Seguridad de redes

Cada servicio accesible a través de una red forma parte de la superficie de exposición del sistema.

Para comprender esa exposición conviene identificar:

• dispositivos conectados;
• interfaces de red;
• direcciones utilizadas;
• puertos abiertos;
• servicios activos;
• protocolos habilitados;
• interfaces de administración;
• conexiones con otras redes;
• servicios accesibles desde Internet.

Servicio necesario
→ mantener y proteger Servicio innecesario
→ deshabilitar o retirar

Reducir la exposición innecesaria simplifica la protección y disminuye el número de puntos que deben mantenerse y supervisarse.

Las redes utilizan protocolos para definir cómo intercambian información los diferentes sistemas.

Cada protocolo cumple una función determinada y puede incorporar diferentes mecanismos de seguridad.

• IPpermite direccionar y transportar paquetes entre redes.
• TCPproporciona una comunicación orientada a conexión.
• UDPproporciona transporte sin establecer una conexión equivalente a TCP.
• DNSpermite resolver nombres y otros datos del sistema de nombres de dominio.
• HTTP y HTTPSse utilizan habitualmente para comunicaciones web.
• SSHpermite, entre otros usos, administración remota protegida.

La seguridad no depende únicamente de utilizar un protocolo determinado. También intervienen su configuración, versión, autenticación y exposición.

Una VLAN permite crear dominios de red lógicamente separados sobre una infraestructura de conmutación compatible.

Puede utilizarse para organizar dispositivos según su función, por ejemplo:

VLAN 10 → usuarios
VLAN 20 → servidores
VLAN 30 → administración
VLAN 40 → dispositivos específicos

La creación de VLAN no sustituye por sí sola a una política de seguridad. Si diferentes segmentos necesitan comunicarse, el tráfico entre ellos debe controlarse mediante los mecanismos apropiados.

Una regla de acceso expresa qué comunicación se permite o se bloquea.

Conceptualmente puede representarse mediante:

Origen
Destino
Protocolo
Puerto
Acción

Por ejemplo:

Origen: red de usuarios
Destino: servidor web interno
Protocolo: TCP
Puerto: 443
Acción: permitir

Las reglas demasiado generales pueden permitir comunicaciones que no son necesarias. El principio de mínimo privilegio también puede aplicarse al tráfico de red: permitir únicamente aquello que responde a una necesidad definida.

Los datos en tránsito son aquellos que se están transmitiendo entre sistemas a través de una red.

Cuando la información requiere protección, pueden utilizarse mecanismos criptográficos que aporten propiedades como confidencialidad e integridad durante la comunicación.

Aplicación origen
↓
Canal protegido
↓
Red
↓
Canal protegido
↓
Aplicación destino

TLS es un ejemplo ampliamente utilizado para proteger comunicaciones entre aplicaciones. HTTPS utiliza HTTP sobre TLS.

La existencia de cifrado no elimina la necesidad de autenticar correctamente los extremos ni de configurar adecuadamente los servicios.

Las redes inalámbricas utilizan el medio radioeléctrico y requieren controles adecuados para autenticar el acceso y proteger las comunicaciones.

Su configuración debe considerar aspectos como:

• mecanismos de seguridad compatibles y apropiados;
• credenciales de acceso;
• administración de los puntos de acceso;
• actualización del firmware;
• separación de redes cuando sea necesaria;
• dispositivos que pueden conectarse;
• monitorización del entorno.

Una red destinada a visitantes o dispositivos no confiables puede requerir separación respecto a los sistemas internos.

Los controles de red pueden generar información útil para conocer qué comunicaciones se producen y detectar comportamientos que requieren revisión.

Entre las fuentes de información pueden encontrarse:

• registros de firewalls;
• eventos de dispositivos de red;
• registros de VPN;
• información de servicios de infraestructura;
• datos de monitorización;
• alertas de sistemas de seguridad.

Tráfico
↓
Registro
↓
Monitorización
↓
Detección
↓
Análisis
↓
Respuesta si es necesaria

La monitorización debe centrarse en información útil y mantenerse dentro de los requisitos técnicos, organizativos y legales aplicables.

Algunos problemas habituales de seguridad de red proceden de configuraciones excesivamente permisivas o de una falta de revisión.

• exponer servicios que no son necesarios;
• mantener puertos abiertos sin una necesidad definida;
• permitir tráfico desde cualquier origen;
• mantener redes completamente planas;
• exponer interfaces administrativas innecesariamente;
• utilizar protocolos o configuraciones obsoletas;
• no proteger comunicaciones sensibles;
• no revisar periódicamente las reglas de filtrado;
• mantener reglas antiguas que ya no son necesarias;
• no registrar eventos relevantes;
• considerar el firewall como la única medida de seguridad.

• Cada servicio accesible aumenta la superficie potencial de exposición.
• Deben mantenerse únicamente los servicios y puertos necesarios.
• La segmentación limita comunicaciones entre diferentes zonas.
• Las VLAN pueden proporcionar separación lógica, pero necesitan controles adicionales cuando existe comunicación entre segmentos.
• Los firewalls aplican políticas de filtrado sobre el tráfico.
• Las reglas de acceso deben ser tan específicas como resulte razonable para la necesidad que cubren.
• También puede ser necesario controlar el tráfico de salida.
• Las comunicaciones sensibles deben protegerse durante el tránsito.
• El acceso remoto debe combinar protección de comunicaciones, autenticación y autorización.
• Los registros y la monitorización proporcionan visibilidad.
• La seguridad de red debe combinarse con hardening, identidad, actualizaciones y otros controles.

Fuentes institucionales para ampliar los conceptos de protección, segmentación y seguridad de las comunicaciones.

• Cybersecurity and Infrastructure Security Agency (CISA)
• National Institute of Standards and Technology (NIST)
• Instituto Nacional de Ciberseguridad (INCIBE)