SEGURIDAD EN UNIX Y REDES

12.2.CARACTERÍSTICAS DE DISEÑO 193Físicamente, en casi todos los cortafuegos existen al menos un choke y una máquina bastión, aunquetambién se considera firewall a un simple router filtrando paquetes, es decir, actuando comochoke; desde el punto de vista lógico, en el cortafuegos suelen existir servidores proxy para lasaplicaciones que han de atravesar el sistema, y que se situan habitualmente en el host bastión.También se implementa en el choke un mecanismo de filtrado de paquetes, y en alguno de los doselementos se suele situar otro mecanismo para poder monitorizar y detectar la actividad sospechosa.En este capítulo hablaremos de los tipos de cortafuegos más habituales y de sus características,así como de las posibles políticas de seguridad que pueden implementar; también comentaremosaspectos de dos de los cortafuegos más utilizados hoy en día: FW-1 y la herramienta de Linuxipchains. Los firewalls son cada vez más necesarios en nuestras redes, pero todos los expertosrecomiendan que no se usen en lugar de otras herramientas, sino junto a ellas; cualquier cortafuegos,desde el más simple al más avanzado, presenta dos gravísimos problemas de seguridad: por unlado, centralizan todas las medidas en un único sistema, de forma que si éste se ve comprometidoy el resto de nuestra red no está lo suficientemente protegido el atacante consigue amenazar a todala subred simplemente poniendo en jaque a una máquina. El segundo problema, relacionado conéste, es la falsa sensación de seguridad que un cortafuegos proporciona: generalmente un administradorque no disponga de un firewall va a preocuparse de la integridad de todas y cada unade sus máquinas, pero en el momento en que instala el cortafuegos y lo configura asume que todasu red es segura, por lo que se suele descuidar enormemente la seguridad de los equipos de la redinterna. Esto, como acabamos de comentar, es un grave error, ya que en el momento que un pirataacceda a nuestro cortafuegos – recordemos que es un sistema muy expuesto a ataques externos –automáticamente va a tener la posibilidad de controlar toda nuestra red.Además – esto ya no es un problema de los firewalls sino algo de sentido común –, un cortafuegosevidentemente no protege contra ataques que no pasan por él: esto incluye todo tipo de ataquesinternos dentro del perímetro de seguridad, pero también otros factores que a priori no deberíansuponer un problema. El típico ejemplo de estos últimos son los usuarios que instalan sin permiso,sin conocimiento del administrador de la red, y muchas veces sin pensar en sus consecuencias, unsimple modem en sus PCs o estaciones de trabajo; esto, tan habitual en muchas organizaciones,supone la violación y la ruptura total del perímetro de seguridad, ya que posibilita accesos a la redno controlados por el cortafuegos. Otro problema de sentido común es la reconfiguración de lossistemas al pasarlos de una zona a otra con diferente nivel de seguridad, por ejemplo al mover unequipo que se encuentra en el área protegida a la DMZ (veremos más adelante lo que estas siglassignifican); este acto – que en ocasiones no implica ni tan siquiera el movimiento físico del equipo,sino simplemente conectarlo en una toma de red diferente – puede ocasionar graves problemas deseguridad en nuestra organización, por lo que cada vez que un cambio de este estilo se produzca nosólo es necesaria la reconfiguración del sistema, sino la revisión de todas las políticas de seguridadaplicadas a esa máquina ([Mel97]).12.2 Características de diseñoExisten tres decisiones básicas en el diseño o la configuración de un cortafuegos [Ran95]; la primerade ellas, la más importante, hace referencia a la política de seguridad de la organización propietariadel firewall: evidentemente, la configuración y el nivel de seguridad potencia será distinto en unaempresa que utilice un cortafuegos para bloquear todo el tráfico externo hacia el dominio de supropiedad (excepto, quizás, las consultas a su página web) frente a otra donde sólo se intente evitarque los usuarios internos pierdan el tiempo en la red, bloqueando por ejemplo todos los serviciosde salida al exterior excepto el correo electrónico. Sobre esta decisión influyen, aparte de motivosde seguridad, motivos administrativos de cada organismo.La segunda decisión de diseño a tener en cuenta es el nivel de monitorización, redundancia y controldeseado en la organización; una vez definida la política a seguir, hay que definir cómo implemen-