SEGURIDAD EN UNIX Y REDES

9.7. RESUMEN 153Una máquina con el IP Forwarding desactivado aún reenviará paquetes source route; para evitar queesto ocurra hemos de asignar al parámetro ipnonlocalsrcroute el valor 0 (utilizado por defectoen SCO Openserver).Otro de los parámetros del subsistema de red en nuestra máquina que nos puede interesar modificarde cara a aumentar la seguridad es el tiempo de expiración de las entradas de la tabla arp(por defecto, establecido a veinte minutos); el parámetro de inconfig en este caso será arpt keepseguido del valor deseado. Además, la tabla arp se escanea cada cinco minutos en busca de entradascaducas; podemos modificar este tiempo con el parámetro arpt prune de inconfig.Para prevenir ataques de IP Spoofing contra el sistema, el núcleo de SCO Openserver introduceun número aleatorio para generar los números de secuencia y el incremento de los mismos enlos paquetes tcp; el parámetro tcp secret es la semilla que alimenta al generador de númerosaleatorios, y su valor puede ser cualquiera entre 0 y 2147483647. El número de bits de tcp secretutilizados realmente como semilla lo define el parámetro tcp seqbits, con un valor entre 16 y 26;el valor por defecto, 21, es una buena elección para nuestra seguridad: si tcp seqbits es demasiadobajo, aumenta la posibilidad de que un pirata pueda adivinar el número aleatorio que se genera –lo que le facilitaría el ataque –, pero si es demasiado alto se reduce el intervalo entre la apariciónde dos números de secuencia iguales, lo que evidentemente también facilita un ataque.9.7 ResumenEn este capítulo hemos hablado de ciertos parámetros del kernel de un sistema Unix que puedenafectar a su seguridad, principalmente a nivel de red y de límites de recursos (para prevenir ataquesde negación de servicio, voluntarios o involuntarios, por parte de los usuarios). Aunque lasbases de todos los problemas suelen ser comunes a cualquier Unix, se ha particularizado la formade evitarlos para algunos de los clones más utilizados; en el caso de Unices no vistos aquí, perotambién en los que hemos tratado (se trata de información que puede cambiar entre versiones de unmismo operativo), es indispensable – se dijo en la introducción y se insiste ahora – consultar ladocumentación del sistema y asegurarse muy bien de lo que se está haciendo antes de reconfigurarun núcleo, ya que un error aquí puede ser fatal para la máquina.En la tabla 9.1 se presentan de forma compacta los parámetros vistos en este capítulo para losdiferentes clones de Unix; hemos preferido no dar valores ‘óptimos’ para cada uno de ellos, ya queel valor ideal viene dado por las características de cada sistema: cada administrador ha de conocerlo que es habitual en sus máquinas para de esta forma detectar lo inusual, y con ello los posiblesproblemas de seguridad que puedan existir.