Practica

BARRERAS DE PROTECCIÓN Y FIREWALLS
Ing. Vincenzo Mendillo – http://vmendillo.blogspot.com

Diciembre 2010

Objetivo: Conocer los principios en que se basan las barreras de protección y sistemas defensivos conocidos como firewalls (cortafuegos), así como familiarizarse con su uso en computadoras personales.

Requisitos: Disponer de 2 computadoras conectadas a Internet (una de las cualespuede ser virtual, por ejemplo mediante VMware o VirtualBox). Se recomienda realizar previamente la práctica Servicios básicos de Internet.

Plataforma: Windows


Sección A: Introducción

La función principal de una barrera de protección es proteger una red de ataques desde otras redes. En general, la red que se protege es propiedad del usuario (o está bajo su responsa¬bilidad) y la redcontra la que se protege es externa, en la que no puede confiarse (típicamente Internet). Proteger la red es prevenir que personas externas tengan acceso a información o recursos internos, pero al mismo tiempo permitir que los usuarios internos tengan acceso a redes externas como Internet.
El término firewall (cortafuegos) se utiliza comúnmente como un concepto genérico que describe un amplia gamade funciones y la arquitectura de los dispositivos que protegen la red, basadas en filtros y firewalls.



Los filtros de paquetes se utilizan a menudo como un primer nivel de defensa y constituyen una manera eficaz y general para controlar el tráfico entre redes. Ellos operan en las capas bajas de protocolos de comunicación como TCP/IP, así que sólo la información de las capas de transportey de red (direcciones IP de origen y destino, números de puerto y banderas TCP) están disponibles para las deci¬siones de filtrado. Esto quiere decir que en la política de seguridad se puede establecer, por ejemplo, que sólo se deja pasar paquetes destinados al puerto 25 (puerto de SMTP para correo electrónico) del servidor corporativo y también se puede especificar desde qué direcciones IP origense permite el acceso a los servidores públicos.
Los filtros se pueden activar en PC equipadas con Linux o Windows y en la mayoría de los enrutadores comerciales, pero el número de reglas es limitado. Además, mientras mayor sea este número, peor será el desempeño, con el consiguiente aumento del retardo y congestión. Por lo general faltan los mecanismos de intervención y alerta, y la interfazcon el usuario suele ser pobre. La implantación de filtros de paquetes puede requerir un alto nivel de comprensión de los protocolos de comunicación y su comportamiento.
Los dispositivos de filtrado de paquetes casi siempre se complementan mediante otros dispositivos llamados corta¬fuegos (firewalls), los cuales operan en las capas superiores de los protocolos de red.
A nivel 4 de del modeloOSI (esto es a nivel de transporte o de TCP en redes TCP/IP), se puede ver si los paquetes son de inicio de conexión o se corresponden con paquetes cuyas conexiones están ya establecidas. Se habla en tal caso de firewalls a nivel de circuito, donde se trata con números de secuencias de paquetes TCP/IP, es decir si los paquetes pertenecen a una conexión o si no se corresponden con ninguna conexiónestablecida.
Los firewalls a nivel 7 de la capa OSI, (esto es, a nivel de aplicación), actúan a modo de proxy (intermediario) para las distintas aplicaciones que van a controlar (telnet, ftp, http, smtp, pop3, rlogin, etc.). Para http se puede evitar las páginas que descarguen los usuarios internos tengan controles ActiveX o applets de Java, o incluso negarles el acceso a ciertas URL’s que seconsideren improcedentes. Para ftp se puede permitir el acceso sólo a cierto directorio y solo para realizar envíos o descargas de archivos.
Otras funciones adicionales que pueden realizar los firewalls es la de ocultar la gama de direcciones internas, realizando una traducción de direcciones o NAT (Network address translation). De esta manera es posible contar con sólo una dirección (o una gama...