66.69 Criptografía y Seguridad Informática FIREWALL

¿Qué es un Firewall? FIREWALL“Cortafuegos” =

FIREWALL ¿Qué es un Firewall? FIREWALL“Cortafuegos” =

FIREWALL ¿Qué es un Firewall? Elemento de hardware o software utilizado en una red de computadoras para controlar las comunicaciones, permitiéndolas o prohibiéndolas según las políticas de seguridad. FIREWALL“Cortafuegos” =

FIREWALL ¿Dónde opera un Firewall? Punto de conexión de la red interna con la red exterior Zona Desmilitarizada (DMZ)‏

FIREWALL ¿Dónde opera un Firewall? También es frecuente conectar al firewall una tercera red, llamada zona desmilitarizada o DMZ, en la que se ubican los servidores de la organización que deben permanecer accesibles desde la red exterior.

FIREWALL Tipos de Firewall de capa de red o de filtrado de paquetes personal de capa de aplicación Funciona a nivel de red (nivel 3) de la pila de protocolos (TCP/IP) como filtro de paquetes IP. A este nivel se pueden realizar filtros según los distintos campos de los paquetes IP: dirección IP origen, dirección IP destino. A menudo se permiten filtrados según campos de nivel de transporte (nivel 4) como el puerto origen y destino, o a nivel de enlace de datos (nivel 2) como la dirección MAC Trabaja en el nivel de aplicación (nivel 7), por ejemplo, si se trata de tráfico HTTP se pueden realizar filtrados según la URL a la que se está intentando acceder. En este caso es denominado Proxy. Se instala como software en un computador, filtrando las comunicaciones entre dicho computador y el resto de la red y viceversa.

FIREWALL Tipos de Firewall De filtrado de paquetes De capa de aplicación FISICA ENLACE RED TRANSPORTE SESIÓN PRESENTACIÓN APLICACIÓN OSI MAC IP protocolo + puerto URL de HTTP

FIREWALL Funciones posibles del Firewall (I)‏ NAT (Network Address Translation)‏

FIREWALL Funciones posibles del Firewall (I)‏ NAT (Network Address Translation)‏

FIREWALL Funciones posibles del Firewall (I)‏ NAT (Network Address Translation)‏

FIREWALL Funciones posibles del Firewall (II)‏ PROXY La información solicitada al exterior es recuperada por el firewall y después enviada al host que la requirió originalmente.

FIREWALL Funciones posibles del Firewall (II)‏ PROXY La información solicitada al exterior es recuperada por el firewall y después enviada al host que la requirió originalmente.

FIREWALL Funciones posibles del Firewall (II)‏ PROXY La información solicitada al exterior es recuperada por el firewall y después enviada al host que la requirió originalmente.

FIREWALL Funciones posibles del Firewall (III)‏ QOS La LAN esta haciendo mucho uso de Intenet via HTTP y el firewall limita la salida para que por ejemplo los usuarios puedan recibir sin problemas su correo HTTP

FIREWALL Funciones posibles del Firewall (IV)‏ Balanceo de Carga La LAN tiene dos vinculos con internet y el firewall distribuye la carga entre las dos conexiones. HTTP

FIREWALL Limitaciones del Firewall No protege de ataques fuera de su área No protege de espías o usuarios inconscientes No protege de ataques de “ingeniería social” No protege contra ataques posibles en la transferencia de datos, cuando datos son enviados o copiados a un servidor interno y son ejecutados despachando un ataque.

FIREWALL Implementación Hardware específico configurable o bien una aplicación de software corriendo en una computadora, pero en ambos casos deben existir al menos dos interfaces de comunicaciones (ej: placas de red)

FIREWALL Implementación Hardware específico configurable o bien una aplicación de software corriendo en una computadora, pero en ambos casos deben existir al menos dos interfaces de comunicaciones (ej: placas de red) REGLAS ACEPTAR 1) ACEPTAR DENEGAR 2) DENEGAR

FIREWALL Implementación Hardware específico configurable o bien una aplicación de software corriendo en una computadora, pero en ambos casos deben existir al menos dos interfaces de comunicaciones (ej: placas de red) IPTABLES (LINUX)‏

FIREWALL IPtables IPTables Kernel LINUX = NETFILTER Filtrado de paquetes “Connection tracking” NAT

FIREWALL Funcionamiento de IPtables INPUT... el usuario puede crear tantas como desee. OUTPUT FORWARD regla1 regla2 regla3... cadena 1 paquete IP cadenas básicas

FIREWALL Funcionamiento de IPtables... enlace a otra cadena regla1 regla2 regla3... cadena 1 paquete IP regla1 regla2 regla3... cadena 2

FIREWALL Funcionamiento de IPtables REGLAS condiciones a matchear DESTINO ACCEPT DROP QUEUE RETURN... cadena definida por usuario

FIREWALL Funcionamiento de IPtables REGLAS condiciones a matchear DESTINO ACCEPT DROP QUEUE RETURN... cadena definida por usuario protocolo IP origen IP destino puerto destino puerto origen flags TCP...

FIREWALL Funcionamiento de IPtables TABLA...cadena 1 paquete IP...cadena cadena N

FIREWALL Funcionamiento de IPtables Hay tres tablas ya incorporadas, cada una de las cuales contiene ciertas cadenas predefinidas : FILTER TABLE NAT TABLE MANGLE TABLE responsable del filtrado cadenas predefinidas INPUT OUTPUT FORWARD responsable de configurar las reglas de reescritura de direcciones o de puertos de los paquetes PREROUTING (DNAT)‏ POSTROUTING (SNAT)‏ OUTPUT (DNAT local)‏ responsable de ajustar las opciones de los paquetes, como por ejemplo la calidad de servicio; contiene todas las cadenas predefinidas posibles.

FIREWALL Funcionamiento de IPtables

FIREWALL Ejemplo de IPtables (I)‏ Queremos bloquear todos aquellos paquetes entrantes provenientes de la dirección IP iptables -s No estamos especificando qué hacer con los paquetes. Para esto, se usa el parámetro -j seguido por alguna de estas tres opciones: ACCEPT, DENY o DROP. iptables -s j DROP Necesitamos también especificar a qué chain o cadena vamos a aplicar esta regla. Para eso está el parámetro -A. iptables -A INPUT -s j DROP

FIREWALL Ejemplo de IPtables (II)‏ Si lo que buscamos es que a nuestra computadora le sea imposible comunicarse con la anterior, simplemente cambiaremos el INPUT por el OUTPUT, y el parámetro -s por el -d. iptables -A OUTPUT -d j DROP Si quisiéramos ignorar sólo las peticiones Telnet provenientes de esa misma IP iptables -A INPUT -s p tcp --puerto-destino telnet -j DROP Si vamos a usar la computadora como router, deberemos setear la cadena de FORWARD para que también quede en ACCEPT. iptables -P FORWARD ACCEPT

FIREWALL Implementación (escenario 1)‏ REGLAS Todo lo que venga de la red local al Firewall : ACEPTAR Todo lo que venga de una IP domiciliaria al puerto TCP 22 = ACEPTAR Todo lo que venga de la IP domiciliaria del Gerente al puerto TCP 1723 = ACEPTAR Todo lo que venga de la red local al exterior = ENMASCARAR Todo lo que venga del exterior al puerto TCP 1 al 1024 = DENEGAR Todo lo que venga del exterior al puerto TCP 3389 = DENEGAR Todo lo que venga del exterior al puerto UDP 1 al 1024 = DENEGAR ALTERNATIVA: implementar reglas por PROXY a nivel aplicación

FIREWALL Implementación (escenario 2)‏ VPN con túnel IPSEC. Punto a Punto seguro, o política de seguridad anti-intrusos o sniffing (ENCRIPT.)‏ L1 L2 L3 VPN PaP