Firewalls como guardianes del tráfico

Un firewall es un dispositivo o software que controla qué tráfico puede entrar o salir de una red y actúa como una barrera de seguridad. Inspecciona los paquetes comparándolos con un conjunto de reglas y los permite o bloquea según corresponda. Los firewalls son fundamentales para la defensa de una red y se sitúan en límites como la conexión entre la red interna e internet para impedir la entrada de tráfico no deseado.

Un firewall aplica un conjunto de reglas (también llamado lista de control de acceso). Cada regla indica si se debe permitir o denegar el tráfico según criterios como las direcciones IP de origen y destino, el número de puerto y el protocolo. El firewall comprueba el tráfico en el orden de las reglas y actúa según la primera coincidencia. Esto permite a los administradores definir con precisión qué comunicaciones están permitidas.

Un principio fundamental de los firewalls es la denegación implícita: todo lo que no se permite explícitamente se bloquea de forma predeterminada. Por tanto, si ninguna regla permite un tipo concreto de tráfico, el firewall lo deniega. Esta postura de denegación predeterminada es mucho más segura que permitirlo todo y bloquear las excepciones, porque olvidar una regla provoca un fallo cerrado (seguro) en lugar de un fallo abierto (expuesto).

Los firewalls más sencillos realizan un filtrado de paquetes sin estado: juzgan cada paquete por separado a partir de campos de su cabecera, como la IP y el puerto, sin recordar el tráfico anterior. El filtrado sin estado es rápido, pero limitado, ya que no puede determinar si un paquete forma parte de una comunicación existente y legítima o si se trata de un intento no solicitado de entrar en la red.

Los firewalls más avanzados utilizan la inspección con estado y realizan un seguimiento del estado de las conexiones activas en una tabla. Cuando su ordenador inicia una comunicación, el firewall la recuerda y permite automáticamente las respuestas correspondientes, mientras bloquea el tráfico entrante no solicitado que no forma parte de una sesión conocida. Actualmente, los firewalls con estado son el estándar porque son más inteligentes y seguros que los que no tienen estado.

Un firewall de nueva generación (NGFW) va más allá e inspecciona el tráfico en la capa de aplicación. Puede identificar aplicaciones concretas, filtrar por usuario, bloquear malware e incluir funciones de prevención de intrusiones. Los NGFW no solo ven puertos y direcciones IP, sino que también identifican qué es realmente el tráfico, lo que permite un control detallado, como permitir la navegación web mientras se bloquea una aplicación peligrosa que utiliza el mismo puerto.

Los firewalls pueden ubicarse de dos formas:

• Firewall de red — protege toda una red en su perímetro, normalmente mediante un dispositivo específico.
• Firewall de host — es software instalado en un único dispositivo, como el firewall integrado en Windows o Linux.

Utilizar ambos proporciona una protección por capas: el firewall de red protege el perímetro, mientras que los firewalls de host protegen cada dispositivo individualmente.

Los firewalls se sitúan en límites de confianza, especialmente entre la red interna e internet. Un diseño habitual utiliza una DMZ (zona desmilitarizada), una red intermedia para servidores de acceso público, como los servidores web o de correo, separada de la LAN interna mediante reglas del firewall. De este modo, aunque un servidor público se vea comprometido, la red interna permanece protegida detrás de otra capa.

Los firewalls realizan muchas tareas de seguridad:

• Bloquear conexiones entrantes no solicitadas desde internet.
• Restringir el tráfico saliente a servicios aprobados.
• Segmentar las zonas internas entre sí.
• Registrar el tráfico para la supervisión y la respuesta a incidentes.

En conjunto, estos usos hacen que el firewall sea fundamental para aplicar la política de seguridad de una organización.

Los firewalls suelen combinarse con sistemas de detección. Un IDS (Intrusion Detection System) supervisa el tráfico y alerta sobre actividades sospechosas, pero no las bloquea. Un IPS (Intrusion Prevention System) se sitúa en línea y puede bloquear activamente las amenazas detectadas. El firewall aplica reglas de permiso y denegación, mientras que IDS/IPS buscan patrones de ataque dentro del tráfico permitido. Los NGFW modernos suelen incluir funciones de IPS, combinando la protección perimetral con el bloqueo de amenazas.

Para el examen, debe saber que un firewall permite o deniega el tráfico mediante reglas basadas en la IP, el puerto y el protocolo, aplica la denegación implícita y puede ser sin estado o con estado, mientras que los NGFW añaden conocimiento de las aplicaciones. Comprenda la diferencia entre los firewalls de red y de host, así como la función de una DMZ para los servidores públicos. El firewall es el guardián que controla qué tráfico puede cruzar un límite de red.

Compruebe sus conocimientos sobre firewalls.

Ha aprendido que un firewall permite o deniega el tráfico mediante un conjunto de reglas basadas en la IP, el puerto y el protocolo, y que la denegación implícita bloquea todo lo que no esté permitido. Los filtros sin estado juzgan cada paquete por separado; los firewalls con estado realizan un seguimiento de las conexiones y permiten las respuestas legítimas, por lo que son el estándar. Los NGFW añaden conocimiento de la capa de aplicación y prevención de intrusiones. Los firewalls pueden ser dispositivos de red o software de host, se sitúan en límites de confianza y utilizan una DMZ para aislar los servidores de acceso público.