Seguridad en Redes y Análisis Inteligente de Amenazas
Master Universitario en Ciberseguridad
Dr. Luis Julián Domínguez Pérez
Tema 3:
Arquitectura de seguridad en redes
Universidad Internacional de La
Rioja
Semana 4
Tema 3 - 1
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 2
Topologías de defensa
►
Tarea compleja y delicada.
►
Requiere de planificación y establecimiento de políticas,
procedimientos, controles y responsables.
►
Arquitecturas:
►
Simples:
►
Control se sitúa entre la red interna y la red insegura
(Internet)
►
Defensa en profundidad
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 3
DMZ
• El término zona desmilitarizada es tomado de la franja de terreno
neutral que separa a los países inmersos en un conflicto bélico. Es
una reminiscencia de la Guerra de Corea, aún vigente y en tregua
desde 1953. Paradójicamente, a pesar de que esta zona
desmilitarizada es terreno neutral, es una de las más peligrosas del
planeta, y por ello da nombre al sistema DMZ.
• Una DMZ es una red que se ubica entre la red interna de una
organización y una red externa, generalmente Internet. El objetivo
de una DMZ es que las conexiones desde la red interna y la externa
a la DMZ estén permitidas, mientras que las conexiones desde la
DMZ sólo se permitan a la red externa.
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 4
Arquitectura Simple
Los usuarios han de configurar
su cliente web con el proxy
147.156.1.18 que sólo él puede
realizar conexiones al exterior permit tcp host 147.156.1.18 any eq
por el puerto 80. Esto no afecta a www
los accesos a servidores web deny tcp 147.156.0.0 0.0.255.255 any eq
internos desde el exterior www
Servidor WEB
Usuario 1 Usuario 2 Usuario 3 Usuario 4 Usuario 5
147.156.1.18
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 5
Multi-Homed Host con DMZ
Accesibles desde Internet
Solo a conexiones establecidas
¿Mejora?: atacan servidores, pero entran en la red
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 6
Defensa en profundidad
FW1 y FW2 deben ser diferentes
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 7
Defensa en profundidad: Alta disponibilidad
No aporta seguridad, si comodidad
Contrato dos accesos
¿FW1 y FW2 deben ser diferentes?
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 8
Defensa en profundidad
¿FW1 y FW2 deben ser diferentes?... si
FW1 de estado: + barato, + rápido + eficiente
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 9
Defensa en profundidad
…debería estar segmentado
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 10
Defensa en profundidad
SERVIDORES
EQUIPOS
…mejor
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 11
Conclusiones
►
La aplicación no es trivial
►
No es una tarea imposible, pero si delicada
►
Debe fundamentarse en:
►
Una política de seguridad definida por la corporación (PCN)
►
Determinar los responsables y beneficiarios de los servicios
►
Ubicación del cortafuegos
►
Control y mantenimiento del funcionamiento
PCN (Solo recordar)
Fase I. Fase II. Fase III. Fase IV.
Detectar Proteger Recuperar
y y y Análisis
comunicar sostener posterio
restablece r
r incident
e
T3 - Seguridad en Redes y Análisis Inteligente de Amenazas 12
muchas
gracias
www.unir.net
