Conceptos Clave en Seguridad de Redes

Esta sección define los elementos fundamentales en la arquitectura y fortificación de una red segura.

• Perímetro: Es la frontera fortificada de la red. La defensa del perímetro requiere elementos como encaminadores (routers), cortafuegos (firewalls), sistemas de detección de intrusiones (IDS), redes privadas virtuales (VPN), zonas desmilitarizadas (DMZ) y subredes controladas.
• Bastión (Bastion Host): Servidor expuesto que publica servicios a la red. Aunque es de alto riesgo, está fuertemente fortificado para resistir ataques.
• Hardening (Fortificación): Conjunto de procedimientos para convertir un servidor en un bastión fortificado.
• Router de Frontera: Router más externo de la red, en contacto directo con Internet. Realiza filtrado de tráfico y debe resistir ataques externos.
• Cortafuegos (Firewall): Dispositivo que configura reglas de filtrado para aceptar o denegar tráfico. Se ubica entre redes, creando un punto único de análisis. Los routers de frontera a menudo incluyen funcionalidad de cortafuegos.
• Sistema de Detección de Intrusiones (IDS): Sistema con sensores para detectar ataques. Detecta patrones (firmas) o secuencias de acciones específicas de ataques. Hay dos tipos:
  • NIDS (Network IDS): Monitorizan el tráfico de red.
  • HIDS (Host IDS): Monitorizan cambios en el sistema operativo y aplicaciones.
• Red Privada Virtual (VPN): Establece sesiones de red protegidas a través de canales públicos. Usa dispositivos en el perímetro para crear sesiones cifradas entre sedes.
• Red Desmilitarizada (DMZ): Aloja servicios accesibles al exterior (ej., servidores web). Los nodos de la DMZ están delante del cortafuegos corporativo, pero pueden tener protecciones adicionales.
• Redes Controladas (Screened Subnets): Redes *detrás* del cortafuegos corporativo. A menudo se confunden con las DMZ. Los bastiones no están en contacto directo con la red interna y se protegen con un cortafuegos. Hay dos tipos:
  • Modelo de Host Apantallado (Screened Host): Un bastión centraliza las comunicaciones.
  • Modelo de Subred Apantallada (Screened Subnet): Añade un cortafuegos entre el bastión y la red interna.

El Cortafuegos y su Relación con el Modelo OSI

Un cortafuegos conecta selectivamente dos o más redes. La selección del tráfico se basa en reglas definidas en una política de seguridad. No todo sistema de filtrado es un cortafuegos; depende del nivel en el que se establecen las conexiones filtradas.

El filtrado se puede realizar en diferentes capas del modelo OSI:

• Nivel 2 (Enlace): Las VPN operan a este nivel.
• Nivel 3 (Red): Se realiza el filtrado de paquetes, por ejemplo, filtrando por dirección IP o flags específicos.
• Nivel 4 (Transporte): Los cortafuegos de estado filtran a nivel de transporte, usando información como números de puerto y conexiones TCP.
• Nivel de Aplicación (Superiores al 4): Se utilizan cortafuegos basados en proxies, específicos para cada aplicación.