Instructor: Aunque los routers pueden utilizar Listas
de Control de Acceso para proporcionar cierto filtrado de protección
para nuestras redes, es realmente un dispositivo dedicado conocido como firewall
el que sobresale en el uso de Listas de Control de Acceso.
Ahora bien, las Listas de Control de Acceso son muy importantes
para poder proteger nuestras redes
del tráfico no deseado.
Una gran parte de las declaraciones
de permiso y denegación que utilizamos en nuestras ACL se
basan en números de puerto, ya que éstos se correlacionan directamente
con una aplicación o servicio que deseamos permitir o bloquear.
Las listas de control de acceso, o ACL, son los conjuntos de reglas
que se colocan en los cortafuegos, enrutadores y otros
dispositivos de infraestructura de red que permiten o autorizan
el tráfico a través de una interfaz determinada.
Estos conjuntos de reglas controlarán el
flujo de tráfico que entra o sale de nuestras redes.
Ahora, para configurar la Lista de Control de Acceso en nuestros firewalls,
vamos a utilizar una interfaz basada en web, o una
interfaz de línea de comandos basada en texto.
Al configurar estas ACL, es importante
recordar que el orden en el que se enumeran
especifica el orden de las acciones que se
llevan a cabo en una determinada parte del tráfico.
Las acciones siempre se realizan de arriba hacia abajo dentro
de una Lista de Control de Acceso.
El tráfico se compara con la primera regla,
y si cumple las condiciones para que se
aplique la acción, ésta se llevará a cabo,
y no se comprobará ninguna otra ACL.
Por esta razón, nuestras
normas más específicas deben colocarse siempre al
principio de la lista, mientras
que las normas más genéricas se sitúan hacia el final.
Ahora, los routers pueden proporcionar seguridad básica utilizando
estas listas de control de acceso y reglas de filtrado.
Pero en realidad son nuestros cortafuegos de
red los que más se van a utilizar
para la seguridad de la red y el bloqueo y permiso masivos.
Los cortafuegos pueden ser dispositivos basados
en hardware, o software especializado instalado en un cliente o servidor,
para realizar esta función.
La función principal de un cortafuegos es inspeccionar
y controlar el tráfico que intenta entrar
o salir de los límites de una red.
Existen muchos tipos diferentes de cortafuegos, como
los cortafuegos de filtrado de paquetes, los cortafuegos de estado, los cortafuegos
proxy, los cortafuegos de filtrado dinámico de paquetes y los cortafuegos proxy de núcleo.
Cada tipo de cortafuegos se centrará en una inspección
más o menos exhaustiva del tráfico.
Como con todo en la seguridad de la red, va a haber una compensación
de rendimiento basada en la profundidad de la inspección
que hagamos.
Si un cortafuegos realiza una inspección más profunda,
entonces el dispositivo puede alcanzar un rendimiento
tan alto, porque le va a llevar más tiempo revisar cada una de
esas reglas ACL e inspeccionar cada uno de esos paquetes.
Esto puede afectar negativamente a la eficiencia
de nuestra red y aumentar su latencia.
Ahora bien, como los cortafuegos son dispositivos de seguridad tan
integrales para nuestras redes, evolucionan constantemente
para ofrecernos mejores prestaciones y más seguridad.
Es importante señalar que muchas organizaciones
han estado migrando hacia
un cortafuegos de gestión unificada de amenazas, o UTM.
Los dispositivos de gestión unificada de amenazas ofrecen
la posibilidad de realizar numerosas funciones de
seguridad en un único dispositivo o aparato de red.
Estos dispositivos incluyen la funcionalidad
de múltiples dispositivos especializados, como cortafuegos de red,
sistemas de prevención de intrusiones en la red, antivirus y antispam
de puerta de enlace, concentración de redes privadas virtuales, filtrado
de contenidos, equilibrio de carga y prevención de pérdida de datos, todo ello
en un único dispositivo de red.
Estos dispositivos de gestión unificada de amenazas
también tienen muchas ventajas, como
la reducción del número de dispositivos que
los técnicos tienen que aprender, manejar y mantener.
Esto puede ayudar a reducir el coste global
de proporcionar estas protecciones,
pero seguirá habiendo algunos inconvenientes.
El mayor problema
de los dispositivos UTM es que son un único punto de fallo.
Si el dispositivo falla, por ejemplo,
ya no sólo perdemos nuestro cortafuegos.
Ahora estamos perdiendo nuestro cortafuegos, nuestro antivirus,
nuestro sistema de prevención de intrusiones y cosas por el estilo.
Toda nuestra pila de seguridad puede estar envuelta
en este dispositivo, lo que significa que, si lo perdemos,
perdemos toda nuestra pila de seguridad.
Por lo tanto, nuestra organización necesita considerar
tanto las ventajas como las desventajas de la Gestión
Unificada de Amenazas antes de decidir implementarla en
nuestra arquitectura.
Algunas de las ventajas de utilizar un UTM son la reducción de los costes iniciales, el
mantenimiento y el consumo de energía.
Porque todas estas funciones residen
en un único dispositivo montado en bastidor.
También van a ser más fáciles de instalar y configurar,
que tener que hacer varios dispositivos para cada función.
Y pueden integrarse totalmente, lo
que también tiene muchas ventajas.
La gran desventaja es que son un único
punto de fallo y a menudo
carecen del detalle que ofrece una herramienta
más especializada, por lo
que su rendimiento puede no ser tan eficiente como el de un dispositivo
de función única.
Aunque los dispositivos UTM funcionan bien en su mayor
parte, utilizan motores individuales separados
para cada función que intentan realizar en sus
inspecciones de seguridad.
Mientras que cuando se utiliza un cortafuegos de nueva
generación, se va a utilizar un único motor más eficiente.
Por tanto, si la velocidad y la eficacia
de la red son las principales preocupaciones de
su organización, debería considerar
el uso de un cortafuegos de última generación en lugar de un dispositivo
de gestión unificada de amenazas.
Ahora bien, si su organización decide
optar por un dispositivo de gestión unificada
de amenazas, lo colocará entre su LAN y
la conexión a Internet, como si se
tratara de un cortafuegos en una configuración en línea.
Como puedes ver, hay un montón de opciones diferentes
cuando se trata de cortafuegos a la hora de
diseñar la arquitectura de tu red.