Firewall y Proxy

Materia: Seguridad Informtica a Profesor: Jorge Sznek Estudiante: Gastn Eduardo Tagni o E-mail: gtagni@uncoma.edu.ar

Introduccin o

En el presente trabajo se abarcan los temas relacionados con rewalls y servidores proxy. El objetivo es explicar las deniciones bsicas de estos dos conceptos y mostrar cuales son sus a funciones con respecto a la proteccin de redes. o Los temas abarcados son los siguientes: En la segunda seccin se presenta la denicin o o de rewall, explicando adems la necesidad de utilizarlos. En la tercera seccin se abarca el a o tema de la proteccin de redes cuando estas se interconectan. En la cuarta seccin se habla o o de la relacin entre los rewalls y la pol o tica de seguridad. Luego, en la quinta seccin, nos o enfocamos en los mecanismos que usan los rewalls para proveer proteccin . Se denirn o a de esta manera, tres tipos de rewall, introduciendo as el concepto de servidor proxy. En la sexta seccin se habla del testeo de rewalls. Finalmente se presentan las conclusiones o obtenidas.

Denicin de Firewall o

Un rewall se puede denir como un sistema o grupo de sistemas cuya nalidad es hacer cumplir una pol tica de control de acceso entre dos redes interconectadas. Es un mecanismo que permite proteger a una red conable de las redes no conables con las que esta se encuentra conectada, permitiendo a n el trco entre ambas. u a William Cheswick y el Doctor Steve Bellovin denen un rewall como una coleccin de o componentes o sistema puesto entre dos redes que posee las siguientes propiedades: Todo el trco que sale y entra de una red debe pasar a travs del rewall. Cuando a e u decimos esto, nos referimos a los datos transportados segn la suite de protocolos TCP/IP. Solo el trco autorizado, segn lo denido en la pol a u tica de seguridad implementada, debe pasar a travs del rewall. e El sistema por si mismo es altamente resistente a las penetraciones. En la gura 1 puede observarse que un rewall est compuesto de diferentes componentes, a incluyendo ltros, que bloquean la transmisin de cierta clase de trco y un gateway, el cual o a se puede denir como una maquina o conjunto de maquinas que transmiten servicios entre o las redes internas y externas (tipicamente la red interna de una organizacin e internet). Es importante decir que los rewalls son necesarios para poder monitorear las conecciones entre diferentes redes, actuando de esta manera como mediadores de las conecciones. 1

Figura 1: Esquema bsico de un rewall a

2.1

Firewall como ltro

Los rewalls pueden actuar como ltros que determinan que datos pasan de una red a otra y cuales no. Por ejemplo, consideremos el caso de un router: Los routers toman las decisiones de ruteo basados en la informacin contenida en sus tablas de ruteo. Es posible entonces o modicar dichas tablas de manera que, por ejemplo, puedan pasar a travs del router datos e que provienen de ciertas direcciones. De esta forma un router se convierte en un dispositivo de control de acceso que puede ltrar paquetes.

2.2

Firewalls que actan como gateways u

Un gateway puede denirse como una computadora que provee servicios entre dos redes interconectadas. Un rewall, adems de ltrar paquetes puede actuar como un gateway. De a esta forma, el trco pasa a travs del gateway, el cual se encarga de pasar los datos, de a e acuerdo a lo especicado en la pol tica de de control de acceso implementada, a un ltro, a una red o incluso a otro gateway.

Proteccin de interredes o

Cuando se conectan redes entre s los riesgos de ataques aumentan, de manera que es nece sario que las redes se protegan de aquellas que son consideradas redes no conables. Es en este punto donde los rewalls entran en juego. El Doctor Steve Bellovin, de los laboratorios Bell, dijo alguna vez que los rewalls son barreras entre nosotros y ellos, para valores arbitrarios de ellos. Los rewalls son puntos de control de seguridad que permiten conectar redes conables con redes no conables. En este punto es importante destacar que los rewalls no solo son importantes dentro de una organizacin (por ejemplo para controlar el acceso entre diferentes o segmentos de una WAN) sino que tambin son importantes cuando una organizacin conecta e o su red a internet.

Firewalls y pol ticas

El uso de rewalls est estrechamente relacionado con la pol a tica de seguridad implementada en la organizacin que los utiliza y en especial con la pol o tica de control de acceso denida. o Existen dos tipos de pol ticas de red que inuyen directamente en la implementacin, conguracin y uso de un rewall: La pol o tica de acceso a servicios de red y la poltica de 2

diseno de un rewall.

4.1

Pol tica de acceso a servicios

Esta pol tica dene los servicios que sern permitidos o denegados explicitamente desde las a redes restringidas, adems de especicar la manera en la que los servicios sern usados. a a Para que un rewall funcione de la manera que las organizaciones desean, la pol tica de acceso a servicios debe existir antes de que se implemente el uso del rewall. Esta poltica debe ser realista, en el sentido de que debe mantener un balance entre la proteccin de una red y los servicios a los que se podrn acceder. Es decir, debe permitir o a que las redes se protegan con el uso de rewalls pero sigan siendo utiles a los usuarios.

4.2

Pol tica de diseno de rewalls

Esta pol tica especica como un rewall restringir el acceso a una red y como se implemena tar el ltrado de paquetes seg n lo especicado en la pol a u tica de acceso a servicios. Es por eso que debe denirse primero la poltica de acceso a servicios y luego la poltica de diseno de rewalls. La pol tica de diseno de rewalls es especca de los rewalls y dene las reglas a ser usadas para implementar la pol tica de acceso a servicios Los rewalls implementan basicamente dos pol ticas de diseno: Permitir el acceso a cualquier servicio, a menos que se especique explicitamente lo contrario. Esta alternativa es conocida como permisiva. En este caso, los rewalls permiten que acedan a la red protegida todos los servicios, a excepcin de aquellos que o son identicados como no permitidos por la pol tica de acceso a servicios. Denegar cualquier servicio, a menos que se especique explicitamente lo contrario. Esta alternativa es conocida como restrictiva. Los rewalls que implementan esta alternativa deniegan, por defecto, cualquier servicio, a excepcin de aquellos que se denen en la o pol tica de acceso a servicios como permitidos. En denitiva, para la implementacin de rewalls debe tenerse en cuenta la poltica de o seguridad denida y saber identicar cuales son los servicios que sern permitidos y cuales a son los que deben ser denegados.

Tipos de rewalls

Anteriormente se vi que es necesario denir una pol o tica de diseno de rewalls y es a partir de esta pol tica que surgen los diferentes tipos de rewalls que pueden implementarse. Veamos cuales son los distintos tipos de rewall que pueden implementarse:

5.1

Firewall de ltrado de paquetes

El ltrado de paquetes consiste en impedir que ciertos paquetes de informacin (paquetes o IP en general) puedan acceder a la red que se est protegiendo o que puedan salir de la a red en cuestion. Basicamente es un mecanismo que permite impedir que ciertos paquetes

accedan o salgan de una determinada red. De esta forma los adnministradores de redes pueden controlar el trco y de esta manera reducir la posibilidad de ataques externos. a Por ejemplo, los routers pueden ltrar paquetes IP basados en ciertas reglas, como lo son: Direccin IP fuente. o Direccin IP destino. o Puerto TCP/UDP fuente. Puerto TCP/UDP destino. Las tcnicas de ltrado permiten bloquear conecciones desde o hacia ciertos host o redes e y puden bloquear conecciones a puertos especcos. Por ejemplo, se podr ltrar paquetes an que provienen de direcciones que son consideradas no conables o se podr impedir incluso a que los usuarios de una red interna tengan acceso a ciertas direcciones. En la gura 2 se muestra un esquema de ltrado de paquetes relacionados con los servicios de TELNET y FTP. Por ultimo, es importante destacar que el ltrado de paquetes puede ser esttico o a dinmico. a Filtrado esttico: a En este caso el rewall permite el acceso del trco autorizado, seg n lo especicado a u en la pol tica de acceso a servicios, a travs de puertas que estn siempre abiertas. e a Filtrado dinmico: a En este tipo de ltrado, el rewall permite el acceso de paquetes seg n la informacin u o contenida en la cabecera de los mismos. 5.1.1 Ventajas del ltrado

El ltrado de paquetes tiene las siguientes ventajas: Permitir mayor proteccin. o Soporta la mayor de los servicios. a Se tiene un mayor control de lo que entra a una red que se considera conable. 5.1.2 Desventajas del ltrado

El ltrado de paquetes tiene las siguientes desventajas: Reduce el riesgo de ataques pero no los impide, ya que una vez que se tiene acceso a la red se pueden explotar las vulnerabilidades de los host internos. No posee autenticacin de usuarios. o

Figura 2: Filtrado de paquetes en servicios de FTP y SMTP

5.2

Servidores proxy

Para solucionar los problemas que tienen los rewalls de ltrado de paquetes y superar sus desventajas, se han desarrollado aplicaciones de software que pueden ltrar conecciones relacionadas con ciertos sevicios (por ejemplo: TELNET, FTP, etc.). Estas aplicaciones son conocidas como servidores proxy o gateways de aplicacin. o El objetivo de los servidores proxy es actuar como una especie de intermediario entre dos redes interconectadas, permitiendo que los host que pertenecen a una red, que se considera conable, se comuniquen de manera indirecta con host de otras redes o servidores externos. La gura 3 muestra la ubicacin de un servidor proxy con respecto a una red interna y o el mundo exterior (en general: internet). Las ventajas que tiene el uso de servidores proxy son las siguientes: Ocultamiento de informacin: o La informacin propia de los host de una red (en particular su nombre) no debe darse o a conocer al exterior (a travs del uso de un servidor DNS) para que los host externos e puedan comunicarse con dichos host. Es decir, los host externos solo deben conocer la identidad del servidor proxy para poder comunicarse indirectamente con los host internos a travs del proxy. e Mecanismos de autenticacin y login robustos: o El proxy puede implementar un mecanismo de autenticacin y login para que los host o externos tengan acceso a la red que est siendo protegida por el servidor proxy. a Menor complejidad en las reglas de ltrado: Las reglas de ltrado de paquetes que utiliza un router se tornan menos complejas, debido a que el router no tiene que controlar si los paquetes estn dirigidos a los host a individuales, simplemente controla que los paquetes estn dirigidos al servidor proxy. e Como ejemplo de servidor proxy puede considerarse un proxy de e-mails, el cual se encarga de centralizar los mails que llegan a una red interna y los redirige a los usuarios de 5

Figura 3: Ubicacin de un servidor proxy entre dos redes o la red. Todos los mails que llegan o salen deben pasar por el proxy y de esta manera se puede tener mayor control sobre la informacin que entra a una organizacin, por ejemplo, o o no permitiendo la llegada de los mails basura controlando de esta forma el spam. Una funcin alternativa que cumplen los servidores proxy es la de actuar como un buer o que almacena la informacin que viaja entre las redes, permitiendo as una velocidad de o acceso mayor ya que los datos pueden ser buscados primero en el proxy y luego, sino se encuentran all pedirlos a los servidores externos. ,

5.3

Firewalls de inspeccin de paquetes o

Algunos de los rewalls usados en las conecciones de redes organizacionales a internet, combinan las dos tcnicas vistas anteriormente: ltrado de paquetes y servidores proxy. Esta e alternativa de diseno puede permitir un alto grado de control de acceso, pero pone lmites en cuanto a la exibilidad y transparencia de la conectividad; adems de hacer ms dif y a a cil compleja la conguracin de los rewalls que implementan ambos mecanismos. o Una alternativa de diseno consiste en inspeccionar los paquetes en lugar de solo ltrarlos de acuerdo a sus direcciones o n meros de puerto, es decir, considerar el contenido de u los paquetes. Este tipo de rewalls utiliza un mdulo de inspeccin de paquetes para los o o diferentes protocolos utilizados en cada una de las capas de la arquitectura de red (modelo OSI). o Por ejemplo, los servidores proxy tienen acceso solo a la informacin relacionada con la capa de aplicacin y los router tienen acceso a informacin relacionada con las capas o o o inferiores (transporte y red) mientras que los rewalls que realizan inspeccin de paquetes tienen la capacidad de integrar la informacin obtenida desde todas las capas en un solo o punto de inspeccin. o Este tipo de ltrado inteligente puede combinarse con la abilidad de poder escanear sesiones de red. Esto es lo que se conoce como ltrado de sesin. Con esta estrategia, el o mdulo que se encarga del ltrado utiliza reglas inteligentes que permiten no solo inspeco cionar los paquetes individuales sino que tambin, basndose en la informacin de inicio y e a o 6

n de sesin, permite inspeccionar una sesin de red. o o Algunas de las ventajas que ofrece este tipo de rewall son las siguientes: Un mdulo de inspeccin puede manipular paquetes de forma ms rpida que un o o a a servidor proxy, lo que permite reducir costos. Los rewalls de inspeccin pueden proveer traduccin de direcciones, escaneo del cono o tenido de los paquetes para la b squeda de virus, entre otros servicios. u La principal desventaja de este tipo de rewall es que el nivel de procesamiento requerido en comparacin con el ltrado de paquetes comn, es mayor. o u

5.4

Firewalls h bridos

Este tipo de rewall combina las tcnicas de control de trco de paquetes vistas anteriore a mente. Por ejemplo, un rewall que utiliza tcnicas de ltrado puede ser mejorado agregane dole la capacidad de inspeccionar paquetes. El problema que tiene esta estrategia de agregar capacidades o mtodos de seguridad a los rewalls es que no necesariamente se incrementa e la seguridad. Como conclusin se puede decir que todos los tipos de rewalls vistos son equivalentes en o cuanto a la funcionalidad y el hecho de que un rewall pertenezca a un determinado tipo, no signica que realice todo el procesamiento de seguridad que caracteriza al tipo de rewall.

Testeo de rewalls

Siempre que se utiliza un rewall es necesario realizar un testeo del mismo para encontrar posibles errores de funcionamiento y para asegurarse de que la implementacin del rewall o est de acuerdo con la pol a tica denida en la organizacin que lo utiliza. El testeo de rewalls o debe ser realizado por el personal adecuado, en general, el administrador de la red. Existen tres situaciones obvias en las cuales un rewall debe ser testeado: Inmediatamente despus de haber instalado un rewall, para asegurarse de que la e instalacin fue correcta. o Despus de realizar cualquier cambio en la red, para asegurarse de que el rewall sigue e funcionando de manera correcta. Periodicamente, para controlar su funcionamiento. Ejemplo de algunos testeos que pueden realizarse en un rewall son: Testeo de protocolos no soportados: tica de seguridad para detectar Consiste en utilizar protocolos no autorizados por la pol fallas en el rewall. Intentos de login a los servidores de FTP y TELNET: Esto permite detectar si los intentos de login como un usuario no existente, se registran como intentos de acceso fallidos o si se registran de forma separada. El testeo de rewalls es importante y siempre debe realizarse, para poder asegurarse de que la implementacin del rewall respeta la poltica de acceso a servicios. o 7

Conclusin o

Tanto los rewalls como los servidores proxy son herramientas que pueden usarse para dar proteccin a las redes cuando estas se conectan entre s o . Las redes interconectadas pueden ser de diferentes tipos y tamanos e incluso pueden conectarse redes internas (aquellas que pertenecen a una organizacin) con redes externas o (por ejemplo, internet). De este modo, las posibilidades de sufrir un ataque externo se incrementan cuando una organizacin conecta su propia red, considerada una red conable, o a una red externa que se considera no conable. Es en este punto donde entran en juego los rewalls, los cuales sern utilizados como una barrera entre la red interna y las redes a exrternas. Un rewall se encarga de controlar todo el trco que entra y sale de la red, protegiendo a de esta forma la red interna. Existen diferentes tipos de rewalls, entre los que se encuentran los servidores proxy, los cuales tienen la funcin adicional de actuar como un buer y almacenar all la informacin o o que circula entre las redes permitiendo as que los datos sean recuperados de manera ms a rpida la proxima vez. a Tanto los rewalls como los servidores proxy, deben implementarse teniendo en cuenta la pol tica de acceso a servicios denida, permitiendo a su vez que la proteccin de las redes o sea transparente a los usuarios. Dependiendo de lo que se desee proteger, una organizacin puede utilizar rewalls internos o o externos. Por ejemplo, para proteger dos subredes de una red interna entre s podra , utilizarse un rewall interno ubicado entre ambas subredes; el cual se encargar de controlar a el trco que circula entre ambas redes. Por otro lado, si se desea proteger la red interna a cuando esta se conecta a internet, se podr utilizar rewalls externos. an La principal desventaja que poseen los rewalls es la complejidad asociada con su conguracin, adems de no tener la capacidad para evitar ataques basados en servicios autorizados. o a La ventaja que tienen los rewalls es que brindan proteccin a las redes conables cuando o estas se conectan a redes no conables. En denitiva, un rewall nunca proteger al cien por cien una red interna, ya que las a tcnicas de intrusin avanzan d a da. Pero tambin es cierto que un rewall bien congue o a e rado puede hacer la tarea de los intrusos ms complicada. a

Bibliograf a
[1] William R. Cheswick and Steve M. Bellovin. Firewalls and Internet Security. AddisonWesley, 1994. [2] ICSA, Inc. ICSA Firewall Buyers Guide, 1998. [3] Marcus Ranum. Network rewalls FAQ, 1998. [4] Profesor Jorge Sznek. Apuntes de la catedra Seguridad Informtica. Universidad Nacional a del Comahue, Neuqun, 2001. e