Seguridad en Redes y Análisis Inteligente de Amenazas
Master Universitario en Ciberseguridad
Dr. Manuel Sánchez Rubio
Tema 3:
Arquitectura de seguridad en redes
Universidad Internacional de La Rioja
Semana 4
Tema 3 - 1
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 2
Recordando…
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 3
Topologías de defensa
► Tarea compleja y delicada.
► Requiere de planificación y establecimiento de políticas,
procedimientos, controles y responsables.
► Arquitecturas:
► Simples:
► Control se sitúa entre la red interna y la red insegura
(Internet)
► Defensa en profundidad
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 4
DMZ
• El término zona desmilitarizada es tomado de la franja de terreno
neutral que separa a los países inmersos en un conflicto bélico. Es
una reminiscencia de la Guerra de Corea, aún vigente y en tregua
desde 1953. Paradójicamente, a pesar de que esta zona
desmilitarizada es terreno neutral, es una de las más peligrosas del
planeta, y por ello da nombre al sistema DMZ.
• Una DMZ es una red que se ubica entre la red interna de una
organización y una red externa, generalmente Internet. El objetivo
de una DMZ es que las conexiones desde la red interna y la externa
a la DMZ estén permitidas, mientras que las conexiones desde la
DMZ sólo se permitan a la red externa.
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 5
Arquitectura Simple
Los usuarios han de configurar
su cliente web con el proxy
[Link] que sólo él puede
realizar conexiones al exterior permit tcp host [Link] any eq www
por el puerto 80. Esto no afecta a deny tcp [Link] [Link] any eq
los accesos a servidores web www
internos desde el exterior
Servidor WEB
Usuario 1 Usuario 2 Usuario 3 Usuario 4 Usuario 5
[Link]
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 6
Multi-Homed Host con DMZ
Accesibles desde Internet
Solo a conexiones establecidas
¿Mejora?: atacan servidores, pero entran en la red
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 7
Defensa en profundidad
FW1 y FW2 deben ser diferentes
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 8
Defensa en profundidad: Alta disponibilidad
No aporta seguridad, si comodidad
Contrato dos accesos
¿FW1 y FW2 deben ser diferentes?
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 9
Defensa en profundidad
¿FW1 y FW2 deben ser diferentes?... si
FW1 de estado: + barato, + rápido + eficiente
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 10
Defensa en profundidad
…debería estar segmentado
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 11
Defensa en profundidad
SERVIDORES
EQUIPOS
…mejor
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 12
Conclusiones
► La aplicación no es trivial
► No es una tarea imposible pero si delicada
► Debe fundamentarse en:
► Una política de seguridad definida por la corporación (PCN)
► Determinar los responsables y beneficiarios de los servicios
► Ubicación del cortafuegos
► Control y mantenimiento del funcionamiento
PCN (Solo recordar)
Fase I. Fase II. Fase III. Fase IV.
Detectar Proteger Recuperar
y Análisis
comunicar y y posterior
sostener restablecer incidente
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 13
Ejemplo de cortafuegos
2
3
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 14
Ejemplo de cortafuegos
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 15
Ejemplo de cortafuegos
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 16
Ejemplo de cortafuegos
Zona Internet – Zona DMZ 1
Zona DMZ 1 – Zona Internet
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 17
Ejemplo de cortafuegos
Zona Red LAN – Zona DMZ 1.
Zona DMZ 1 – Red LAN
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 18
Ejemplo de cortafuegos
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 19
Ejemplo de cortafuegos
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 20
Ejemplo de cortafuegos
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 21
Ejemplo de cortafuegos
Video1 Autenticacion Wi-Fi, RADIUS
Video2 Conexion_VPN_paquetes
Video3 PING hacia Internet
Firewall para HTTP
Firewall para SMTP y POP3
Firewall para PING
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 22
Ejemplo de cortafuegos
Métodos utilizados para la denegación de acceso a los empleados y usuarios del Wi-Fi.
Si alguien de la red wifi solicita
[Link]
[Link], etc.
DNS asigna la IP [Link],
que corresponde a…
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 23
Ejemplo de cortafuegos
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 24
muchas
gracias
[Link]
Extra - Firewall
► Port Knocking: [Link]
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 26
