PREVENCIÓN Y DETECCIÓN DE ATAQUES INFORMÁTICOS
ZONA DESMILITARIZADA Y ZONA MILITARIZADA
En seguridad
informática, una zona desmilitarizada (conocida también como DMZ,
sigla en inglés dedemilitarized zone) o red perimetral es
una zona segura que se ubica entre la red interna de una organización y una red
externa, generalmente en Internet. El objetivo de una DMZ es
que las conexiones desde la red interna y la externa a la DMZ estén permitidas,
mientras que en general las conexiones desde la DMZ solo
se permitan a la red externa -- los equipos (hosts) en la DMZ no
pueden conectar con la red interna. Esto permite que los equipos (hosts) de la
DMZ puedan dar servicios a la red externa a la vez que protegen la red interna
en el caso de que intrusos comprometan la seguridad de los equipos (host)
situados en la zona desmilitarizada. Para cualquiera de la red externa que
quiera conectarse ilegalmente a la red interna, la zona desmilitarizada se
convierte en un callejón sin salida.
La DMZ se
usa habitualmente para ubicar servidores que es necesario que sean accedidos
desde fuera, como servidores de correo
electrónico, Web y DNS. Y es precisamente estos servicios
alojados en estos servidores los únicos que pueden establecer tráfico de datos
entre el DMZ y la red interna, por ejemplo, una conexión de datos entre el
servidor web y una base de datos protegida situada en la red interna.
Las
conexiones que se realizan desde la red externa hacia la DMZ se
controlan generalmente utilizando port address translation (PAT).
Una
DMZ se crea a menudo a través de las opciones de configuración
del cortafuegos, donde cada red se conecta a un puerto distinto de éste.
Esta configuración se llama cortafuegos en trípode (three-legged firewall).
Obsérvese
que los enrutadores domésticos son llamados DMZ host, aunque no es
una definición correcta de zona desmilitarizada.
En
este diseño se intenta aislar la máquina más atacada y vulnerable del Firewall,
el Nodo Bastión. Para ello se establece una Zona Desmilitarizada (DMZ) de forma
tal que sin un intruso accede a esta máquina no consiga el acceso total a la
subred protegida.
En
este esquema se utilizan dos Routers: uno exterior y otro interior. El Router
exterior tiene la misión de bloquear el tráfico no deseado en ambos sentidos:
hacia la red interna y hacia la red externa. El Router interior hace lo mismo
con la red interna y la DMZ (zona entre el Router externo y el interno).
Es
posible definir varias niveles de DMZ agregando más Routers, pero destacando
que las reglas aplicadas a cada uno deben ser distintas ya que en caso
contrario los niveles se simplificarían a uno solo.
Como
puede apreciarse la Zona Desmilitarizada aisla físicamente los servicios
internos, separándolos de los servicios públicos. Además no existe una conexión directa entre la red interna y la externa.
Los
sistemas Dual-Homed Host y Screnned pueden ser complicados de configurar y
comprobar, lo que puede dar lugar, paradójicamente, a importantes agujeros de
seguridad en toda la red. En cambio, si se encuentran bien configurados y
administrados pueden brindar un alto grado de protección y ciertas ventajas:
- Ocultamiento de la información: los
sistemas externos no deben conocer el nombre de los sistemas internos. El
Gateway de aplicaciones es el único autorizado a conectarse con el
exterior y el encargado de bloquear la información no solicitada o
sospechosa.
- Registro de actividades y autenticación
robusta: El Gateway requiere de autenticación cuando se realiza un pedido
de datos externos. El registro de actividades se realiza en base a estas
solicitudes.
- Reglas de filtrado menos
complejas: Las reglas del filtrado de los paquetes por parte del Router
serán menos compleja dado a que él sólo debe atender las solicitudes del
Gateway.
Así mismo tiene la desventaja de ser intrusivos y no transparentes para
el usuario ya que generalmente este debe instalar algún tipo de aplicación
especializada para lograr la comunicación. Se suma a esto que generalmente son
más lentos porque deben revisar todo el tráfico de la red.
HONEY POTS
Un honeypot,
también llamado equipo trampa1 ,
es un software o conjunto de computadores cuya intención es
atraer a atacantes, simulando ser sistemas vulnerables o débiles a los ataques.
Es una herramienta de seguridad informática utilizada para recoger
información sobre los atacantes y sus técnicas. Los honeypots pueden
distraer a los atacantes de las máquinas más importantes del sistema, y advertir
rápidamente al administrador del sistema de un ataque, además de permitir un
examen en profundidad del atacante, durante y después del ataque al honeypot.
Algunos
honeypots son programas que se limitan a simular sistemas
operativos no existentes en la realidad y se les conoce como honeypots de
baja interacción y son usados fundamentalmente como medida de
seguridad. Otros sin embargo trabajan sobre sistemas operativos reales y son
capaces de reunir mucha más información; sus fines suelen ser de investigación
y se los conoce como honeypots de alta interacción.
TIPOS DE IDS
Un sistema
de detección de intrusiones (o IDS de sus siglas
en inglés Intrusion Detection System) es un programa de
detección de accesos no autorizados a un computador o a una red.
El
IDS suele tener sensores virtuales (por ejemplo, un sniffer de red)
con los que el núcleo del IDS puede obtener datos externos (generalmente sobre
el tráfico de red). El IDS detecta, gracias a dichos sensores, las anomalías
que pueden ser indicio de la presencia de ataques y falsas alarmas.
Existen
dos tipos de sistemas de detección de intrusos:
- HIDS (HostIDS):
el principio de funcionamiento de un HIDS, depende del éxito de los
intrusos, que generalmente dejaran rastros de sus actividades en el equipo
atacado, cuando intentan adueñarse del mismo, con propósito de llevar a
cabo otras actividades. El HIDS intenta detectar tales modificaciones en
el equipo afectado, y hacer un reporte de sus conclusiones.
- NIDS (NetworkIDS):
un IDS basado en red, detectando ataques a todo el segmento de la red. Su
interfaz debe funcionar en modo promiscuo capturando así todo el tráfico
de la red.
TIPOS DE FIREWALL
Un cortafuegos (firewall)
es una parte de un sistema o una red que está diseñada para bloquear el acceso
no autorizado, permitiendo al mismo tiempo comunicaciones autorizadas.
Se
trata de un dispositivo o conjunto de dispositivos configurados para permitir,
limitar, cifrar, descifrar, el tráfico entre los diferentes ámbitos sobre la
base de un conjunto de normas y otros criterios.
Nivel
de aplicación de pasarela
Aplica
mecanismos de seguridad para aplicaciones específicas, tales como servidores
FTP y Telnet. Esto es muy eficaz, pero puede imponer una degradación del
rendimiento.
Circuito
a nivel de pasarela
Aplica
mecanismos de seguridad cuando una conexión TCP o UDP es
establecida. Una vez que la conexión se ha hecho, los paquetes pueden fluir
entre los anfitriones sin más control. Permite el establecimiento de una sesión
que se origine desde una zona de mayor seguridad hacia una zona de menor
seguridad.
Cortafuegos
de capa de red o de filtrado de paquetes
Funciona
a nivel de red (capa 3 del modelo OSI, capa 2 del stack de protocolos TCP/IP)
como filtro de paquetes IP. A este nivel se pueden realizar filtros según los
distintos campos de los paquetes IP: dirección IP origen, dirección IP destino.
A menudo en este tipo de cortafuegos se permiten filtrados según campos de
nivel de transporte (capa 3 TCP/IP, capa 4 Modelo OSI), como el puerto origen y
destino, o a nivel
de enlace de datos (no existe en TCP/IP, capa 2 Modelo OSI) como la dirección
MAC.
Cortafuegos
de capa de aplicación
Trabaja
en el nivel de aplicación (capa 7 del modelo OSI), de manera que los
filtrados se pueden adaptar a características propias de los protocolos de este
nivel. Por ejemplo, si trata de tráfico HTTP, se pueden realizar filtrados
según la URL a la que se está intentando acceder, e incluso puede
aplicar reglas en función de los propios valores de los parámetros que aparezcan
en un formulario web.
Un
cortafuegos a nivel 7 de tráfico HTTP suele denominarse proxy, y
permite que los ordenadores de una organización entren a Internet de una forma
controlada. Un proxy oculta de manera eficaz las verdaderas direcciones de red.
Cortafuegos
personal
Es
un caso particular de cortafuegos que se instala como software en un ordenador,
filtrando las comunicaciones entre dicho ordenador y el resto de la red. Se usa
por tanto, a nivel personal.
Circuito
a nivel de pasarela
Aplica
mecanismos de seguridad cuando una conexión TCP o UDP es
establecida. Una vez que la conexión se ha hecho, los paquetes pueden fluir
entre los anfitriones sin más control. Permite el establecimiento de una sesión
que se origine desde una zona de mayor seguridad hacia una zona de menor
seguridad.
TIPOS DE VPN
Una red privada virtual, RPV, o VPN de las siglas en inglés de Virtual Private Network, es una
tecnología de red que permite una extensión segura de la red
local (LAN) sobre una red pública o no controlada como Internet.
Permite que la computadora en la red envíe y reciba datos sobre redes
compartidas o públicas como si fuera una red privada con toda la funcionalidad,
seguridad y políticas de gestión de una red privada. Esto se realiza
estableciendo una conexión virtual punto a punto mediante el uso de conexiones
dedicadas, cifrado o la combinación de ambos métodos.
VPN
de acceso remoto.
Es
quizás el modelo más usado actualmente, y consiste en usuarios o
proveedores que se conectan con la empresa desde sitios remotos (oficinas comerciales,
domicilios, hoteles, aviones preparados, etcétera) utilizando
Internet como vínculo de acceso. Una vez autenticados tienen un nivel de acceso
muy similar al que tienen en la red local de la empresa. Muchas
empresas han reemplazado con esta tecnología su
infraestructura dial-up (módems y líneas telefónicas).
VPN
punto a punto
Este
esquema se utiliza para conectar oficinas remotas con la sede central de la
organización. El servidor VPN, que posee un vínculo permanente a Internet,
acepta las conexiones vía Internet provenientes de los sitios y establece el
túnel VPN. Los servidores de las sucursales se conectan a Internet utilizando
los servicios de su proveedor local de Internet, típicamente mediante
conexiones de banda ancha. Esto permite eliminar los costosos vínculos
punto a punto tradicionales (realizados comúnmente mediante conexiones de cable
físicas entre los nodos), sobre todo en las comunicaciones internacionales. Es
más común el siguiente punto, también llamado tecnología de túnel o tunneling.
Tunneling
La técnica de tunneling consiste en encapsular un
protocolo de red sobre otro (protocolo de red encapsulador) creando un túnel
dentro de una red de computadoras. El establecimiento de dicho túnel se
implementa incluyendo una PDU (unidades de datos de protocolo)
determinada dentro de otra PDU con el objetivo de transmitirla desde
un extremo al otro del túnel sin que sea necesaria una interpretación
intermedia de la PDU encapsulada. De esta manera se encaminan los
paquetes de datos sobre nodos intermedios que son incapaces de ver en claro el
contenido de dichos paquetes. El túnel queda definido por los puntos extremos y
el protocolo de comunicación empleado, que entre otros, podría ser SSH.
El uso de esta técnica persigue diferentes
objetivos, dependiendo del problema que se esté tratando, como por ejemplo la
comunicación de islas en escenarios multicast, la redirección de tráfico, etc.
