Firewalls: filtrado de paquetes frente a next-gen

Un firewall es un dispositivo de seguridad de red (de hardware o software) que supervisa y controla el tráfico entrante y saliente según reglas predefinidas. Los firewalls se sitúan entre las redes internas de confianza y las redes externas que no son de confianza, y actúan como guardianes. Constituyen un control perimetral fundamental, pero los ataques modernos que utilizan canales cifrados o movimientos laterales dentro de zonas de confianza demuestran por qué los firewalls por sí solos no son suficientes y deben combinarse con otras capas de defensa.

Los firewalls de filtrado de paquetes (también llamados firewalls sin estado) inspeccionan cada paquete de forma aislada según los campos de su cabecera: IP de origen, IP de destino, puerto de origen, puerto de destino y protocolo. Aplican reglas sencillas de permitir o denegar llamadas ACLs (Access Control Lists). Como examinan cada paquete de manera independiente, no pueden determinar si un paquete forma parte de una sesión establecida, por lo que son vulnerables a ataques que falsifican valores esperados de la cabecera o explotan vulnerabilidades que requieren varios paquetes.

Los firewalls de inspección con estado mantienen una tabla de estados que registra las conexiones activas. Cuando llega un paquete, el firewall comprueba si pertenece a una sesión ya establecida. Esto permite que el tráfico de respuesta pase automáticamente sin reglas explícitas. Los firewalls con estado son mucho más seguros que los filtros de paquetes porque pueden detectar paquetes que no pertenecen a una sesión válida —como los paquetes ACK no solicitados utilizados en escaneos sigilosos— y aplicar políticas en el nivel de la conexión.

Los firewalls de próxima generación (NGFW) incorporan inspección profunda de paquetes y reconocimiento de aplicaciones, además del seguimiento con estado. Un NGFW puede identificar la aplicación que genera el tráfico —no solo el puerto— mediante el análisis de protocolos y el aprendizaje automático. Entre las funciones principales de los NGFW se incluyen el control de aplicaciones (bloquear Dropbox independientemente del puerto), la integración de identidades de usuario (reglas vinculadas a grupos de AD), el IPS integrado y la inspección de SSL/TLS. Algunos proveedores son Palo Alto Networks, Fortinet, Check Point y Cisco Firepower.

Las reglas de firewall se evalúan en orden descendente: gana la primera regla que coincide. Esto significa que las reglas más específicas deben aparecer antes que las más generales. Una regla denegar todo implícita al final bloquea cualquier tráfico que no esté permitido explícitamente. Entre los errores comunes se encuentran colocar una regla amplia de permiso antes de una denegación específica, el solapamiento de reglas (una regla que nunca coincide porque una regla anterior siempre coincide primero) y olvidar permitir el tráfico de respuesta o los mensajes de error ICMP de los que dependen las aplicaciones.

Un WAF (Web Application Firewall) opera en la capa 7 y está diseñado específicamente para proteger las aplicaciones web frente a ataques como la inyección SQL, XSS y CSRF. A diferencia de los NGFW, que protegen el tráfico de red de forma general, un WAF comprende la semántica de HTTP y HTTPS: inspecciona URL, cabeceras, cookies y cuerpos de las solicitudes. Los WAF pueden funcionar en modo de detección (registrar, pero no bloquear) o en modo de prevención (bloquear solicitudes maliciosas). AWS WAF, Cloudflare e Imperva son soluciones comerciales habituales.

Como actualmente la mayor parte del tráfico está cifrado con HTTPS, las amenazas pueden ocultarse dentro de las sesiones TLS. La inspección de SSL/TLS (también llamada interceptación o descifrado de SSL) permite que los NGFW actúen como un proxy de intermediario: el firewall termina la conexión TLS del cliente, inspecciona el texto sin cifrar y lo vuelve a cifrar hacia el destino. Esto permite analizar malware y aplicar DLP dentro de túneles cifrados. Los clientes deben confiar en el certificado del firewall, que normalmente se distribuye mediante la directiva de grupo a los dispositivos corporativos.

Los firewalls son más eficaces cuando se colocan en límites de confianza. Un diseño habitual sitúa un firewall perimetral entre Internet y la DMZ, y un firewall interno entre la DMZ y la red interna. Esto crea una subred filtrada en la que los servidores públicos (web y correo) están aislados; así, si se ven comprometidos, el atacante no puede acceder directamente a los sistemas internos. Los diseños modernos también colocan firewalls entre segmentos internos para limitar el movimiento lateral.

Un IDS (Intrusion Detection System) supervisa el tráfico y genera alertas cuando identifica patrones sospechosos, pero no bloquea el tráfico. Un IPS (Intrusion Prevention System) se sitúa en línea y puede descartar activamente paquetes maliciosos o restablecer conexiones en tiempo real. La mayoría de los NGFW modernos incluye un IPS integrado. Entre los métodos de detección se encuentran el basado en firmas (comparar patrones de ataque conocidos) y el basado en anomalías (detectar desviaciones respecto a una línea base aprendida).

Un dispositivo UTM (Unified Threat Management) consolida varias funciones de seguridad en un único dispositivo: firewall, IPS, antivirus, VPN, filtrado web y, en ocasiones, seguridad del correo electrónico. Los UTM son populares en pequeñas y medianas empresas porque simplifican la gestión y reducen los costes. La contrapartida es que un único dispositivo representa un único punto de fallo y puede no ofrecer el rendimiento o la profundidad de las soluciones especializadas. En los entornos empresariales, el término UTM ha sido sustituido en gran medida por NGFW.

El examen Security+ evalúa su capacidad para seleccionar el tipo de firewall adecuado para una situación determinada. El filtrado de paquetes es rápido, pero no tiene estado y se puede evadir con facilidad. La inspección con estado realiza un seguimiento de las sesiones y es la base de las redes modernas. El NGFW añade reconocimiento de aplicaciones, identidad de usuario e IPS integrado, por lo que es la opción adecuada para los perímetros empresariales. El WAF protege específicamente las aplicaciones web HTTP en la capa 7. Haga coincidir siempre el control con la amenaza: un WAF no detendrá un escaneo de puertos y un filtro de paquetes no detendrá una inyección SQL.

Compruebe sus conocimientos sobre los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha aprendido que los firewalls de filtrado de paquetes no tienen estado y evalúan cada paquete únicamente mediante los campos de su cabecera; que los firewalls con estado realizan un seguimiento del estado de las conexiones para permitir el tráfico de respuesta y detectar paquetes anómalos; y que los firewalls de próxima generación incorporan reconocimiento de aplicaciones, identidad de usuario e IPS integrado para una inspección más profunda. A continuación, exploraremos la segmentación de red y las VLAN.