| |
Llegamos en esta serie de
artículos a la parte que deberemos considerar a la vez más segura y más
vulnerable: la red interna, donde funcionan los procesos internos de la
empresa y donde la información que viaja es más comprometida. Es aquí
donde debemos estar más atentos al flujo de información, donde un
compromiso en la seguridad es más crítico y donde las medidas de seguridad
deben de ser más extremas.
La primera medida que se debe
plantear parte de la planificación de la estructura misma de la red. Se
debe evitar, en lo posible, ofrecer a un posible atacante que haya
conseguido introducirse en esta zona, facilidades para su transito. Para
ello recurriremos a segmentar la red en zonas independientes, con tecnicas
de segmentacion en el nivel de red (routers) y en el nivel de enlace
(switches).
Segmentación por
routers
La primera medida en la que
debemos pensar es en la división de la red en zonas lógicas, por
departamentos o por niveles de seguridad necesaria. Así, en una empresa de
producción, podemos crear zonas para dirección, contabilidad, compras,
ventas, almacén, fabricación y desarrollo, por ejemplo. Estas zonas deben
estar separadas por routers que tengan capacidades mínimas de filtrado. Lo
ideal es incluir en estas uniones equipos con propiedades de
firewalling y en los que podamos definir unas reglas de seguridad.
Siguiendo el ejemplo que
poníamos, no hay ningún motivo para que desde el almacén se necesite
acceder a los equipos de desarrollo, pero este es un posible agujero para
que se filtre información confidencial de la empresa. En general, las
zonas deberían ser relativamente opacas entre sí, permitiéndose únicamente
el paso de información a través de unos equipos estrictamente controlados
en una zona especial: el centro de proceso de datos. De las
características especiales de esta zona hablaremos en futuros
artículos.
Con la red segmentada así,
evitaremos que infecciones en un equipo de una zona se esparzan por toda
la empresa. En el ataque del gusano blaster el verano pasado se dieron
casos de empresas con seguridad perimetral bastante importante, que
resultaron infectadas por un portátil de un comercial que había estado
expuesto. Aparte del fallo de no tener antivirus de escritorio y no llevar
una política adecuada de actualizaciones, de las que hablaremos más
adelante, el hecho de no tener segmentada la red llevo a una infección
generalizada en minutos.
Segmentación por
switches.
Dentro de cada zona, existe
siempre el riesgo de que, bien un usuario malintencionado o un atacante a
través de un equipo comprometido, se dedique a espiar el tráfico de su
red, con el fin de obtener datos como contraseñas de correo,
conversaciones por mensajería instantánea y otro tipo de datos que puedan
viajar en claro por la red. Para evitarlo, y de paso conseguir un
importante aumento de la velocidad y rendimiento de nuestra red, es
importante incorporar switches como núcleo del cableado de la
red.
Un switch es, en realidad,
como un router de nivel 2. Se encarga de escuchar los paquetes que le
llegan, y los envía únicamente al puerto de red (dirección MAC) que los
debe de escuchar. De esta forma, un tercer equipo no puede llegar a
interceptar el tráfico entre otros dos, haciendo, en cierta manera,
inútiles los sniffers.
Es aconsejable invertir en
los switches de la red. Un buen switch gestionable, con buenas
posibilidades para crear VLANs (segmentos aislados de red dentro del mismo
switch), calidad de servicio (QoS) y otras funciones, puede ser la base de
futuro para una red equilibrada, rápida y segura. Es muy interesante que
el switch permita crear un puerto de monitorización, donde se escuche todo
el tráfico que pasa por el mismo, ya que será importante de cara al
momento de implantar un sistema de detección de intrusos (IDS), del que
hablaremos más adelante.
Luisma
Miembro de la
AIH |
informativos.info 
Responder a este mensaje