Corel

Tema 6. Firewalls

´ SEGURIDAD EN SISTEMAS DE INFORMACION Libre Elecci´n o http://ccia.ei.uvigo.es/docencia/SSI 20 de abril de 2009

– FJRP, FMBR 2008 ccia SSI –

6.1 Conceptos b´sicos a

Cortafuegos: Mecanismo de control de accesos Formado por componentes hardware y software Separa nuestra red interna (equipos de confianza) de los equipos externos (potencialmente hostiles) mediante elcontrol del tr´fico a • denegando intentos de conexi´n no autorizados (en ambos sentio dos) Prevenci´n de ataques desde el exterior hacia equipos internos o Esquema

(a) Objetivos Todo el tr´fico desde interior a exterior y viceversa debe pasar por a el Cortafuegos/Firewall. • bloqueo de todos los accesos f´ ısicos a red propia excepto el del Cortafuegos • diferentes topolog´ ⇒ diferentes niveles deaislamiento ıas El Cortafuegos permite s´lo tr´fico autorizado o a • definido por las pol´ ıticas de seguridad de la organizaci´n o • cada tipo de Cortafuegos permite distintos tipos de control El Corfafuegos debe ser inmune a intrusiones • Sistema Operativo y software fiable

– FJRP, FMBR 2008 ccia SSI –

1

(b) Tipos de aspectos a controlar Control de Servicios determinar los tipos deservicios de red accesibles desde interior y exterior Dos grandes alternativas: Cortafuegos filtra tr´fico a los servicios bas´ndose en la direcci´n a a o IP + n´ms. de puerto u Cortafuegos proporciona un software Proxy para cada servicio concreto a controlar. Proxy recibe e interpreta las solicitudes a nivel de aplicaci´n, o permitiendo o no su paso. Control de Direcciones determinar que direccionespueden iniciar las solicitudes de servicios y hacia cu´les se permite su paso a trav´s a e del Cortafuegos Control de Usuarios control de accesos en base al usuario concreto que pretende acceder Normalmente se restringir´ a usuarios locales (dentro de zona proa tegida) Control de Comportamiento control de c´mo se usan los servicios o Ejemplos: restricci´n de acceso a determinados servicios Web, ofiltrado de SPAM, etc...

– FJRP, FMBR 2008 ccia SSI –

2

(c) Utilidad de los Cortafuegos Definen un punto unico de resistencia frente a ataques ´ • mantiene usuarios no autorizados fuera de la red protegida • prohibe entrada o salida de servicios potencialmente vulnerables • protecci´n frente a ciertos ataques de suplantaci´n de IP (IP o o spoofing ) • simplifica la administraci´n (punto unico deentrada) o ´ Ofrece ubicaci´n donde realizar supervisi´n de eventos de seguridad o o • registro de accesos, intentos de intrusi´n, gesti´n de alarmas de o o seguridad, auditorias, etc Ofrece ubicaci´n para situar otros elementos de gesti´n de red (no o o exclusivamente relacionados con la seguridad) • traducci´n de direcciones, NAT(network address translation) o ◦ direcciones locales (privadas) ⇔direcciones p´blicas de Interu net • software de auditoria y registro del uso de la red • plataforma para implantar pasarelas IPSec o similares (enlaces de redes virtuales privadas [VPN]) • plataforma donde centralizar sistemas de detecci´n de intrusiones o (ej.: SNORT) • plataforma para ubicar filtros de nivel de aplicaci´n (antivirus, o SPAM, etc,...) (d) Limitaciones No protegen contra ataquesque no pasen a trav´s del Cortafuegos e • conexiones adicionales que ofrecen un punto de entrada alternativo fuera de su control No protegen contra amenazas internas Pueden proporcionar una sensaci´n de falsa seguridad o • el Cortafuegos no basta por si s´lo o • seguridad en redes afecta a muchos aspectos
– FJRP, FMBR 2008 ccia SSI – 3

(e) Clasificaci´n general de los tipos de Cortafuegos oFiltros de paquetes Inspeccionan los paquetes recibidos/enviados y comprueban si encajan en las reglas Filtrado basado en la informaci´n contenida en cada paquete o recibido/enviado • cada paquete se inspecciona de forma aislada y la decisi´n se o toma de forma aislada • filtro ”sin estado” • no tiene en cuenta si los paquetes son parte de una conexi´n o Uso de puertos est´ndar para bloquear...