Webmaster

Un cortafuegos no da la felicidad
:: Su función en la cadena de seguridad ::

Internet, su uso y los programas que lo componen están cambiando. Ya ningún webmaster puede sentirse seguro instalando sólo un firewall que aísle sus servidores del resto del mundo, así lo demuestran los nuevos tipos de ataque de moda, imparables ante un simple cortafuegos.

Hasta hace no mucho tiempo, un firewall era sinónimo de seguridad. Bloquear los puertos no usados de una máquina (función principal de los cortafuegos) suponía un aislamiento capaz de servir para la Internet aun minúscula y minoritaria. Pero las armas se sofistican y se hacen más potentes, virus, ataques CGI denegación de servicio... no sólo de puertos vive la máquina, y aunque muy necesarios, los cortafuegos deben estar respaldados por otras herramientas que aseguren todos los enlaces de la cadena de la seguridad. Hagamos un repaso a los puntos débiles de esta tecnología de bloqueo.

Hace sólo unos meses los cimientos de la Red se estremecían ante una intensísima ofensiva perpetrada contra el corazón de Internet, los principales servidores primarios de dominio se veían desbordados por un ataque de denegación de servicio. ¿Acaso ordenadores con una función tan valiosa no estaban suficientemente protegidos? Sí y no. Los ataques de denegación de servicio consisten en enviar peticiones TCP (el protocolo estrella en Internet) de forma masiva hasta saturar a la víctima, que intenta responder a los millones de peticiones por segundo (incluso con la propia negación de petición, si está programado para ello), hasta que acaba por ocupar todos sus recursos y deja de cumplir su función. Si el ataque está bien organizado, es casi imposible evitarlo, pues se unen literalmente miles de máquinas programadas para la embestida. Pocos programas pueden detener un ataque de este tipo.

Si la función de un cortafuegos es bloquear ciertos puertos "peligrosos", también lo es mantener los necesarios abiertos. El puerto 80 (normalmente el que aloja el protocolo HTTP) resulta una puerta ampliamente abierta para todo el que quiera entrar en nuestro servidor web y visitar nuestra página.
Hoy en día, las páginas sirven para algo más que mostrar texto o fotos estáticas, somos capaces de interactuar con ellas, mediante pequeños programas llamados CGI. Gracias a estas aplicaciones, se pueden actualizar los datos en tiempo real, personalizar los servicios según la entrada del usuario, tener un libro de visitas, un foro... en definitiva, facilitar la vida a todos nuestros visitantes. Desgraciadamente facilitar puede dar pie el abuso... Se podría decir, que un ataque a través del puerto 80 es como un pequeño hurto en un restaurante cualquiera. El ladrón entra por la puerta como cualquier otro cliente. Pero cuando nos damos cuenta, se aprovecha de un despiste y se ha llevado algún cubierto, se ha ido sin pagar, o, peor aún, ha entrado hasta la cocina.

Los ataques CGI no son detectables por los cortafuegos, que tiene el deber y la obligación de dejar pasar todo lo que vaya destinado al puerto 80 (HTTP), sea con el mensaje que sea. De ahí, que en los últimos años, con el mayor auge en la concienciación social con respecto a la seguridad, hayan proliferado tanto el uso de firewalls como los ataques por CGI. Es decir, en la medida que se evitan ataques de todo tipo con cortafuegos, aumenta el ingenio, los exploits y las vulnerabilidades capaces de romper un sistema vía CGI. En absoluto un cortaguegos garantiza la seguridad, pero en combinación con un buen detector de intrusos, la capacidad de actuación exitosa ante un ataque puede ser más que aceptable

Existe otro problema relacionado con los cortafuegos que pueden inutilizarlos. En cada servicio que se presta (web, correo, irc...) que necesariamente no bloquea el firewall, interviene un programa que atiende y entiende las conexiones remotas que le llegan. Desde el momento que en el que las aplicaciones están realizadas por programadores, interviene el factor humano, uno de los eslabones más débiles en la cadena de seguridad. Muchas veces estos servicios se encuentran mal configurados, o poseen bugs que los hacen vulnerables a exploits que circulan por Internet, al alcance de cualquier pirata con mínimos conocimientos de redes TCP. La inmensa mayoría de los ataques, son debidos a este tipo de vulnerabilidades. Afortunadamente, los programadores suelen ofrecer un rápido servicio de parcheo o nuevas versiones que consiste en publicar la solución a los problemas de seguridad a los pocos días de hacerse público el problema. Durante esos días, el riesgo se multiplica y se hace casi inevitable.

Casi toda persona que posee un ordenador conoce de la existencia los virus, programas diseñados para replicarse o provocar el caos del sistema. Seguro que hemos visto cientos de alertas últimamente sobre virus que se propagan por correo electrónico. Melissa, Love Letter, Klez, MiMail, Blaster... son solo unos pocos de virus de correo que han sido noticia. El correo es otro de los servicios a los que debe dar vía libre un firewall, y suele ser la puerta grande por donde les gusta entrar a los virus, ayudándose de las malas costumbres de los usuarios medios.

Si se quiere mantener un sistema libre de virus, un firewall no es la solución. Un programa antivirus a nivel de servidor y cliente es una elección obvia y básica. El servidor de correo debe comprobar los correos entrantes y salientes, y, de por sí, supone una solución más que aceptable. El antivirus en el cliente (cada estación de trabajo) eliminará la entrada de virus por otros medios (web, disquetes...) además de reforzar la acción del servidor de correo. Si ya se tiene uno, lo que se suele olvidar es la necesidad constante de puesta al día y de tenerlo absolutamente actualizado con la última información disponible.

Un firewall es una herramienta más en la cadena de la seguridad, no debe ser tomada como única, ni obviarla, forma parte de un todo, donde cada elemento tiene su función. Por eso, nadie debe conformarse sólo con ella, pues estaría invitando a los piratas a conocer más profundamente sus sistemas.

...por Sergio de los Santos

CONOCE MÁS REPORTAJES DEDICADOS AL WEBMASTER EXCLUSIVOS EN MUNDOINFORMÁTICA