Firewall y Sus Aplicaciones PDF

Seguridad en redes:
TCP/IP, filtrado de trfico y

firewalls
Alberto Castro Rojas

EL64E Redes de Computadores el64e@cec.uchile.cl
1
Agenda
Las redes locales y su conexin a distancias
Direccin MAC y direccin IP
Equipos de interconexin
Los protocolos TCP/IP
Filtrado del trfico TCP/IP
Firewalls
2
Redes de Computadores el64e@cec.uchile.cl
Conjunto de protocolos TCP/IP
Son desarrollados como parte del proyecto

DARPA a mediados de la dcada del 70
Su objetivo fue la interconexin de redes con
redes, de aqu naci el concepto internetting
que ms tarde fue INTERNET.
Se crearon dos grupos de protocolos:
Control de Transmisin
Internet
3
Conjunto de protocolos TCP/IP
Su relacin con el modelo ISO/OSI, es slo

a nivel de cuatro de las siete capas.
Aplicacin
Presentacin TELNET FTP SNMP SMTP DNS HTTP
Sesin
Transporte TCP UDP ICMP
Red IP
Enlace 802.3 802.5
Fsico Ethernet FDDI Token Ring
4
Encapsulando los datos
Nivel de aplicacin .................................................................. Informacin

(SMTP, Telnet, FTP y otros)
Nivel de transporte ............................................. EncabezadoInformacin

(TCP,UDP, ICMP)
Nivel de Internet ........................... EncabezadoEncabezado Informacin

(IP)
Nivel de acceso a la red .......... EncabezadoEncabezado Encabezado Informacin

(Ethernet, FDDI, ATM, etc)
Enviar Recibir
5
Capas del modelo
Nivel de aplicacin Aqu residen las apliaciones. Interacta con uno o ms
protocolos de transporte para enviar o recibir datos
Nivel de Transporte Posibilita la comunicacin punto a punto desde dos
programas. Regula el flujo de datos. El transporte puede
ser confiable, es decir con respuesta del receptor, o no
Coordina que los datos enviados desde un programa a otro,
le llegue slo al que se especific. Para esto coloca
identificadores a cada una de las aplicacines. Adems
realiza un checksum de los datos
Nivel de Internet o red Controla la comunicacin entre dos equipos, definiendo
que rutas deben seguir los paquetes para alcanzar su
destino. Encapsula y desencapsula los paquetes que
van hacia el nivel inferior y el superior
Nivel de enlace de red Envia al medio fsico flujos de bits y recibe los que de
esste nivel provienen.
6
Caractersticas de TCP/IP
Los datagramas contienen la informacin
necesaria y suficiente para ser ruteados por
Internet
La conexin siempre es un fin en s misma
La inteligencia est en las puntas. Ser labor
de la aplicacin el pegar los paquetes que
conforman un archivo
7
Enrutamiento de los datagramas
Computador A1 Computador B1
Compuerta de Compuesta de
Aplicacin acceso R1 acceso R2 Aplicacin
Transporte Transporte
Internet Internet Internet Internet
Acceso a la Red Acceso a la Red Acceso a la Red Acceso a la Red
Red A Red B
Internet
8
Equipos de interconexin de
redes
Switch. Se trata de un dispositivo de
propsito especial, diseado para resolver
problemas de escasez de ancho de banda
en la red
Opera en la segunda capa del modelo OSI
y reenva los paquetes en base a la
direccin MAC
Segmenta la red en pequeos dominios de
colisin
9
Equipos de interconexin de
redes
Router: Es un dispositivo de propsito
general, diseado para segmentar la red,
limitar el brodcast, proporcionar seguridad y
control de redundancia entre dominios
individuales
Opera en la tercera capa del modelo OSI
Tiene ms facilidades de software, por lo que
puede ser configurado como firewall
10
Cundo se usan ?
Si la idea es segmentar el dominio de
colisiones en la red, se usa un switch
Si adems se desea segmentar la red en
dominios individuales de brodcast, suministrar
envo de paquetes entre redes y soportar rutas
redundantes en la red, se usa un router
11
Cundo se usan?
Dominio
Dominiodede
Colisin
Colisin
Dominio
Dominiodede
Dominio
Dominiodede Colisin
Colisin
Colisin
Colisin Switch
Switch
Dominio
Dominiodede
Colisin
Colisin
Dominio
Dominiodede
Colisin
Colisin
Dominio
Dominiodede Switch
Switch
Colisin
Colisin
Dominio
Dominiodede
Colisin
Colisin
Dominio
Dominiodede
Router
Router Colisin
Colisin
12
Ruteo Bsico
Es el proceso a travs del cual, dos
computadores se comunican, privilegiando la
mejor trayectoria de una red TCP/IP
En el ruteo asumiremos que el problema de
enviar el paquete dentro de la misma red, est
resuelto. Lo que ahora se quiere es que el
paquete viaje entre redes hasta llegar a la red
de destino
13
Principios de enrutamiento
El computador inicial necesita saber cmo y
cuando comunicarse con un Router
El Router necesita saber cmo determinar la
mejor trayectoria para llegar a una red remota
El Router de la red destino, necesita saber
como comunicarse con el computador final
14
Tablas de rutas
Cada router y cada host mantienen una tabla
de rutas
Un router est conectado directamente a una o
ms redes
El algoritmo de ruteo que toda
implementacin IP debe realizar, se basa en
una tabla de rutas
15
Ejemplo de una tabla de ruta
Red Red
146.83.4.0 Router 1 Default INTERNET
146.83.4.3 146.83.4.1
Router 2
146.83.4.2
Red
146.83.5.0
Tabla para router 1
Net Gateway Type

146.83.4.0 146.83.4.3 DIR
146.83.5.0 146.83.4.2 GW
Default 146.83.4.1 GW
16
Algoritmo de ruteo bsico
RouteIP(dgram, table)
{
IPnet = getnet(dgram.destIP);
Route = search(IPnet, table);
if( Route.type == DIR )
sendphys(dgram, dgram.destIP);
else if (Route != NOT_FOUND)
sendphys(dgram, Route.gateway);
else
{
Route = search(default, table);
if( Route != NOT_FOUND )
sendphys(dgram, Route.gateway);
else
error(dgram, Net Unreachable);
}
} 17
TCP/IP es seguro?
Hemos visto que el paquete TCP/IP tiene una
estructura definida que es conocida por
cualquiera que as lo requiera
En general un equipo que procese paquetes,
podr saber quin lo enva, hacia dnde va,
con qu aplicacin se comunica etc., y podra
eventualmente, alterar el contenido del
paquete, sin que se note
18
Principales tcnicas de ataque
Engao IP (Spoofing). Una mquina
suplanta la identidad de otra
Se usa para persuadir a un sistema de que
acepte datos como si vinieran de la fuente
original o bien para recibir datos que
debera ir a la mquina suplantada
Esta debilidad se debe a que los Routers
slo miran la direccin de destino del
paquete
19
Spoofing
Cuando el paquete llega a destino, el
receptor revisa la IP de origen. Si el
atacante cambi su IP por una direccin
legtima, ya esta lista la primera parte del
engao
La segunda parte, consiste en incluir
ordenes en la parte TCP del paquete. Estas
ordenes pueden ser desde cambios simples,
obtencin de informacin, etc.
20
Husmeando en la red (Sniffing)
Una mquina intermedia entre receptor y
transmisor, escucha los paquetes
En redes de medio compartido como
Ethernet, las tarjetas de red tienen un
segmento de hardware encargado de
acceder a todos los datos que viajan por el
medio
Qu pasa si por la red viajan las password
sin encriptacin ?
21
Segurizando la red
Se pueden usar equipos que denieguen o
permitan el acceso externo a la red
corporativa
Los filtros de paquetes y los firewall son los
elementos ms usados
Se pueden usar por separado o combinados
22
Routers de seleccin
Se trata de routers que pueden filtrar los
paquetes en base a criterios de seleccin
Bsicamente estos criterios son:
El tipo de protocolo
Direccin IP de origen
Servicio al cual se desea acceder
Este tipo de routers, controla qu servicios
estn permitidos en un segmento de red
23
Zonas de riesgo
Internet
> 2.500.000 hosts
>30.000 redes
Cuntos hackers?
Router de seleccin
Red de la empresa
24
Zonas de riesgo
La zona de riesgo, incluye todas las redes o
sus segmentos, dentro de la empresa que
tienen acceso a una red externa y que son
compatibles con TCP/IP
Los routers de seleccin por s solos,
aunque bien configurados, no hacen cero el
riesgo de ser vulnerados.
La idea es definir y disminuir la zona de
riesgo
25
Ejemplo de filtracin de
paquetes
Segmento de red N Segmento de red 1
(externo)
Segmento de red 2
(externo)
Segmento de red 3
Segmento de red 4 (externo)
(interno)
Mientras ms conexiones al router existen, ms
compleja es su configuracin como filtro de paquetes,
por cuanto:
Son ms difciles de mantener.
Es fcil cometer errores en su configuracin.
Produce retardos en la recepcin y envo de los
paquetes. 26
Operacin del filtro
Las reglas del filtro de paquetes, se almacenan
por cada puerto especificado
Cuando el paquete llega al puerto, se analiza
su encabezado, que casi siempre es el IP y en
algunos casos el TCP o el UDP
Las reglas del filtro, se almacenan en un orden
especfico y se aplican a cada paquete en
forma secuencial
27
Operacin del filtro
Si una regla bloquea la transmisin o
recepcin del paquete, ste no se acepta
Si una regla acepta el paquete, pasa a la
siguiente regla de filtro
Aquello que no est expresamente permitido,
se prohibe
28
Diagrama de flujo
Almacenar reglas del
filtro de paquetes
Bloquea la Si
transmisin la
regla de
Analizar campos IP, UDP, TCP de
paquetes?
encabezados de paquetes
Es sta la
Aplicar la regla del siguiente paquete ltima regla del
paquete?
Si
No Bloquear
paquete
Se acepta
29
Diseo de filtros de paquetes
Red 192.83.7.0
Red Externa
Internet
Router
de seleccin
Supongamos que se desea aceptar todo el correo electrnico

que provenga desde la red externa menos el proveniente del
host trauco.dcc.uchile.cl (192.83.7.11), tal vez porque desde
este host se envan mensajes muy largos
30
Diseo de filtros de paquetes
Para lograr lo anterior, hay que definir las
siguientes reglas:
No se confa en las conexiones del host
192.83.7.11
Se desea que desde otros lugares, puedan
llegar correos
31
Arquitectura y teora de los
firewalls
Los filtros de paquetes, son una forma
eficaz de control del trfico que entra y
sale de la red
La gran ventaja aqu es que al trabajar
sobre las capas IP y TCP, no se deben
hacer cambios a nivel de la aplicacin
... Es tambin la gran desventaja, el
nmero de reglas puede ser muy limitado,
as que se requieren reglas adicionales
32
Firewalls
Surge el firewall como el instrumento
principal para ejecutar la poltica de seguridad
de la organizacin
Trabaja en todas las capas del modelo
Son complementarios a los filtros de paquetes
33
Firewall e Internet
Se instala entre la conexin de la red interna

y su enlace a Internet
Todo el trfico que viene o sale a Internet,
pasa por el firewall
Su configuracin, debe estar en
concordancia con la poltica de seguridad
definida
Hoy en da, una red conectada a Internet sin
un firewall es altamente riesgosa
34
Qu puede hacer un firewall
Ser una fuente de decisiones de seguridad.
Permite concentrar las medidas de seguridad
en un solo punto de la red
Refuerza las polticas de seguridad. La
mayora de los servicios que los usuarios
demandan de Internet, son inseguros. Por
ejemplo, el usa de NFS desde fuera de la
organizacin
35
Qu puede hacer un firewall
Almacenar su relacin con Internet. Por ser
cuello de botella, es factible registrar lo que
ocurre entre la red protegida y la externa
Limitar la exposicin. Se puede usar un
firewall interno, es decir, dentro de la misma
organizacin
36
Qu no puede hacer un
firewall
Proteger contra personas maliciosas internas
a la red
Proteger las conexiones que no pasan por l
Proteger contra amenazas desconocidas.
Pero es factible reconfigurarlo, ante la nueva
situacin
Proteger contra virus? No olvidar la
integracin
37
Tipos de Firewall: Host de Base
Dual
El trmino host de base mltiple, describe
a un equipo que cuenta con ms de una
tarjeta de interfaz de red
Por lo general, cada tarjeta se conecta a una
red distinta
Histricamente se usaron este tipo de host
como gateway
38
Host de Base Mltiple
Funcin de enrutamiento opcional
Tarjeta Tarjeta Tarjeta

de red de red de red
Red 1 Red 3
Red 2
39
Host de base dual
Este tipo de firewall, usa un host de base
dual, es decir con slo dos tarjetas
Una de las tarjetas conecta el equipo con la
red interna y la otra con la externa
Firewall
Tarjeta Tarjeta
Internet
Externa
Interna
40
Aislando la red
Los servicios de Internet, como las news, e-
mail y web, son esencialmente de
almacenamiento y envo
Si los servicios trabajan sobre un host de base
dual, pueden configurarse para ser accesados
desde otras redes
El esquema utilizado es correr en el firewall
un agente emisor de aplicacin
41
Aislando la red
El software emisor recibe las peticiones

externas y se las comunica al servidor de la
aplicacin interna
Por ejemplo, si la peticin externa es ver
una noticia, el emisor encargado tomar la
peticin, la analizar y se la har al servidor
de news interno de la organizacin
42
Firewall de base dual con
emisor de noticias
Emisor de
NNTP
Interfaz Interfaz
Interfaz
Interfaz de
de
dered
red dered
red
Servidor de News
INTERNET
Servidor de News
43
Cmo comprometer la seguridad
de un firewall de base dual
La mayor amenaza, es que un intruso obtenga
acceso directo al firewall
En este caso, el telnet directo al firewall no se
permite y toda configuracin, se hace
directamente desde la consola
Si es necesaria la configuracin remota, hay
que hacerla con protocolos que soporten
layers de segurizacin
44
Consideraciones de
seguridad
Eliminar las herramientas de programacin,
tales como: compiladores, likeadores, etc.
Eliminar programas con permisos SUID y
SGID
Definicin de cuotas por particin
Eliminar las cuentas especiales y las
innecesarias
Eliminar los servicios de red innecesarios
45
Firewall : Host de Bastin
El concepto se mantiene. Se trata de un
computador, pero esta vez con una sola
tarjeta de red
Un Router de seleccin o filtro de
paquetes, se interpone entre la red externa
y el bastin
De esta forma se introduce un nivel
adicional de seguridad al momento de
tratar de penetrar la red
46
Host de bastin: conexin
INTERNET
Router de seleccin
Firewall
host de bastin
47
Consideraciones
El router de seleccin, es la primera lnea
de defensa
Debe estar configurado para enviarle los
paquetes ya filtrados al firewall
Todo trfico que no pase las reglas
impuestas en el router, se rechaza
El firewall de bastin, utiliza funciones de
nivel de aplicacin para permitir o rechazar
las solicitudes que vienen de la red externa
48
A nivel de las capas
Controles de
acceso es-
pecfico de
aplicacin
Reglas de
filtracin de Aplicacin
paquetes Presentacin
Sesin
Transporte
Red Red
Enlace Enlace
Fsico Fsico
Red Externa Router de Red Interna Firewall de Red Interna

Seleccin Bastin
49
Tipos de Firewall : Host de
bastin con ambas interfaces de
red configuradas
Se usa un router de seleccin
El firewall posee dos interfaces de red. Una de
ellas se comunica con el router y la otra con la
red interna
El router de seleccin, aplica sus reglas de
filtrado antes de enviar los paquetes al firewall
Si un intruso desea llegar a la red interna,
deber enfrentar al router y luego el firewall
50
Host de bastin con dos
interfaces
DMZ
(Demilitarized
INTERNET
Zone)
Router de seleccin
Firewall
host de bastin
con dos interfaces
de red
51
Host de bastin con dos
interfaces
Se define una Zona Desmilitarizada
(DMZ Demilitarized Zone), es decir, un
pedazo de la red interna en la cual no hay
computadores
La DMZ es por lo general una token ring o
una ethernet. Esto puede ser un problema,
pues alguien puede pinchar la red y
colocar un dispositivo que escuche los
paquetes que viajan
52
Tipos de Firewall : Dos hosts de
bastin y dos DMZ
Se definen tres zonas dentro la red interna: red
exterior, red privada y red interior
El router de seleccin y el host de bastin
exterior son las dos interfaces en la red
exterior
La red privada proporciona un nuevo nivel de
seguridad
53
Dos hosts de bastin y dos
DMZ
INTERNET
Red Externa
DMZ Exterior
Red Exterior
Red Interior
Red Privada
DMZ Interior
Red Interna
54
Dos hosts de bastin y dos DMZ
Este tipo de configuracin, permite
conectar computadores en dos zonas, con
distintos grados de proteccin
En la red privada, pueden estar los hosts
menos delicados
La configuracin se puede usar para
impedir ataques internos
Se pueden colocar algunos hosts en la red
exterior, si se desea dar algunos servicios
55
Firewalls comerciales y gratis
Lo importante son siempre los conceptos
Se podra pensar que un firewall gratis es
riesgoso, pero no es cierto!
Los firewalls comerciales, implementan una
gama mayor de mecanismos de seguridad
Un firewall muy barato, se puede implementar
bajo plataforma Linux
56

Firewall y Sus Aplicaciones PDF

Uploaded by

Document Information

Original Title

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

Firewall y Sus Aplicaciones PDF

Uploaded by

Copyright:

Available Formats

Seguridad en redes:

TCP/IP, filtrado de trfico y

Alberto Castro Rojas

Son desarrollados como parte del proyecto

Su relacin con el modelo ISO/OSI, es slo

Nivel de aplicacin .................................................................. Informacin

Nivel de transporte ............................................. EncabezadoInformacin

Nivel de Internet ........................... EncabezadoEncabezado Informacin

Nivel de acceso a la red .......... EncabezadoEncabezado Encabezado Informacin

Tabla para router 1

Net Gateway Type

Supongamos que se desea aceptar todo el correo electrnico

Se instala entre la conexin de la red interna

Funcin de enrutamiento opcional

Tarjeta Tarjeta Tarjeta

El software emisor recibe las peticiones

Red Externa Router de Red Interna Firewall de Red Interna

You might also like