Criptografa y Seguridad de Datos Proteccin de redes: Cortafuegos (Parte I)

Carlos Figueira. Universidad Simn Bolvar Basado en lminas del Profesor Henric Johnson (http://www.its.bth.se/staff/hjo/ henric.johnson@bth.se)
Carlos Figueira 1

Contenido
Principios de Diseo de Cortafuegos (Firewall)
Caractersticas Tipos de cortafuegos Configuraciones

Sistemas confiables (trusted)

Control de acceso a datos Concepto de sistema confiable Defensa Caballo de Troya
Carlos Figueira 2

Cortafuegos
Medios efectivos para proteger sistemas y redes locales de ataques a la seguridad a travs de la red, garantizando acceso controlado desde el exterior a travs de Internet o Red de rea Ancha
Carlos Figueira 3

Principios de Diseo
Los sistemas de informacin evolucionan, desde pequeas redes locales a conectividad a Internet No se establecen medidas de seguridad slidas para las estaciones de trabajo y los servidores
Carlos Figueira 4

Principios de Diseo (cont.)

El cortafuego se inserta entre la red interna (Intranet) e Internet Objetivos:
Establecer un enlace controlado Proteger la red interna de ataques desde Internet Proveer un punto estratgico (nico) de Carlos Figueira defensa
5

Caractersticas
Metas de diseo:
Todo trfico desde Intranet hacia afuera debe pasar por cortafuegos, bloqueando fsicamente todo acceso a la red interna excepto a travs del cortafuego Slo se permite el paso del trfico autorizado (definido por las polticas de seguridad locales)
Carlos Figueira 6

Caractersticas
Metas de diseo:
El cortafuego mismo es inmune a penetraciones (uso de sistemas confiables con un sistema de operacin confiable)

Carlos Figueira

 4 tcnicas generales: control de servicios, de direccin, de usuario y de comportamiento Control de Servicios

Determina los tipos de servicios de la institucin que pueden ser accedidos desde Internet (entrante y saliente) Determina direccin en que se permite flujo de solicitudes de servicios
Carlos Figueira 8

Caractersticas

Control de Direccin

Caractersticas
Control de Usuario
Controla acceso a un servicio segn quien trata de accederlo

Control de Comportamiento
Controla como se usan algunos servicios particulares (p.e. Filtro de correo electrnico)
Carlos Figueira 9

Tipos de Cortafuegos
Encaminadores de filtrado de paquetes Pasarelas a nivel de aplicacin Pasarelas a nivel de circuito Bastiones

Carlos Figueira

10

Tipos de Cortafuegos
Encaminador de filtro de paquetes

Carlos Figueira

11

Tipos de Cortafuegos
Encaminador de filtro de paquetes
Aplica un conjunto de reglas a cada paquete IP entrante, el cual es encaminado o descartado Filtra paquetes en ambas direcciones Tpicamente se establece como una lista de reglas basadas en correspondencia de patrones en los encabezados IP o TCP Dos polticas por defecto: descartar o encaminar
Carlos Figueira

12

Tipos de Cortafuegos
Ventajas:
Simplicidad Transparencia para usuarios Alta velocidad

Desventajas:
Dificultad para crear reglas Falta de Autenticacin
Carlos Figueira 13

Tipos de Cortafuegos
Posibles ataques y medidas apropiadas
Suplantar direcciones IP (por una IP interna) Ataques de encaminamiento de fuente Ataques de pequeos fragmentos

Carlos Figueira

14

Tipos de Cortafuegos
Pasarelas a nivel de aplicacin

Carlos Figueira

15

Tipos de Cortafuegos
Pasarela a nivel de aplicacin
Tambin llamada proxy server Funciona como un relevo (pivot) del trfico a nivel de aplicacin

Carlos Figueira

16

Tipos de Cortafuegos
Ventajas:
Ms seguro que filtro de paquetes Slo revisa unas pocas aplicaciones permitidas Fcil de llevar registros y se audita todo el trfico entrante

Desventajas:
Sobrecarga de procesamiento en cada Carlos Figueira conexin
17

Tipos de Cortafuegos
Pasarela a nivel de circuito

Carlos Figueira

18

Tipos de Cortafuegos
Pasarelas a nivel de circuito
Sistemas dedicados o Funciones especializadas realizadas por una pasarela a nivel de aplicacin Establece dos conexiones TCP La pasarela tpicamente reenva segmentos TCP de una conexin a otra sin examinar los contenidos
Carlos Figueira

19

Tipos de Cortafuegos
Pasarelas a nivel de circuito
La funcin de seguridad consiste en determinar las conexiones que sern permitidas Se usa tpicamente cuando el administrador confa en los usuarios internos Un ejemplo es el paquete SOCKS
Carlos Figueira 20

Tipos de Cortafuegos
Bastin
Sistema identificado por el cortafuegos como un punto crtico fuerte en la seguridad de la red El anfitrin bastin sirve como una plataforma de pasarela a nivel de aplicacin y a nivel de circuito
Carlos Figueira 21

Configuraciones de Cortafuegos I
Sistema cortafuego con bastin conectado a una sola red

Carlos Figueira

22

Configuraciones de Cortafuegos I (cont.)

Cortafuego es una mquina robusta de proteccin (bastin), conectada a una sola red Cortafuego consiste de dos sistemas:
Un encaminador que filtra paquetes Un bastin
Carlos Figueira 23

Configuraciones de Cortafuegos I (cont.)

Configuracin del encaminador que filtra paquetes:
Slo se permite el paso de paquetes desde y hacia el bastin

El bastin realiza autenticacin y funciones de intermediario (proxy)

Carlos Figueira 24

Configuraciones de Cortafuegos I (cont.)

Mayor seguridad que las configuraciones simples debido a que:
Implementa filtros de paquete y de nivel de aplicacin, simultneamente, permitiendo flexibilidad al definir las polticas de seguridad El intruso debe generalmente penetrar dos sistemas separados
Carlos Figueira 25

Configuraciones de Cortafuegos I (cont.)

Esta configuracin tambin provee flexibilidad, al ofrecer acceso directo a Internet (p.e., un servidor Web)

Carlos Figueira

26

Configuraciones de Cortafuegos II
Sistema de bastin conectado a dos redes

Carlos Figueira

27

Configuraciones de Cortafuegos II (cont.)

El encaminador que filtra paquetes no compromete a la red El trfico entre Internet y las mquinas de la red privada tiene que fluir a travs del bastin

Carlos Figueira

28

Configuraciones de Cortafuegos III

Sistema cortafuegos con bastin entre dos filtros de paquetes

DMZ
Carlos Figueira 29

Configuraciones de Cortafuegos III (cont.)

La ms segura de las tres Se usan dos encaminadores filtro de paquetes Creacin de una red aislada (Intranet) y una Zona desmilitarizada (DMZ)

Carlos Figueira

30

Configuraciones de Cortafuegos III (cont.)

Ventajas:
Tres niveles de defensa contra intrusos El encaminador externo publica en Internet slo la existencia de la subred monitoreada (la red interna es invisible a Internet)

Carlos Figueira

31

Configuraciones de Cortafuegos III (cont.)

Ventajas:
El encaminador interno publica slo la existencia de la subred monitoreada a las red interna (los sistemas en la red interna no pueden construir rutas directas a Internet)

Carlos Figueira

32