Firewall o cortafuegos
Concepto
Un cortafuego (firewall en inglés)
es una parte de un sistema o una red que está diseñada para bloquear el acceso
no autorizado, permitiendo al mismo tiempo comunicaciones autorizadas.
Se trata de un dispositivo o
conjunto de dispositivos configurados para permitir, limitar, cifrar,
descifrar, el tráfico entre los diferentes ámbitos sobre la base de un conjunto
de normas y otros criterios. Los cortafuegos pueden ser implementados en
hardware o software, o una combinación de ambos. Un cortafuego da una
protección, pero no debe considerarse suficiente.
Historia de los Firewall
El término "firewall /
fireblock" significaba originalmente una pared para confinar un incendio o
riesgo potencial de incendio en un edificio. Más adelante se usa para referirse
a las estructuras similares. La tecnología de los cortafuegos surgió a finales
de 1980, cuando Internet era una tecnología bastante nueva en cuanto a su uso
global y la conectividad. Los predecesores de los cortafuegos para la seguridad
de la red fueron los routers utilizados a finales de 1980, que mantenían a las
redes separadas unas de otras. La visión de Internet como una comunidad
relativamente pequeña de usuarios con máquinas compatibles, que valoraba la
predisposición para el intercambio y la colaboración, terminó con una serie de
importantes violaciones de seguridad de Internet que se produjo a finales de
los 80:
Clifford Stoll, que descubrió la
forma de manipular el sistema de espionaje alemán.
Bill Cheswick, cuando en 1992
instaló una cárcel simple electrónica para observar a un atacante.
En 1988, un empleado del Centro de
Investigación Ames de la NASA, en California, envió una nota por correo
electrónico a sus colegas que decía: “Estamos bajo el ataque de un virus de
Internet…”
El Gusano Morris, que se extendió a
través de múltiples vulnerabilidades en las máquinas de la época. Aunque no era
malicioso, el gusano Morris fue el primer ataque a gran escala sobre la
seguridad en Internet; la red no esperaba ni estaba preparada para hacer frente
a su ataque.
Primera generación – cortafuegos de red: filtrado de paquetes
El primer documento publicado para
la tecnología firewall data de 1988, cuando el equipo de ingenieros Digital
Equipment Corporation (DEC) desarrolló los sistemas de filtro conocidos como
cortafuegos de filtrado de paquetes. El filtrado de paquetes actúa mediante la
inspección de los paquetes (que representan la unidad básica de transferencia
de datos entre ordenadores en Internet). Si un paquete coincide con el conjunto
de reglas del filtro, el paquete se reducirá (descarte silencioso) o será
rechazado (desprendiéndose de él y enviando una respuesta de error al emisor).
Segunda generación – cortafuegos de estado
Durante 1989 y 1990, tres colegas
de los laboratorios AT&T Bell, Dave Presetto, Janardan Sharma, y Nigam
Kshitij, desarrollaron nuevos servidores de seguridad tiene en cuenta la colocación de cada paquete individual
dentro de una serie de paquetes. Esta tecnología se conoce generalmente como la
inspección de estado de paquetes, ya que mantiene registros de todas las
conexiones que pasan por el cortafuego, siendo capaz de determinar si un
paquete indica el inicio de una nueva conexión, es parte de una conexión
existente, o es un paquete erróneo. Este tipo de cortafuegos pueden ayudar a
prevenir ataques contra conexiones en curso o ciertos ataques de denegación de
servicio.
Tercera generación - cortafuegos de aplicación
Un cortafuego de aplicación puede entender ciertas aplicaciones y protocolos
y permite detectar si un protocolo no deseado se coló a través de un puerto no
estándar o si se está abusando de un protocolo de forma perjudicial. Este es
mucho más seguro y fiable cuando se compara con un cortafuegos de filtrado de
paquetes, ya que repercute en las siete capas del modelo de referencia OSI. No
obstante, los cortafuegos de aplicación resultan más lentos que los de estado.
Acontecimientos posteriores
En 1992, Bob Braden y DeSchon
Annette, su producto, conocido como "Visas", fue el primer sistema
con una interfaz gráfica con colores e iconos, fácilmente implementable y
compatible con sistemas operativos como Windows de Microsoft o MacOS de Apple.
En 1994, una compañía israelí llamada Check Point Software Technologies lo
patentó como software denominándolo FireWall-1.
Actualmente, el Grupo de Trabajo de
Comunicación Middlebox de la Internet Engineering Task Force (IETF) está
trabajando en la estandarización de protocolos para la gestión de cortafuegos.
Tipos de cortafuegos
Nivel de aplicación de pasarela
Aplica mecanismos de seguridad para aplicaciones específicas, tales como
servidores FTP y Telnet. Esto es muy eficaz, pero puede imponer una degradación
del rendimiento.
Circuito a nivel de pasarela
Aplica mecanismos de seguridad
cuando una conexión TCP o UDP es establecida. Permite el establecimiento de una
sesión que se origine desde una zona de mayor seguridad hacia una zona de menor
seguridad.
Cortafuegos de capa de red o de filtrado de paquetes
Funciona a nivel de red como filtro
de paquetes IP. A este nivel se pueden realizar filtros según los distintos
campos de los paquetes IP: dirección IP origen, dirección IP destino.
Cortafuegos de capa de aplicación
Trabaja en el nivel de aplicación
(capa 7 del modelo OSI), de manera que los filtrados se pueden adaptar a
características propias de los protocolos de este nivel. Por ejemplo, si se
trata de tráfico HTTP, se pueden realizar filtrados según la URL a la que se
está intentando acceder.
Cortafuego personal
Es un cortafuego que se instala como
software en un computador, filtrando las comunicaciones entre dicho computador
y el resto de la red. Se usa por tanto, a nivel personal.
Ventajas de un cortafuego
Bloquea el acceso a personas y/o
aplicaciones no autorizadas a redes privadas.
Limitaciones de un cortafuego
Cualquier tipo de ataque
informático que use tráfico aceptado por el cortafuego o que sencillamente no
use la red, seguirá constituyendo una amenaza. La siguiente lista muestra
algunos de estos riesgos:
- Un cortafuego no puede proteger contra aquellos ataques cuyo tráfico no pase a través de él.
- El cortafuego no puede proteger de las amenazas a las que está sometido por ataques internos o usuarios negligentes.
- El cortafuego no puede proteger contra los ataques de ingeniería social.
- El cortafuego no puede proteger contra los ataques posibles a la red interna por virus informáticos a través de archivos y software.
- El cortafuego no protege de los fallos de seguridad de los servicios y protocolos cuyo tráfico esté permitido.
Políticas del cortafuego
Hay dos políticas básicas en la
configuración de un cortafuego que cambian la seguridad en la organización:
- Política restrictiva: Se deniega todo el tráfico excepto el que está explícitamente permitido. Esta aproximación es la que suelen utilizar las empresas y organismos gubernamentales.
- Política permisiva: Se permite todo el tráfico excepto el que esté explícitamente denegado. Esta aproximación la suelen utilizar universidades, centros de investigación y servicios públicos de acceso a internet.
- La política restrictiva es la más segura, ya que es más difícil permitir por error tráfico potencialmente peligroso, mientras que en la política permisiva es posible que no se haya contemplado algún caso de tráfico peligroso y sea permitido por omisión.
No hay comentarios:
Publicar un comentario