Distributed firewall

La política de seguridad de los firewalls distribuidos se define de forma centralizada, y su aplicación se lleva a cabo en cada extremo (hosts, enrutadores, etc.). La gestión centralizada permite configurar y distribuir políticas de seguridad coherentes en servidores y equipos de usuarios finales, lo que ayuda a optimizar los recursos limitados. La capacidad de recopilar informes y mantener actualizaciones de forma centralizada hace que la seguridad distribuida sea práctica. Esta característica de los firewalls distribuidos ofrece dos ventajas: en primer lugar, protege los equipos remotos de los usuarios finales; en segundo lugar, protege los servidores críticos de la red, impidiendo la intrusión de código malicioso y bloqueando otro código similar al evitar que el servidor protegido se utilice como plataforma para ataques a mayor escala.

La distribución de la política o reglas de seguridad puede variar según la implementación. Puede enviarse directamente a los sistemas finales o solicitarse cuando sea necesario.

Los cortafuegos convencionales se basan en el control de los puntos de entrada para funcionar, o más precisamente, parten de la premisa de que se puede confiar en cualquier persona que se encuentre a un lado del punto de entrada (el cortafuegos) y que cualquier persona al otro lado es, al menos potencialmente, un enemigo. Los cortafuegos distribuidos funcionan permitiendo únicamente el tráfico esencial hacia la máquina que protegen, prohibiendo otros tipos de tráfico para evitar intrusiones no deseadas. Las políticas de seguridad transmitidas desde el servidor de administración central también deben ser implementadas por el host. La parte del extremo del host del cortafuegos distribuido no proporciona ningún control administrativo para que el administrador de red controle la implementación de las políticas. El host permite el tráfico en función de las reglas de seguridad que ha implementado.

El cifrado de extremo a extremo representa una amenaza para los firewalls convencionales, ya que estos generalmente no poseen las claves necesarias para descifrar la información. Los firewalls distribuidos utilizan la técnica de implementación IPSEC de extremo a extremo . ^{[ 1 ]} IPSEC es un conjunto de protocolos , estandarizado recientemente por la IETF , que proporciona servicios de seguridad de capa de red, como confidencialidad de paquetes, autenticación, integridad de datos, protección contra repetición y gestión automatizada de claves . Esto es una consecuencia del despliegue de firewalls: el tráfico interno que no es detectado por el firewall no puede filtrarse; como resultado, los usuarios internos pueden lanzar ataques contra otros usuarios y redes sin que el firewall pueda intervenir. Las grandes redes actuales suelen tener un gran número de puntos de entrada. Además, muchos sitios emplean firewalls internos para proporcionar algún tipo de compartimentación. Esto dificulta particularmente la administración, tanto desde un punto de vista práctico como en lo que respecta a la coherencia de las políticas, ya que no existe un mecanismo de gestión unificado e integral. En IPSEC de extremo a extremo, cada paquete entrante se asocia con un certificado ; el acceso otorgado a dicho paquete está determinado por los derechos otorgados a ese certificado. ^{[ 1 ]} Si el nombre del certificado es diferente o si no hay protección IPSEC, el paquete se descartará como no autorizado. Dado que los derechos de acceso en un firewall distribuido robusto están vinculados a certificados, estos derechos pueden limitarse cambiando el conjunto de certificados aceptados. Solo los hosts con certificados más recientes se consideran entonces "dentro"; si no se instala el cambio, la máquina tendrá menos privilegios. ^{[ 1 ]}

Los firewalls distribuidos pueden proteger hosts que no se encuentran dentro de un límite topológico . Los paquetes de administración del sistema se utilizan para administrar máquinas individuales, por lo que los administradores de seguridad definen la política de seguridad en términos de identificadores de host y la política puede ser aplicada por cada host individual. El firewall convencional solo puede aplicar una política al tráfico que lo atraviesa, por lo que el tráfico intercambiado entre nodos en la red protegida no puede controlarse, lo que permite a un atacante que ya es un usuario interno o que de alguna manera puede eludir el firewall y establecer un nuevo punto de entrada no autorizado a la red sin el conocimiento y consentimiento del administrador. Para los firewalls convencionales, los protocolos como RealAudio son difíciles de procesar, porque los firewalls convencionales carecen de cierto conocimiento que está fácilmente disponible en los puntos finales . ^{[ 1 ]} Debido al aumento de las velocidades de línea y a los protocolos más intensivos en computación que un firewall debe admitir, los firewalls tradicionales tienden a convertirse en puntos de congestión. Es probable que esta brecha entre la velocidad de procesamiento y la de las redes aumente, porque a medida que las computadoras (y por lo tanto los cortafuegos) se vuelven más rápidas, la combinación de protocolos más complejos y el tremendo aumento en la cantidad de datos que deben pasar a través del cortafuegos ha superado y probablemente seguirá superando la ley de Moore .

Los cortafuegos distribuidos son excelentes para rechazar solicitudes de conexión de servicios inapropiados. Normalmente, descartan dichas solicitudes en el host, pero también pueden enviar una respuesta solicitando la autenticación de la conexión, lo que a su vez indica la existencia del host. A diferencia de los cortafuegos convencionales basados ​​en filtros de paquetes puros , que no pueden rechazar eficazmente algunos "escaneos sigilosos" , los cortafuegos distribuidos reensamblan los paquetes de un escáner de puertos y luego los rechazan.

Estos ataques pueden ser contrarrestados en el host por cortafuegos distribuidos con reglas específicas para descartar paquetes dentro del dominio de la política de red. Los cortafuegos distribuidos pueden usar mecanismos criptográficos para prevenir ataques basados ​​en direcciones de origen falsificadas, bajo el supuesto de que el repositorio de confianza que contiene todas las credenciales necesarias no ha sido comprometido.

El marco y el lenguaje de políticas del firewall distribuido, que permite tomar decisiones de política a nivel de aplicación, pueden eludir una amplia variedad de amenazas que residen en la aplicación y en el nivel intermedio del tráfico de comunicación. En situaciones complejas que consumen muchos recursos, donde se deben tomar decisiones sobre código como Java , los firewalls distribuidos pueden mitigar las amenazas siempre que el contenido de dichos paquetes de comunicación pueda ser interpretado semánticamente por los mecanismos de verificación de políticas. La inspección de estado de los paquetes se adapta fácilmente a estos requisitos y permite una mayor granularidad en la toma de decisiones. La aplicación de políticas de los firewalls distribuidos tampoco se ve comprometida cuando el contenido del código malicioso se oculta completamente mediante el uso de redes privadas virtuales y tráfico de comunicación cifrado hacia la unidad de filtrado en el perímetro de la red, a diferencia de los firewalls convencionales.

Los firewalls distribuidos pueden detectar intentos de intrusión, pero pueden tener dificultades para recopilar las sondas. Cada host de la red debe detectar las sondas y enviarlas a una ubicación central para su procesamiento y correlación. El primer problema no es difícil; muchos hosts ya registran dichos intentos. La recopilación es más problemática, especialmente en momentos de mala conectividad con el sitio central. También existe el riesgo de ataques coordinados, que podrían provocar un ataque de denegación de servicio contra la máquina central.

La independencia de un firewall distribuido respecto a las restricciones topológicas permite la aplicación de políticas, independientemente de si los hosts pertenecen o no al dominio de políticas general. Sus decisiones se basan en mecanismos de autenticación que no son características inherentes al diseño de la red. Además, la vulneración de un punto final, ya sea por un usuario legítimo o un intruso, no debilita la red general de manera que conduzca directamente a la vulneración de otras máquinas, dado que el despliegue de redes privadas virtuales impide la interceptación del tráfico de comunicaciones en el que la máquina atacada no participa. Sin embargo, en el punto final en sí, asumir que una máquina ha sido comprometida por un adversario lleva a la conclusión de que los propios mecanismos de aplicación de políticas pueden estar comprometidos. La instalación de puertas traseras en esta máquina puede realizarse con bastante facilidad una vez que los mecanismos de seguridad son defectuosos, y ante la falta de un firewall perimetral, no existe una entidad de confianza que pueda impedir el tráfico arbitrario que entra o sale del host comprometido. Adicionalmente, se pueden utilizar herramientas que permiten la tunelización de la comunicación de otra aplicación, y esto no se puede prevenir sin el conocimiento adecuado de las credenciales de descifrado. Además, dado que el ataque se ha llevado a cabo con éxito, es posible que ya no se pueda confiar en los mecanismos de verificación de la propia máquina.

A primera vista, la principal debilidad de los firewalls distribuidos radica en su mayor vulnerabilidad a la falta de cooperación de los usuarios. Estos firewalls pueden reducir la amenaza de ataques internos, simplemente facilitando la configuración de grupos de usuarios más pequeños. De esta forma, se puede restringir el acceso a un servidor de archivos únicamente a los usuarios que lo necesiten, en lugar de permitir el acceso a cualquier persona dentro de la empresa. También es importante invertir esfuerzos en prevenir la manipulación de las políticas. Estas políticas podrían firmarse digitalmente y verificarse mediante una clave que cambie con frecuencia y que se encuentre en una ubicación de difícil acceso. Para una protección más rigurosa, la aplicación de las políticas puede integrarse en una tarjeta de red a prueba de manipulaciones.

1. Sonnenreich, Wes y Tom Yates, Creación de cortafuegos para Linux y OpenBSD , Singapur: Addison Wiley
2. Zwicky, D. Elizabeth, Simon Cooper, Brent D. Chapman, Construcción de cortafuegos de Internet , O'Reilly Publications
3. Strebe, Cortafuegos 24/7 , Editorial BPB

1. Dr. Hancock, Bill "Cortafuegos residentes en el host: protección de servidores y equipos de escritorio Windows NT/2000 contra ataques de red"
2. Bellovin, SM y WR Cheswick, "Cortafuegos y seguridad en Internet: cómo repeler al hacker astuto", Addison-Wesley, 1994.
3. Ioannidis, S. y Keromytis, AD, y Bellovin, SM y JM Smith, "Implementación de un cortafuegos distribuido", Actas de Seguridad Informática y de Comunicaciones (CCS), págs.  190–199, noviembre de 2000, Atenas, Grecia.