¿Qué es y para qué sirven un firewall y

148 Academia ¿Qué es y para qué sirven un firewall y una VPN? PRESENTAMOS AQUÍ UNAS BREVES NOCIONES DE UNO DE LOS SISTEMAS DE SEGURIDAD MÁS FRECUENTES Y CLÁSICOS Ignacio Cortés Delgado DIRECTOR DE DESARROLLO DE NEGOCIO Y NUEVAS TECNOLOGÍAS APLICADAS A LA SEGURIDAD Belt Ibérica S.A. Como vemos, el punto clave es definir esas reglas que debe seguir para poder decidir y funcionar automáticamente. El problema principal es que los parámetros sobre los que podemos decidir no son demasiados. Básicamente son: Parece un pelín complicado, pero pensemos en una carta de correo postal: en el registro de entrada de nuestra organización podríamos poner unas reglas del tipo de las comentadas anteriormente: “Todas las cartas que vengan de Pernambuco, a la basura directamente” “Todas las cartas que vayan hacia el L a seguridad de la información es cada día más importante en nuestras organizaciones. Muchos directores de seguridad se preocupan porque hay amenazas que no vienen por el lado de la presencia física, con lo que deben saber realizar las preguntas adecuadas para comprobar que la organización es segura en su conjunto. Así pues, presentamos aquí unas breves nociones de uno de los sistemas de seguridad más frecuentes y clásicos: los firewalls. Un firewall es un sistema encargado de separar un entorno seguro de uno inseguro. Su trabajo se separa en tres tareas principales: 1. Analizar la información que entra o sale de la organización. 2. Decidir, según unas reglas que nosotros establecemos, si dicha información se elimina, se retiene o si se permite el paso. 3. Informar de lo sucedido, ya sea rellenando un registro, enviando un email o activando una alarma. Los directores de seguridad deben saber realizar las preguntas adecuadas para comprobar que la organización es segura Origen Destino Antigüedad o caducidad de la información Ruta predeterminada desde origen Servicio de destino. Presidente, enviadlas a seguridad” “Todos los envíos fechados antes de 1998 que lleguen ahora, que sean devueltos” “Todos los envíos que sean paquetes de mano, que pasen por el escáner”. ¿Verdad que no es muy complicado? Pues en el caso de la seguridad de la información es algo similar. Como vemos, disponer de un firewall nos asegura tener un determinado control de accesos: todo eso y sólo eso. Por tanto, un firewall no es la panacea, ni la única solución a nuestros problemas. Un problema asociado es que los En español se llaman “cortafuegos” y son -o deben ser- algo similar al control de entrada y salida de la información a nuestra organización. Es como el cerramiento perimetral, más la barrera de accesos, más el servicio de vigilancia, todo en uno. nº 14 octubre 2007 149 Academia responsables de la seguridad de los equipos parecen quedarse muy tranquilos cuando tienen un sistema de este tipo. Veamos qué hace un firewall y qué no hace. Un sistema firewall tiene un coste muy variable, dependiente principalmente del tamaño de la organización a proteger. Los dos extremos opuestos en cuanto a soluciones son: A. Para una pequeña organización: bastaría con emplear una máquina “en segunda actividad”, instalar un sistema Linux y un software gratuito tipo iptables. Este equipamiento más unas horas de un técnico con unas indicaciones claras para implantar las reglas del firewall son suficientes. B. Para una gran organización: la existencia de múltiples usuarios requiere una consola de gestión flexible y un equipo diseñado específicamente para ello. Sería pues un hardware específico y propietario con sus correspondientes licencias y contratos de mantenimiento y actualización, así como la consultoría apropiada por parte del fabricante o algún partner tecnológico. Los puntos que son importantes recordar son los siguientes: Un firewall no es la solución a toda la seguridad de la información. Por ejemplo, hemos de saber que el 80% de las amenazas (intencionadas o no) de seguridad de la información proceden de nuestra organización. No nos podemos quedar tranquilos sólo con la instalación de un sistema de estas características. El sistema firewall está expuesto a la red insegura, con lo que debe ser lo más sencillo posible. Si este elemento es comprometido (secuestrado o alterado), estará expuesta la red completa. Tener el equipamiento es lo menos complicado. Es necesario definir claramente qué es lo que el equiQUÉ PUEDE HACER QUÉ NO PUEDE HACER Networks (VPN) nacen como solución tecnológica para reducir este coste. Veamos. Podríamos clasificar las comunicaciones de muchas maneras. En este caso nos interesa clasificarlas por la propiedad del medio de transmisión: 1. Líneas propias: no es especialmente común, principalmente porque requieren una inversión inicial muy alta en equipos, obras, instalaciones, permisos, etc. Un firewall es un sistema encargado de separar un entorno seguro de uno inseguro po debe hacer: servicios de comunicaciones permitidas a los usuarios, redes consideradas inseguras cuyo tráfico hay que bloquear, etc. Sin embargo, hemos de tener en cuenta que nuestras organizaciones están con frecuencia geográficamente disgregadas y es necesario compartir información y tener acceso a recursos tecnológicos para el desarrollo de nuestra actividad de forma segura, independientemente de dónde nos encontremos físicamente. Esto quiere decir que si todos tenemos sillas para sentarnos y mesas para trabajar, todos debemos tener acceso a la determinada información. Esto plantea un problema fundamental: todos deben tener comunicaciones seguras para lograr este objetivo. Y esto tiene un coste asociado. Las Redes Privadas Virtuales (RPV) o, en inglés, Virtual Private 2. Líneas alquiladas: no son propiedad de la organización, sino que son alquiladas a operadores de comunicaciones. No tienen un elevado coste inicial, pero el precio mensual por línea no es despreciable, especialmente si se tienen muchas líneas alquiladas. 3. Líneas públicas: se trata de comunicaciones por líneas de acceso público, lo que significa para nuestro caso Internet. Esto es bastante más económico que las opciones anteriores pero, a menos que nos propongamos lo contrario, la información viaja “en claro”, lo que implica que cualquiera que pueda interceptarla -y, créanme, esto no es especialmente complicado-, puede interpretarla, es decir, leerla. Las VPN nacen como soluciones tecnológicas que permiten disponer de comunicaciones económicas y con una seguridad más que aceptable. Proteger de ataques que no pasen a través de él Impedir el acceso de (otras puertas de usuarios no autorizados entrada: módems, otras líneas de comunicaciones…) Impedir el paso de cierto tipo de información Proteger de ataques a través de archivos ejecutables Que la información llegue a un destino Proteger de ataques físicos a los sistemas Que la información salga de un origen Proteger de ataques procedentes de dentro de la organización Proteger de virus Que ciertos usuarios contenidos en la puedan emplear ciertas información que pasa a comunicaciones (e-mail, través de él (no mira el acceso Internet, servicio contenido de la de news, ftp, etc.) información) nº 14 octubre 2007 150 Academia Está claro que en las dos primeras opciones, la seguridad está garantizada, ya que nadie debería poder acceder a las mismas, a excepción del operador de comunicaciones en el caso 2 -pero esto es algo que no suele ocurrir-. Es decir, que nadie piense que una VPN es más segura que una línea alquilada o una propia, pero sí que es mucho más económica. Para establecer una VPN, se precisan 3 requisitos: Establecer un túnel de comunicaciones, es decir, establecimiento de los dos extremos entre los que se establecerá la transferencia de información segura y la forma en que se comunicarán. Encriptar la información que se envía por dicho túnel, de forma que si alguien consigue interceptar la comunicación no pueda interpretarla, es decir, no pueda leerla. Ningún sistema de encripción es eterno, ya que las claves de encriptación siempre se pueden crackear -probar y probar hasta adivinar-. La cuestión es que el tiempo que se tarde en conseguir sea suficiente como para que la información haya caducado o dejar de ser importante o relevante. Y este tiempo disminuye conforme aumenta la potencia de computación de los ordenadores. Identificar de forma válida y unívoca al otro extremo de la comunicación, para evitar establecer una comunicación con alguien no deseado o no seguro. Las VPN se pueden implantar de variar formas: Entre dos equipos personales, de forma que la comunicación queda asegurada entre ambos. Entre un equipo remoto y un servidor de una organización, con lo que quedaría asegurada la comunicación entre cualquier equipo de la organización y el equipo remoto. Entre dos servidores remotos de dos sedes de la organización, con lo que quedaría garantizada la seguridad de la comunicación entre dos equipos personales cualquiera de la organización. El resultado es básicamente lo que vemos en la fotografía adjunta: sistemas geográficamente alejados aparecen lógica o virtualmente unidos. También se pueden emplear para la realización de procesos especiales dentro de una red que entendemos confiable -como una red de área local-, ya que podemos tener a los “malos” dentro de nuestra propia organización. Evidentemente, no todo es de color de rosa. ¿Qué estamos perdiendo frente a esas otras opciones de líneas propias o líneas alquiladas? Fiabilidad de la comunicación: la comunicación por una red pública Las VPN permiten disponer de comunicaciones económicas y con una seguridad más que aceptable puede no estar disponible y no podremos ni tendremos a quién quejarnos. Esto puede ser por varios motivos. También se puede “caer” la comunicación mientras está establecida. El caudal de comunicaciones o ancho de banda no está garantizado, ni probablemente sea constante. Podemos sufrir ataques de denegación de servicio, quedando indisponibles cualquiera de los extremos de la comunicación. Si la comunicación es imprescindible, deberán existir líneas alternativas de comunicaciones. Si disponemos de muchas VPN, la gestión de las claves de acceso puede ser laboriosa y complicada. Una VPN puede ser casi gratuita, siempre y cuando los extremos de la comunicación ya dispongan de conexión a Internet. Los sistemas operativos actuales suelen traer una funcionalidad para implantar las VPN y es relativamente sencillo. También existen paquetes comerciales, por precios módicos pueden no llegar a los 100 €-. En una tarde, un técnico implanta sin problemas una VPN. Así que, ¿por qué no hacerlo? nº 14 octubre 2007