Ver Suplemento Temático...


Seguridad de la Información y Protección de Datos.
Dirección y Gestión de la Seguridad Global.

 

 Expertos

Ignacio Cortés Delgado

Ingeniero Superior de Telecomunicación
Diplomado en Dirección de las Tecnologías y los Sistemas de Información por el IE
Master Ejecutivo en Dirección de Seguridad Global (MEDSEG)
Master Ejecutivo en Dirección de Sistemas de Emergencia (MEDSEM)
Diplomado en Dirección de Seguridad Informática y Redes
Certified Information Systems Auditor (CISA)
Certified Information Systems Security Professional (CISSP)
Profesor del Master Ejecutivo en Dirección de Seguridad Global
Profesor del Master Ejecutivo en Dirección de Sistemas de Emergencia

Ex-Director de Desarrollo de Negocio y de Nuevas Tecnologías Aplicadas a la Seguridad y Asesor Técnico de BELT IBÉRICA, S.A.
Director Técnico de próXXIma

elcortex@terra.es

Nociones de seguridad informática para directores de seguridad (I): ¿qué es y para qué demonios sirve un firewall?


La seguridad de la información es cada día más importante en nuestras organizaciones. Muchos directores de seguridad se preocupan porque hay amenazas que no vienen por el lado de la presencia física, con lo que deben saber realizar las preguntas adecuadas para comprobar que la organización es segura en su conjunto. Así pues, presentamos aquí unas breves nociones de uno de los sistemas de seguridad más frecuentes y clásicos: los firewalls.

En español se llaman “cortafuegos” y son —o deben ser— algo similar al control de entrada y salida de la información a nuestra organización. Es como el cerramiento perimetral, más la barrera de accesos, más el servicio de vigilancia, todo en uno.

Un firewall es un sistema encargado de separar un entorno seguro de uno inseguro. Su trabajo se separa en tres tareas principales:

  1. Analizar la información que entra o sale de la organización. 
  2. Decidir, según unas reglas que nosotros establecemos, si dicha información se elimina, se retiene o si se permite el paso.
  3. Informar de lo sucedido, ya sea rellenando un registro, enviando un e-mail o activando una alarma.

Como vemos, el punto clave es definir esas reglas que debe seguir para poder decidir y funcionar automáticamente. El problema principal es que los parámetros sobre los que podemos decidir no son demasiados. Básicamente son:

  • Origen.
  • Destino.
  • Antigüedad o caducidad de la información.
  • Ruta predeterminada desde origen.
  • Servicio de destino.

Parece un pelín complicado, pero pensemos en una carta de correo postal: en el registro de entrada de nuestra organización podríamos poner unas reglas del tipo de las comentadas anteriormente:

  • “Todas las cartas que vengan de Pernambuco, a la basura directamente”.
  • “Todas las cartas que vayan hacia el Presidente, enviadlas a seguridad”.
  • “Todos los envíos fechados antes de 1998 que lleguen ahora, que sean devueltos”.
  • “Todos los envíos que sean paquetes de mano, que pasen por el escáner”.

¿Verdad que no es muy complicado? Pues en el caso de la seguridad de la información es algo similar.

Como vemos, disponer de un firewall nos asegura tener un determinado control de accesos: todo eso y sólo eso. Por tanto, un firewall no es la panacea, ni la única solución a nuestros problemas. Un problema asociado es que los responsables de la seguridad de los equipos parecen quedarse muy tranquilos cuando tienen un sistema de este tipo. Veamos qué hace un firewall y qué no hace.

QUÉ PUEDE HACER

QUÉ NO PUEDE HACER

Impedir el acceso de usuarios no autorizados Proteger de ataques que no pasen a través de él (otras puertas de entrada: módems, otras líneas de comunicaciones…)

Impedir el paso de cierto tipo de información

Proteger de ataques a través de archivos ejecutables

Que la información llegue a un destino

Proteger de ataques físicos a los sistemas

Que la información salga de un origen

Proteger de ataques procedentes de dentro de la organización

Que ciertos usuarios puedan emplear ciertas comunicaciones (e-mail, acceso Internet, servicio de news, ftp, etc.)

Proteger de virus contenidos en la información que pasa a través de él (no mira el contenido de la información)

Un sistema firewall tiene un coste muy variable, dependiente principalmente del tamaño de la organización a proteger. Los dos extremos opuestos en cuanto a soluciones son:

A. Para una pequeña organización: bastaría con emplear una máquina “en segunda actividad”, instalar un sistema Linux y un software gratuito tipo iptables. Este equipamiento más unas horas de un técnico con unas indicaciones claras para implantar las reglas del firewall son suficientes.

B. Para una gran organización: la existencia de múltiples usuarios requiere una consola de gestión flexible y un equipo diseñado específicamente para ello. Sería pues un hardware específico y propietario con sus correspondientes licencias y contratos de mantenimiento y actualización, así como la consultoría apropiada por parte del fabricante o algún partner tecnológico.

Los puntos que son importantes recordar son los siguientes:

  • Un firewall no es la solución a toda la seguridad de la información. Por ejemplo, hemos de saber que el 80% de las amenazas (intencionadas o no) de seguridad de la información proceden de nuestra organización. No nos podemos quedar tranquilos sólo con la instalación de un sistema de estas características.
  • El sistema firewall está expuesto a la red insegura, con lo que debe ser lo más sencillo posible. Si este elemento es comprometido (secuestrado o alterado), estará expuesta la red completa.
  • Tener el equipamiento es lo menos complicado. Es necesario definir claramente qué es lo que el equipo debe hacer: servicios de comunicaciones permitidas a los usuarios, redes consideradas inseguras cuyo tráfico hay que bloquear, etc.

Información relacionada:

Nociones de seguridad informática para directores de seguridad (II): ¿qué es y para qué demonios sirve una VPN? (10/02/2006)

Suplemento Temático: Los nuevos retos del Director de Seguridad

 


Fuente: Belt Ibérica S.A.
Fecha: 17/01/06

   Mas artículos de Ignacio Cortés Delgado       Otros Expertos   

Este experto ha sido visto por 2858 personas.