SEGURIDAD EN UNIX Y REDES

9.2. LINUX 143Siguiendo con las diferentes opciones del subsistema de red, podemos habilitar el soporte para‘SYN Cookies’ (config syn cookies) en el núcleo que estamos configurando. Una red TCP/IPhabitual no puede soportar un ataque de negación de servicio conocido como ‘SYN Flooding’, consistentebásicamente en enviar una gran cantidad de tramas con el bit SYN activado para así saturarlos recursos de una máquina determinada hasta que los usuarios no pueden ni siquiera conectar aella. Las ‘SYN Cookies’ proporcionan cierta protección contra este tipo de ataques, ya que la pilaTCP/IP utiliza un protocolo criptográfico para permitir que un usuario legítimo pueda seguir accediendoal sistema incluso si este está siendo atacado. Aunque configuremos y ejecutemos un núcleocon esta opción soportada, hemos de activar las ‘SYN Cookies’ cada vez que el sistema arranca(como veremos luego), ya que por defecto están deshabilitadas.En ciertas situaciones es interesante analizar en espacio de usuario – es decir, sin sobrecargaral núcleo más de lo estrictamente necesario – un paquete o parte de él (típicamente, los 128 primerosbytes) que llega a través de la red hasta nuestra máquina; de esta forma, un analizadorsimple puede tomar ciertas decisiones en función del contenido del paquete recibido, como enviarun correo al administrador en caso de sospecha o grabar un mensaje mediante syslog. Justamenteesto es lo que conseguimos si habilitamos la opción Firewall Packet Netlink Device (configip firewall netlink).Hasta ahora hemos hablado de la posibilidad que tiene Linux para modificar parámetros del núcleosin necesidad de recompilarlo o de reiniciar el equipo, mediante el interfaz sysctl; esto implica porejemplo que podemos modificar el comportamiento del subsistema de red simplemente modificandodeterminados ficheros de /proc/sys/ (recordemos que el sistema de ficheros /proc/ de algunosUnix es una interfaz entre estructuras de datos del núcleo y el espacio de usuario). Vamos a ver ahoraalgunos de estos parámetros configurables que tienen mucho que ver con la seguridad del sistema:Uno de los parámetros que nos interesa es la habilitación o deshabilitación del IP Forwardingen el núcleo de Linux; como hemos dicho antes, el sistema de filtrado de paquetes sólo funcionacuando esta opción está habilitada, lo que se consigue con la ordenluisa:~# echo 1 > /proc/sys/net/ipv4/ip_forwardSin embargo, si no utilizamos las facilidades de firewalling del núcleo de Linux esta opción ha deestar desabilitada (introduciríamos un ‘0’ en lugar de un ‘1’ en el fichero anterior), ya que de locontrario corremos el peligro de que nuestra máquina se convierta en un router.Antes hemos hablado de las ‘SYN Cookies’, y hemos comentado que aunque el soporte para estacaracterística se introduce al compilar el núcleo, realmente el mecanismo se ha de activar desdeespacio de usuario, por ejemplo con una orden como la siguiente:luisa:~# echo 1 >/proc/sys/net/ipv4/tcp_syncookiesTambién es muy recomendable que el subsistema de red del kernel descarte las tramas con SourceRouting o encaminamiento en origen activado. Este tipo de paquetes contienen el camino que hande seguir hasta su destino, de forma que los routers por los que pasa no han de examinar su contenidosino simplemente reenviarlo, hecho que puede causar la llegada de datos que constituyan unaamenaza a nuestras políticas de seguridad. En los núcleos 2.0 esto se conseguía activando la opciónconfig ip nosr, mientras que en los 2.2 la forma más sencilla de ignorar estos paquetes es introduciendoun ‘0’ en los diferentes ficheros accept source route del directorio /proc/sys/net/ipv4/;por ejemplo la siguiente orden descarta las tramas con encaminamiento en origen que llegan aldispositivo de red eth0:luisa:~# echo 0 >/proc/sys/net/ipv4/conf/eth0/accept_source_routeHemos de recordar que las modificaciones que hacemos sobre el interfaz sysctl son dinámicas (sepueden efectuar con el sistema funcionando, sin necesidad de reiniciarlo), pero se pierden cuando