodología de diseño
En la metodología de diseño de una red se debe:

PERUANA LOSPERUANA
3.3.2.1 Definir el propósito de la red

Se refiere a como se utiliza o se va utilizar la red, para así poder aplicar la capa de seguridad
apropiada. Esto proporcionará claridad y una dirección al proceso de diseño. Entre los
propósitos de puede mencionar:
 Mejorar la eficacia de disponibilidad de la red centralizando los servicios locales y

externos (Internet, Intranet o extranet).
 Proporcionar a los usuarios tipos de accesos de acuerdo a los requerimientos del área
ventas, logística, recursos humanos etc., de esta manera se decidirá entre los tipos
Internet, extranet o intranet.
 Permitir a los usuarios locales el acceso a datos y servicios locales centralizados
(correo electrónico, base de datos, servicios de impresión, software corporativo,
compartir archivos) entre varios departamentos.
 Permitir el acceso administrado a Internet de un usuario local.
 Proporcionar el acceso público a la información relacionada con una institución,
empresa u otra publicada en sus servidores Web.
 Permitir que los webmasters de una institución, empresa u otro hagan actualizaciones
en tiempo real y automaticen las actualizaciones web de los servidores web a los que se
puede tener acceso.
3.3.2.2 Requisitos
Una vez definidos los propósitos de la red, se recomienda identificar los requisitos específicos
de seguridad de red. Entre los más habituales de seguridad de red están el control de acceso,
la disponibilidad y la integridad de los datos. Elabore detenidamente una lista de preguntas
sencillas, pero importantes, que ayuden a cuantificar los temas de seguridad fundamentales.
Una vez recopiladas, también se recomienda revisar las preguntas para asignarles prioridades
y ver la viabilidad. Se puede dar por ejemplo algunas preguntas relacionadas con el diseño de
la red:
 ¿La seguridad ha sido una preocupación en el pasado?

 ¿Es necesario revisar y realizar una auditoría de la seguridad?
 ¿Cómo se gestiona actualmente la seguridad?
 ¿Hay que mejorar la seguridad?
 ¿Actualmente los firewall cumplen las necesidades técnicas y empresariales?
 ¿Cuándo se realizó la última revisión de seguridad y de firewall?

PERUANA LOSPERUANA
 ¿Se ha definido el costo asociado a la perdida, robo y los datos inexactos?
 ¿Se ha caracterizado la demografía de los clientes que necesitan acceso a Internet?
 ¿Qué aplicaciones se deben compartir a través de Internet?
 ¿Qué áreas de Intranet necesita cada usuario o departamento?
 ¿Qué usuarios necesitan acceso a la extranet y la Internet?
 ¿Con quién es compatible la red?
 ¿Cuáles son los acuerdos de nivel de servicio (SLA) que los usuarios pueden esperar?
 Cuál es el rendimiento necesario (de acuerdo con los SLA)?
Algunos requisitos se analizarán periódicamente y otros quedarán relegados al olvido, dado qu e

son prácticos o porque son demasiados caros para implementar. Sin embargo, este proceso
obliga a los desarrolladores a centrarse en la seguridad y a identificar los controles necesarios.
Algunos requisitos pueden parecer triviales u obvios, pero lo que p arece trivial, puede ser
básico. Por ejemplo, aunque la realización de traducción de direcciones de red (NAT), en la
puerta de enlace puede parecer que no revise importancia desde la perspectiva de la
seguridad, NAT proporciona un nivel de seguridad ocultando las direcciones del sistema de la
Intranet.
a. Identificación de los usuarios a las aplicaciones
En este momento, cree haber unificado y resumido todos los requisitos. Tras definir sus
aplicaciones y usuarios, puede que descubra que aparecen requisito s nuevos o adicionales. Si
es así, vuelva atrás y agréguelos; no los deje de lado. Todavía puede agregar, mover y realizar
cambios según las necesidades. Este proceso puede llevar varios días, semanas o incluso
meses, hasta estar totalmente definido. Normalmente, cuando más grande y sofisticada sea la
red, más tiempo se necesitará para definir totalmente los requisitos.
Por ejemplo se puede plantear que de acuerdo a la cantidad de direcciones IP internas que se
manejen en el planeamiento de direccionamiento en una red y la cantidad de direcciones que
tendrán acceso fuera de la Intranet y que cruzarán el firewall, se pueden plantear entre otra
preguntas:
 ¿Cuál es la cantidad de espacio de direcciones publicas enrutables mínimas que se

necesita para proporcionar conectividad?
 Serán suficientes para Internet dos bloque de red clase C (o /23 CIDR) si se
implementa NAT?
 ¿Es necesario actualizar el firewall para manejar todas las actualizaciones?

PERUANA LOSPERUANA
 ¿La combinación de firewall Internet y de la extranet en un equipo común

proporcionar capacidad suficiente para mejorar los requisitos de acceso?
Estos requisitos de NAT y de los firewall son solo ejemplos. Este mismo proceso se aplica a
cualquier nivel de seguridad a las aplicaciones implantadas en la red. Es necesario identificar el
tipo de acceso que se va a facilita a los usuarios, dependiendo si están en su Intranet o si
tienen acceso a recursos de la Intranet a través de accesos de Internet o de extranet. A
continuación se incluyen algunos ejemplos:
 Unidades compartidas, particiones y archivos con capacidad para leer, escribir

modificar y eliminar archivos.
 Acceso a Internet o ubicaciones fuera de control de su empresa desde los equipos
de los usuarios.
 Acceso para los usuarios desde Internet a las páginas Web y los servidores FTP que
sus servidores admiten.
 Acceso VTP desde Internet a su Intranet.
b. Especificaciones arquitectónicas
La especificación arquitectónica es el proceso que combina el propósito y los requisitos de la

red y los traduce a un documento que describe claramente como se utilizara la red.
La arquitectura es el marco de trabajo que proporciona las directrices que va seguir el diseño
de la red. Dentro del mismo, los requisitos se especifican de forma clara y concisa. Si el
propósito y los requisitos se han investigado, analizado y comprendido completamente, la
arquitectura deberá mantenerse durante mucho tiempo.
Entre las áreas en las que hay que centrarse debe haber algunas de las que se indican a
continuación:
 Seguridad
- Acceso a firewall
- Redundancia
- Intranet
- Internet
- Extranet
- Sistemas y periféricos

PERUANA LOSPERUANA
- Host bastión
- Puerta de enlace de filtrado
- DMZ
 Dibujo de topología de alto nivel
 Red de Área Amplia (W AN)
 Red de Área Local (LAN)
 Reflectores de enrutador
 Direccionamiento IP : públicas, privadas, subneteo de redes y NAT
 Tipo de tecnología de conectividad: modem de cable, DSL, X.25, Frame Relay etc.
 Directiva de enrutamiento: vector distancia, vínculo de estado, puerta de enlace
exterior (BGP).
 Conmutadores funcionales en capa 2 y 3
 Conmutadores WAN
 Jerarquía de enrutadores: central, distribuido y acceso
 Acuerdo de nivel de servicio (SLA): 99,9999 por 100 disponible, acceso al soporte
técnico 25 horas al día y 7 días a la semana, acuerdos de mantenimiento con
empleados o fabricantes locales para la sustitución de piezas, niveles y ámbito
aceptables de cortes de energía.
 Estabilidad
 Tipo de cableado estructurado Ethernet 10/100: CAT5, CATE y CAT6
 Tipo de cableado Ethernet Gigabit: cobre o fibra
 Requisitos de implementación: bastidores de escalera, suelos elevados y otros.
 Requisitos energéticos: CA, CC o redundancia.
3.3.2.3 Presupuesto
Cuando haya finalizado de definir los requisitos de disponibilidad, puede definir un presupuesto
para estimar el capital y los gastos de mantenimiento, así como los costos del trabajo.
En realidad el presupuesto se suele determinar cuando se ha concebido el proyecto. Lo ideal es

que el presupuesto se ajuste después de finalizar la arquitectura para que se puedan hacer
proyecciones exactas de costos.
Los costos típicos de los productos para firewall pueden varias de acuerdo al tipo de solución a
implementar si es para un ISP, seguridad departamental o SOHO. Los precios varían desde
unos cientos de dólares hasta los miles de dólares.

PERUANA LOSPERUANA
A la hora de definir presupuestos, asegúrese de tener en cuenta las horas de mano de obra
necesarias para administrar y mantener la red, así como las soluciones de seguridad. En el
caso de solución SOHO, un par de horas al mes puede ser todo lo que se necesite para
actualizar el software antivirus y revisar las versiones de software de los productos y así estar
actualizado en los temas de seguridad. Para entornos grandes el número de horas se puede
medir por el número de ingenieros necesarios para mantener una gran implementación.
3.3.2.4 Selección de posibles proveedores

Ahora puede confeccionar una breve lista de proveedores. Se recomienda confiar en la
experiencia que poseen los trabajadores temporales y los asesores. Normalmente estos grupos
tienen experiencia directa con la tecnología especificada en el documento de arquitectura, y
serán responsables de entregar y mantener la solución completa. La participación directa y la
responsabilidad son una forma excelente de asegurarse de que la selección del proveedor y el
producto es adecuada. En la mayoría de los casos, varios proveedores tendrán productos que
competirán entre sí.
Si pueden utilizar varios métodos para realizar la elección final. Los criterios de selección
basados en el costo, la disponibilidad, las pruebas, la asistencia técnic a y las relaciones
empresariales se pueden utilizar para seleccionar productos o para hacer selecciones de mayor
consideración basadas en el diseño y las pruebas.
3.3.2.5 Creación de diseño de red detallado

La creación de diseño de red detallado es el documento que muestra exactamente cuál es la
apariencia de la red tras la implementación. En los detalles se incluye entre otros los siguientes:
 Especificaciones de seguridad:
- Firewall,
- Listas de control de acceso
- Seguridad física
- Análisis de riesgo.
 Especificaciones de fabricantes para todos los componentes:
- Cables
- Contenedores
- Conectores
- Modelos de servidores, conmutadores y enrutadores aprobados
- Versiones de software
PERUANA LOSPERUANA
- Niveles de revisiones firmware y hardware

- Requisitos de refrigeración
- Requisitos de energía
 Requisitos de ancho de banda para la conexiones LAN y WAN
 Direccionamiento IP y esquema de subred
 Especificaciones del protocolo de enrutamiento interno y externo
- Protocolo de enrutamiento seleccionado
- Redistribución de rutas
- Resumen de rutas y anuncios
- Filtrado de rutas
 Redundancia:
- Energía
- Conectividad
- Redirección automática del enrutamiento en caso de error
- Acceso de bucle total
 Sistema de administración de red
 Medidas, procesos y tecnología de los acuerdos del nivel de servicio:
- Tiempo de repuesta del mantenimiento por parte de los proveedores
- Requisitos de sitio para los componentes de reemplazo y el personal
- 24x7 (horas y días), próximo día de trabajo, repuesta de 4 horas en el sitio etc.
- Acceso remoto del proveedor y proveedor de servicios a los equipos locales.
- Voltaje de salida permitido.
3.3.2.6 Creación de un plan de implementación
Se puede dedicar una gran cantidad de tiempo a la implementación basada en las

complejidades del diseño.
El plan de implementación se deriva de los documentos de diseño detallados. En muchos casos

en los que hay diseños e implementaciones complejos, los ingenieros de diseño tienen que
trabajar en estrecha colaboración con los ingenieros de implementación para asegurarse de
que la transición no sea brusca. En muchos casos la implementación necesita fases basadas
en el tamaño y el número de servicios que se implementan. Para crear una buena
implementación que tenga poco impacto en los usuarios, es necesario coordinar varios grupos
y usuarios.

PERUANA LOSPERUANA
El plan de implementación es un proceso detallado paso a paso que se ocupa de todo lo
necesario para implementar el diseño. Este plan debe probarse en un laboratorio antes de
implantarlo, para asegurarse que se abarcan todos los detalles y que la integración no es
brusca. Un laboratorio puede ser algo sencillo como un firewall en su despacho o tan complejo
como una habitación dedicada a simular su entorno de producción. Los requisitos de
disponibilidad, las restricciones de los recursos y los estándares organizativos estable cerán la
sofisticación del laboratorio de pruebas.
El ingeniero encargado de la implementación deberá tener todos los detalles de la

implementación por escrito para minimizar las preguntas y confusión. El plan deberá abarcar
todo lo referente a la implementación; demasiados detalles nunca son un problema. Los
detalles pueden incluir lo siguiente:
 El equipo o persona responsable de cada paso o fase

 Información de contacto para la ampliación o la asistencia técnica
 Fecha y hora en la que se realizar cada paso o fase
 Esquema de ingeniería detallados que muestren las ubicaciones donde se instalara el
equipamiento
 Esquema detallado de la topología del diseño
 Ubicación de los equipos para el diseño
 Que aplicaciones, usuarios y clientes van a sufrir el impacto
 Servicios de copia de seguridad para volver a enrutar las aplicaciones y el tráfico de
datos, y así disminuir el impacto en los usuarios durante los cambios o en el caso de
problemas inesperado.
 Un plan de marcha atrás en caso de que se encuentren problemas que no se puedan
solucionar mediante el mantenimiento estándar.
3.3.2.7 Pruebas y validación
Antes de la implantación final del equipamiento, la mejor forma de determinar si un diseño va a

funcionar es probarlo y validarlo. En un entorno SOHO, las pruebas y la validación se dejara
probablemente en manos de estudios y revisiones independientes proporcionados por diarios
negocios, la experiencia personal o los servicios de proveedores de consultoría y servicios. En
redes más grandes, o en diseños especializados, las pruebas activas en un entorno de red
simulado pueden ser necesarias para validar el diseño antes de gastar miles o millones de
dólares en equipamiento, servicios y empleados.

PERUANA LOSPERUANA
El laboratorio de pruebas y validación aislado se utilizara para comprobar los productos de los
proveedores, probar configuraciones, probar nuevos métodos e ideas y validar la
interoperatibilidad. Además las pruebas de versiones de mantenimiento anteriores a la
implementación de la producción es un paso básico en el proceso de implantación, diseñado
para minimizar el riesgo de trastorno en los servicios de los clientes.
3.3.2.8 El servicio técnico
Una vez implantado el diseño se debe decidir por quien va ocuparse del servicio técnico y
cuando va asumir esa responsabilidad. Lo habitual es un espacio de 48 y 72 horas de servicio
continuado y sin errores antes de la transición desde el grupo de ingenieros hasta el grupo de
operaciones. A veces, los equipos del servicio técnico son los que realizan la implementación,
especialmente en pequeñas empresa de tecnología de la información. Los procedimientos de
ampliación tienen que estar formalizados y dar explicaciones detalladas para que la plantilla del
servicio técnico conozca cómo se realizará la ampliación.
La asistencia técnica normalmente se puede clasificar como operaciones de ruptura/ corrección

en las que la plantilla del servicio técnico responde a un corte de recursos, o como
mantenimiento y actualizaciones periódicas.
3.3.3 Tipos de topologías de red
Las topologías de red están fuera del objetivo de este curso, se mencionaran las que más se
utilizan actualmente y donde se ubican los firewall dentro de cada una de ellas.
 Anillo
 Estrella
 Ethernet/bus
 Malla
 Jerárquica/agregada
3.3.3.1 Anillo
En una topología anillo, los dispositivos están conectados de un extremo a otro para así tomar
esta forma. Las primeras topologías de anillo, como la Interfaz de fibra de datos distribuidos
(FDI, Fiber distributed Data Interface), una tecnología OSI de capa 2 y una Red óptica sincronía
(SONET, Synchronous Optical Network), una tecnología OSI de capa 1, funcionan bien. Estas

PERUANA LOSPERUANA
topologías incluyen características de migración tras error en la arquitectura.
La Figura 1 muestra una topología de anillo FDDI. Las flechas oscuras representan el flu jo de
tráfico y la dirección en la fibra/anillo primarios, mientras que las flechas claras representan el
anillo/fibra de reserva secundario.
Internet
Anillo FDDI
Servidor
Concentrador
FDDI
Figura 1. Anillo FDDI
La Figura 2 muestra lo que ocurra cuando se pierde un concentrador. Los concentradores que
están directamente conectados al concentrador que ha fallado ajustan sus puertos para relegar
las conexiones erróneas y conectar las fibras primaria y secundaria y así restaurar la
conectividad.

PERUANA LOSPERUANA
Internet
Anillo FDDI
Servidor
Figura 2. Anillo FDDI cuando se pierde un concentrador
Los concentradores FDDI típicos son dispositivos de acceso de capa 2 y no tienen las
capacidades de los firewall. Se agregan características de los firewall entre el concentrador
FDDI y el enrutador o el conmutador. Las instalaciones FDDI se consideran redes heredadas.
3.3.3.2 Estrella
Las topologías de estrella se parecen a una red controlada de forma centralizada. Cada
extremo se conecta mediante un concentrador central con un circuito de punto a punto. El uso
de conmutadores Ethernet es un ejemplo de implementación de una topología de estrella en un
entorno LAN. Esta es la forma más sencilla de proporcionar conectividad Ethernet a los
servidores o a los dispositivos de acceso a la red, como se muestra en la Figura 3.

PERUANA LOSPERUANA
Servidor
Servidor
Router
Servidor
Figura 3. Topología en estrella
En la Figura 3 las características de firewall se agregan en uno de los radios que derivan del
punto central agregado. En las redes de área extensa, muchas implementaciones también
utilizan un modelo parecido al de estrella, más conocido como concentrador y periferia. Las
razones para implementar una topología de concentrador y periferia de área extensa,
normalmente se basan más en la economía que en el control centralizado y la administra ción.
3.3.3.3 Ethernet/Bus
A partir de Ethernet coaxial la transición dio lugar al concentrador Ethernet. El concentrador
proporciona un método adecuado para agrupar conexiones Ethernet en un chasis central
utilizando parejas de cables CAT5 trenzados no blindados (UTP) con un conector RJ-45.
En lo referente a las necesidades de seguridad que hay que aplicar a cada sistema, o en el
caso de usuarios de total confianza para un concentrador, es imprescindible asegurar el acceso
al concentrador desde un enrutador.

PERUANA LOSPERUANA
3.3.3.4 Malla
En una topología malla, todos los dispositivos de capa 3 están conectados entre sí
proporcionando un salto a cada dispositivo de capa 3 (un salto en este contexto es un
segmento IP).
Una topología malla proporciona ventajas de gran flexibilidad, las actualizaciones de

enrutamiento más rápidas (convergencia), y bajos niveles de latencia entre ubicaciones.
Cualquier punto de una topología de malla puede proporcionar potencialmente acceso a
Internet o conexiones de extranet. La contención de estos puntos de acceso es esencial para
proporcionar un acceso controla y un entorno admisible.
3.3.3.5 Jerárquica/agregada
En las redes grandes, las topologías agregadas, como muestra la Figura 4 centran el tráfico en
una infraestructura de núcleo para reducir los costos de las topologías (malla) altamente
conectadas y la cogestión asociada a los diseños lineales. Aquí es donde radica la dificultad del
plan. Las rutas de acceso en cada una de las áreas exteriores o dominios se podrían basar en
ubicaciones geográficas, edificios del campus o departamentos. La idea es hacer grupos de
acuerdo con las asociaciones lógicas dentro de la Intranet. Desde la perspectiva del diseño, el
ancho de banda se ha asignado para admitir las demandas del tráfico del más alto nivel entre
dominios a través del núcleo. Al crear el diseño, es importante que el flujo de tráfico entre áreas
se analice cuidadosamente para asegurarse de que no hay atascos en el núcleo.

PERUANA LOSPERUANA
Nucleo
Extranet Internet
Figura 4. Topología de agregación
Las características de firewall y la seguridad se aplican a dispositivos de capa 3 del núcleo que
proporcionan acceso a Internet/extranet, así como acceso a diferentes grupos lógicos, según
las necesidades.
3.3.4 Diseños habituales de firewall de red
Comprender el diseño de red, como los diferentes dispositivos de red proporcionan

conectividad y servicios, y la construcción de la topología proporcionan los fundamentos
necesarios para diseñar una seguridad y unos firewall eficaces. El diseño de f irewall se
considera un componente esencial para cumplir los requisitos de acceso a la red. El proceso de
diseño comenzó a tener en cuenta la seguridad al ubicar los puntos de acceso a la red. A
continuación, se puede aplicar una seguridad apropiada. Al au mentar la seguridad en los
perímetros de red, la arquitectura y las directivas que se aplican a cada dispositivo pueden
tener un efecto negativo tanto en el rendimiento como en la latencia. A continuación se
enumeran algunas consideraciones que deberían tenerse en cuenta cuando se implementa el
diseño de firewall.

PERUANA LOSPERUANA
 El rendimiento es un delicado equilibrio entre suficiente seguridad y el acceso a los

datos. Cuanto más capas de seguridad se apliquen, que impliquen listas de acceso
u otras decisiones de filtrado, más lento será el rendimiento.
 Los filtros pueden ser eficaces al evaluar el acceso mediante direcciones IP. Sin
embargo, muchos dispositivos, cuanto más largo sea el listado de filtros, más
tiempo se necesitará para examinar cada paquete.
 Los sistemas se pueden utilizar para proporcionar servicios de filtrado a la velocidad
Gigabit de cable solicitada. El rendimiento variará en función del número de filtros
que se utilicen, hasta que capa del paquete sea necesario examinar el software
(capa 3-7 de OSI), y el tipo de tráfico.
 El cifrado y descifrado pueden introducir una demora.
 Bloquear el acceso a los puertos es un método muy eficaz para preservar el
rendimiento, pero es no discriminatorio en su aplicación con respecto a la
implementación que utiliza ese puerto.
El perímetro de red se puede diseñar utilizando varias técnicas para proporcionar diferentes
niveles de seguridad, acceso y rendimiento. A continuación se presentan los tipos de técnicas
de diseño de firewall más habituales que proporcionan una seguridad excelente.
 DMZ (Zona Desmilitarizada)

 Host bastión
 Puertas de enlace de filtrado.
3.3.4.1 Zona desmilitarizada

Una zona desmilitarizada (DMZ, Demilitarized Zone) es una red que permite el tráfico de
internet dentro o fuera de la Intranet mientras se mantiene la seguridad de la Intranet. DMZ
proporciona un búfer entre Internet y la Intranet.
DMZ contiene servidores y dispositivos de capa 3 que mejoran la seguridad evitando que la
Intranet este expuesta a Internet. Los servidores que están conectados dentro de la DMZ
pueden ser servidores proxy, que la red utiliza para proporcionar acceso Web a los usuarios
internos, y los servidores de red privada virtual (VPN, Virtual Private Network), que se utilizan
para proporcionar conexiones seguras a los accesos remotos, y otras aplicaciones del servidor,
como el correo y DNS que necesitan acceso a la red externa.

PERUANA LOSPERUANA
En la Figura 5 se muestra un ejemplo de DMZ. Las características de firewall y la seguridad se

aplican en los enrutadores que están fuera de la DMZ, y en muchos casos también en los
enrutadores que se interconectan con la Intranet, además de la seguridad que se aplica al
firewall.
DMZ 1
Servidores
Proxy
Nucleo
Internet
Conm utador
Eternet
Servidores
Proxy
DMZ 2
Figura 5. Diseño básico del DMZ con capacidades de análisis interno y externo
3.3.4.2 Host bastión

El Host bastión que se muestra en la Figura 6, es un sistema que se utiliza como punto fuerte
vital para la seguridad y las características de firewall. Su seguridad es especialmente
importante, por lo que será necesario realizar exámenes de seguridad y auditoria periódicos. Si
un atacante intenta lanzar un ataque contra su red, este es el sistema que será preferible que
ataque.
Un uso habitual del host bastión es un sistema asegurado que no reenvía direcciones IP entre
Internet y una Intranet. Se puede tener acceso a los datos del host bastión tanto desde la
PERUANA LOSPERUANA
Intranet como desde Internet, pero las dos redes nunca intercambian datos directamente. El
acceso Web se puede alojar y actualizar en el host bastión desde la Intranet mientras el host
bastión bloquea el acceso a redes desde Internet y la Intranet.
Área 100
Intranet
Host bastion
BGP4
Internet
Área 110
Intranet
Figura 6. Implantación básica de un Host bastión
3.3.4.3 Puerta de enlace de filtrado

Como se explicó en el módulo anterior una puerta de enlace de filtrado, es un enrutador que
actúa como un firewall bloqueando el tráfico para seleccionar puertos TCP y UDP, y en muchas
implantaciones, ICMP. Los tipos de accesos procedentes de Internet que tal vez se bloqueen
normalmente se centrarán en los servicios de alto riesgo.
El uso de una puerta de enlace de filtrado es un método muy habitual para denegar servicios a
una Intranet. El firewall tradicional extiende el concepto de puerta de enlace de filtrado
agregando la capacidad de presentar el tráfico de red en niveles ISO más altos.

PERUANA LOSPERUANA
3.3.5 Creación de una directiva de seguridad de empresa
La directiva de seguridad para la información de la empresa es el fundamento que establece

que la información corporativa es un valor que hay que proteger. Define la sensibilidad de la
empresa ante los riesgos y las consecuencias de una violación de la seguridad. La directiva de
seguridad de la empresa también define como deberían protegerse los datos; el firewall es la
implementación de esta directiva. Se puede escribir muchas directivas diferentes para dirigir las
diversas necesidades de seguridad de la red. Las directivas más comunes son las directivas de
uso aceptable y las de uso específico.
3.3.5.1 Directivas de uso aceptable
Las directivas de uso aceptable definen los usos apropiados de los recursos de la red
corporativa. Al proporcionar directivas de seguridad razonables y cerciorarse de que los
sistemas y los equipos están asegurados correctamente, se crea un entorno de seguridad más
fácil de administrar. Además, las directivas escritas permiten a los administradores controlar a
los violadores de la directiva (los empleados no podrán decir que dicho comportamiento no se
había prohibido). Los temas que normalmente se definen en una directiva de uso aceptable son
los siguientes:
 El alcance de la directiva, es decir, a que redes, usuarios y tecnologías se aplica la

directiva.
 Confirmación clara de que el usuario ha leído, comprendido y acepta la directiva.
 Consecuencias de no cumplir la directiva.
 Establecer claramente de los usuarios deberían tener privacidad cuando utilicen
sistemas corporativos y que se deberán presentar expresamente a los controles cuando
utilicen sistemas de la empresa.
 Instrucciones acerca de comportamientos aceptables e inaceptables cuando se utilizan
los recursos de la empresa. Las cláusulas habituales son:
 Todos los accesos tienen que realizarse mediante puertas de enlace corporativas y
firewall autorizados.
 Los recursos corporativos solo se pueden utilizar para propósitos empresariales.
 Los usuarios tiene que informar inmediatamente sobre las violaciones de la
seguridad de la información al personal adecuado.
 Las acciones que están estrictamente prohibidas, como por ejemplo, la revelación
de la información corporativa confidencial, pero no solo las que estén limitadas a

PERUANA LOSPERUANA
esto. Las acciones deliberadas que dañan o transformas los sistemas corporativos.
 La instalación de software no autorizado y el acceso o distribución de material

ofensivo.
 Instrucciones específicas relacionadas con el uso aceptable de sistemas de correo
electrónico corporativo.
3.3.5.2 Directivas específicas
Además de una directiva general que controle los sistemas corporativos, se necesitaran varias
directivas específicas para asegurar que los sistemas se utilizan y administran de acuerdo con
las expectativas de la administración. Las directivas especificas hacen referencia a los métodos
de seguridad detallados necesarios para salvaguardar la red y los sistemas de la red ante
acciones perjudiciales, ya sean intencionadas o no. Las directivas específicas incluyen lo
expuesto a continuación, pero no se deberían limitar solo a ello.
Cuentas de usuario y contraseñas
Las cuentas de usuario y las contraseñas están en la primera línea de defensa desde la
perspectiva directa del usuario. Cada usuario controla su cuenta y su contraseña. Esta directiva
proporciona una definición de los estándares de la organización para las cuentas y contraseñas
correctamente administradas. El siguiente listado contiene muchos elementos y ejemplos de las
partes de la cuenta y la contraseña de una directiva de seguridad.
 Establecer que las cuentas de usuario deberían tener unos privilegios mínimos para
realizar las funciones necesarias. No todo el mundo necesita tener acceso a nivel de
raíz o de administración a cada sistema.
 Cada usuario debería tener una única cuenta de acceso.
 Parámetros de contraseña aceptables. Las mejores contraseñas deberían tener un
mínimo de siete caracteres alfanuméricos y no deberían basarse en una palabra del
diccionario. Otras de las mejores prácticas son las de cambiar las contraseñas
periódicamente, evitando volver a utilizarlas, y prohibiendo expresamente compartirlas o
apuntarlas.
 Las cuantas de usuario deberían desactivarse automáticamente tras un número
razonable de intentos de inicio de sesión erróneos. Se puede utilizar un tiempo de
inactividad, o puede hacer que el usuario contacte con el servicio técnico para que se le
vuelva a activar la cuenta.
 Desactivar cuentas de usuario a las que no se ha tenido acceso durante más de 30

PERUANA LOSPERUANA
días, y eliminar las cuantas inutilizadas que tengan más de seis meses.
 Crear cuentas de usuario para los proveedores y activarlas solo cuando estén en uso. A
continuación, desactivas estas cuentas una vez finalizado el trabajo.
Software
Los proveedores de aplicaciones y sistemas operativos suelen sacar a la venta revisiones,

service pack y actualizaciones de versiones para agregar nuevas características, proporcionar
mejoras a la funcionalidad, acabar con virus y cerrar vulnerabilidades de la seguridad que se
hayan descubierto. El administrador de la seguridad de una empresa debería revisar de forma
preventiva las páginas Web de lo proveedores y apuntarse en la lista de correo electrónico para
que se le proporcionen notificaciones cuando existan versiones de software disponibles. Estas
actualizaciones se deberían revisar, y su aplicación al equipamiento habría de considerarse de
acuerdo con una directiva predefinida que dirige las pruebas, las copias de seguridad y las
desinstalaciones. Además, debería ejecutar periódicamente las utilidades para detectar las
vulnerabilidades que se puedan haber introducido desde la última utilidad ejecutada o revisión
aplicada. Entre las medidas a considerar en esta parte de la política de seguridad están los
siguientes:
 Actualizar los archivos de firma de virus todas las noches, o cada hora, mediante
procesos automatizados.
 Ejecutar exámenes de virus periódicamente. Un archivo de firma antiguo puede que no
detenga nuevos virus. Realizar un examen completo del disco para buscar virus que
antes no se ha detectado.
 Utilizar software de detección de virus en todos los servidores de entrada de correo
electrónico y de archivos que residan en servidores de archivos comunes.
 Desactivar los servidores de correo electrónico que ejecutan de forma automática los
archivos ejecutables o secuencias de comandos cuando se tiene acceso a un correo
electrónico.
Seguridad física
Una directiva de seguridad típica corregirá la seguridad lógica y de software. Las directivas de
seguridad física solucionan las acciones que una empresa debería ejecutar para reducir los
riesgos en su infraestructura de telecomunicaciones debido a intrusiones, maliciosas o no, que
son posibles cuando alguien tiene acceso físico a la infraestructura. Algunos ejemplos son:

PERUANA LOSPERUANA
 Puertos de consola físicamente seguros donde proceda.
 Desactivar el puerto RS-232 u otros puertos de consola a los que pueden tener acceso
los usuarios no autorizados.
 Asegurarse de que las contraseñas están establecidas en todos los puertos de consola.
 Desactivar los puertos Ethernet que no estén en servicio. Esto es especialmente
importante cuando se utiliza DHCP, porque cualquiera con un equipo portátil puede
acceder a la Intranet y conectarse. Otra buena razón para desactivar puertos Ethernet
es evitar el control no autorizado por parte de lo analizadores LAN. Por ejemplo,
conectar un rastreador permite al usuario ver paquetes Ethernet en texto sin formato,
incluido los nombres de usuarios y las contraseñas.
 Activar las contraseñas de pantalla tras un periodo definido de tiempo muerto.
 Reforzar el uso de las contraseñas de pantalla en todas las pantallas no supervisadas.
Si una persona, por cualquier motivo, se aleja del equipo, la pantalla debería
bloquearse.
 Almacenar cintas y discos de copias de seguridad en un área segura, cerrada con llave
y con acceso autorizado limitado.
 Donde sea posible, bloquear las cubiertas de los sistemas.
Directivas de control (empleados e intrusiones)

Normalmente, los servidores y el equipamiento de redes se pueden implementar registrando las
funciones y proporcionando datos que se puedan utilizar para ayudar a determinar el origen de
sucesos que violan la directiva de seguridad. Controlar estos datos puede proporcionar
información previa y posterior al incidente, que se puede utilizar para mejorar la po stura de la
empresa sobre la seguridad. A continuación se enumeran algunas medidas y actividades de
control.
 Enviar registros de servidores, sistemas y consola a una aplicación que realice

exámenes en busca de posibles errores, y cuentas que muestren mayor número de
errores que los demás.
 Examinar los sistemas y el equipamiento de red periódicamente para asegurar que el
nivel de seguridad es apropiado. Realice siempre un examen después de una
actualización del rendimiento, una restauración o una nueva instalación.
 Si algunas áreas de Internet o de la Intranet se consideran de mayor riesgo para la
seguridad, se deben presentar en pantalla los intentos de acceso entre estas áreas.

PERUANA LOSPERUANA
3.4 DISEÑO DE UN SISTEMA DE DETECCIÓN DE INTRUSOS
Los Sistemas de detección de intrusos (IDS, Intrusion Detection Svstems) están diseñados para
saber cuándo se le está atacando o investigando a nuestro sistema, habitualmente recopilan
información de orígenes diferentes en posiciones estratégicas de la red, analizan la información
y envían alarmas, descartan datos o segmentos completos, implementan medidas de reacción
y realizan varias otras respuestas. No son enteramente pasivos en el sentido de que no se
esperan simplemente a que algo suceda. Se investigan a sí mismos para ver si tienen
debilidades y buscan cualquier anomalía estadística en los datos que capturan. La mayor parte
de la detección de intrusos funciona examinando tres áreas: detección de utilización indebida,
detección de anomalías y reconocimiento de firma.
3.4.1 Detección de utilización indebida
La detección de utilización indebida implica la codificación de información relativa a

comportamientos específicos que se llama indicador de intrusión, y después el filtrado de los
datos buscando estos indicadores.
La detección de utilización indebida implica lo siguiente:
 Comprender bien lo que es una «utilización indebida».

 Un registro fiable y una línea de base de la actividad del usuario.
 Una forma fiable de analizar estos registros.
La mejor aplicación de la detección de utilización indebida es la detección de patrones de

utilización conocidos. Una de sus debilidades es que solo podemos detectar lo que ya
conocemos. Sin embargo podemos aprovechar nuestros conocimientos para localizar nuevas
apariciones de problemas antiguos.
3.4.2 Detección de anomalías
A veces se le llama análisis estadístico. Este método implica el hallar desviaciones a partir de
patrones normales de comportamiento, de ahí el término anomalía. La forma más habitual que
tiene la gente de enfocar la detección de intrusos en la red es detectar estas anomalías
estadísticas. La idea que subyace en este enfoque es medir una línea de base de utilización de
la CPU, actividad de disco, conexiones de usuarios, actividad de archivos, etc. A continuación

PERUANA LOSPERUANA
se calculan promedios de frecuencia y variabilidad. Después el sistema puede activar alarmas

cuando se produce una desviación respecto a la línea de base. La ventaja de este enfoque es
que puede detectar las anomalías sin tener que comprender la causa que se oculta tras las
anomalías.
Por ejemplo, supervisamos el tráfico de las estaciones de trabajo individuales. A continuación el

sistema observa que a las 2 am, muchas de estas estaciones de trabado comienzan a
conectarse a los servidores y a realizar tareas. Esto es algo interesante que observar y
probablemente merezca que se tome alguna acción.
3.4.3 Reconocimiento de firma
La mayoría de los productos se basan en examinar el tráfico buscando patrones de ataque bien
conocidos, lo que supone que para cada técnica bien conocida de los piratas hay que
programar en el sistema una firma para esta técnica.
La firma puede ser algo tan simple como una coincidencia de patrones o de una cadena de
caracteres. Un ejemplo clásico de esto es buscar en cada paquete del conductor el patrón /cgi -
bin/phf?, que podría indicar que alguien está intentando acceder al lote de órdenes CGl
vulnerable de un servidor Web. Algunos sistemas de IDS utilizan grandes bases de datos que
contienen cientos (o miles) de cadenas como esta. Inspeccionan la red y activ an alarmas y/o
registran eventos para cada paquete que ven que contiene una de estas cadenas.
3.4.4 Análisis de la integridad
El análisis de la integridad se centro habitualmente en aspectos específicos y patrones de

archivos u objetos, a diferencia de algunos algoritmos de protección frente a virus que buscan
intentos de cambiar el tamaño del archivo o su ubicación y duplicación. Otros métodos son los
atributos de archivo, estructuras de directorio, además de contenidos y flujos de datos. La
mayor parte de esto se puede conseguir utilizando algoritmos de tabla de dispersión
unidireccionales como \1D5 y otros.

PERUANA LOSPERUANA
BIBLIOGRAFIA
[1]. Firewall, Keith E. Strassberg. Richard J. Gondek, Gary Rollie. Publicado por Mc Graw
Hill. Año 2002
[2]. Manual de Routers Cisco. George C. Sackett traducido por Ricardo de Cordova
Herralde. Publicado por Mc Graw Hill. Año 2002.
ENLACES DE INTERES
1. Firewall Linux: Netfilter/IPTables – Manual práctico.

http://www.pello.info/filez/firewall/iptables.html
2. Firewall W indows: ISA Server

http://www.isaserver.org/

Universidad Peruana Los Andes Seguridad

Cargado por

Información del documento

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Universidad Peruana Los Andes Seguridad

Cargado por

Copyright:

Formatos disponibles

UNIVERSIDAD PERUANA LOS ANDES SEGURIDAD Y DESARROLLO DE APLICACIONES EN INTERNET

DISEÑO DE LA SEGURIDAD Y DE LOS

ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR

 Indicar y definir las diferentes amenazas y políticas de seguridad.

ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR Página 1

DESARROLLO DEL CAPÍTULO ............................................................................... 3

ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR Página 2

DESARROLLO DEL CAPÍTULO

3.1 AMENAZAS Y POLÍTICAS DE SEGURIDAD

El resultado final de la seguridad es una política. Después de identificar lo que tenemos y

 Autenticación: ¿A quién se le permite el acceso a la red?

Debe comprender los compromisos involucrados en la implementación de esta seguridad. Los

ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR Página 3

En la seguridad de computadoras, es necesario considerar tres aspectos básicos:

 Mantener como privado el contenido de los datos.

ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR Página 4

3.2 PROBLEMAS DE SEGURIDAD

3.2.1 Rastreador de paquetes

ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR Página 5

3.2.3 Denegación del servicio

ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR Página 6

recursos de múltiples máquinas, cómplices sin saberlo, como plataformas de ataque

 Inundación de SYN. La inundación de SYN es un ataque de DoS de red. Se aprovecha

ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR Página 7

 El Ping de la muerte. El ataque del Ping de la muerte envía paquetes de solicitud de

ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR Página 8

 Inundación de UDP. El Protocolo de datagrarna de usuario (UDP) es un protocolo no

1. En primer lugar, verifica que el paquete tenga al menos la longitud de la

ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR Página 9

3.2.4 Ataques mediante contraseña

Los ataques mediante contraseña se pueden producir de varias maneras:

 Rastreo de la red (Nerwork sniffing). Un pirata malicioso podría utilizar un rastreador

3.2.5 Ataques en el nivel de aplicación

Los ataques en el nivel de aplicación se pueden implementar utilizando varios métodos

 El Protocolo de transferencia de archivos (FTP) realiza transferencias de archivos

 Telnet permite a los usuarios ejecutar sesiones de terminal de manera remota.

3.3 CONSIDERACIONES SOBRE EL DISEÑO DE RED

A menudo, la seguridad es un componente excesivamente vigilado cuando se diseña una red.

ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR Página 11

La seguridad tiene que incluirse en el diseño de la red, independientemente de que tenga o no

En el diseño de seguridad de una red deben tomarse las siguientes consideraciones:

 Tipos generales de infraestructura de red

3.3.1 Tipos generales de infraestructura de red

ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR Página 12

3.3.1.4 Se elige un ISP Público

ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR Página 13

3.3.1.5 Seguridad departamental

La seguridad en los puntos de entrada y salida departamentales de la Intranet es importante

3.3.1.6 Seguridad en oficina pequeña y oficina domestica (SOHO)

3.3.2 Metodología de diseño

En la metodología de diseño de una red se debe:

ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR Página 14

3.3.2.1 Definir el propósito de la red

 Mejorar la eficacia de disponibilidad de la red centralizando los servicios locales y

 ¿La seguridad ha sido una preocupación en el pasado?

ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR Página 15

Algunos requisitos se analizarán periódicamente y otros quedarán relegados al olvido, dado qu e

a. Identificación de los usuarios a las aplicaciones

 ¿Cuál es la cantidad de espacio de direcciones publicas enrutables mínimas que se

ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR Página 16

 ¿La combinación de firewall Internet y de la extranet en un equipo común

 Unidades compartidas, particiones y archivos con capacidad para leer, escribir

La especificación arquitectónica es el proceso que combina el propósito y los requisitos de la

ING. MG. EDWARD EDDIE BUSTINZA ZUASNABAR Página 17