Protección de los clientes contra los ataques a la red

Transcripción

1 Protección de los clientes contra los ataques a la red

2 La información incluida en este documento representa el punto de vista actual de Microsoft Corporation acerca de los temas tratados hasta la fecha de publicación. Dado que Microsoft debe responder a las condiciones siempre cambiantes de mercado, este proceder no se debería interpretar como un compromiso por parte de Microsoft. Asimismo, Microsoft no puede garantizar la precisión de la información presentada tras la fecha de publicación. La información que contiene este documento, incluidas las direcciones URL y otras referencias a sitios Web de Internet, está sujeta a modificaciones sin previo aviso. Este documento se proporciona con propósito informativo únicamente. MICROSOFT NO OTORGA GARANTÍAS EXPRESAS NI IMPLÍCITAS EN ESTE DOCUMENTO. A menos que se indique lo contrario, los nombres de las compañías, organizaciones, productos, nombres de dominio, direcciones de correo electrónico, logotipos, personas, lugares y acontecimientos aquí mencionados son ficticios y en modo alguno representan a compañías, organizaciones, productos, nombres de dominio, direcciones de correo electrónico, logotipos, personas, lugares o acontecimientos reales. Es responsabilidad del usuario el cumplimiento de todas las leyes de derechos de autor aplicables. Sin limitar los derechos de autor, ninguna parte de este documento puede ser reproducida, almacenada en sistemas de recuperación o transmitida de ninguna forma, ni por ningún medio, ya sea electrónico, mecánico, fotocopia o grabación, ni con ningún propósito, sin la previa autorización por escrito de Microsoft Corporation. Microsoft puede ser titular de patentes, solicitudes de patentes, marcas, derechos de autor y otros derechos de propiedad intelectual sobre los contenidos de este documento. El suministro de este documento no le otorga ninguna licencia sobre estas patentes, marcas, derechos de autor u otros derechos de propiedad intelectual, a menos que ello se prevea en un contrato por escrito de licencia de Microsoft Microsoft Corporation. Reservados todos los derechos. Microsoft, Windows, Active Directory, Outlook, Visual Basic, Windows NT y Windows Server 2003 son marcas registradas o marcas comerciales de Microsoft Corporation en EE.UU. y otros países. Los nombres de las compañías y productos reales mencionados en este documento pueden ser marcas comerciales de sus respectivos propietarios. 2

3 3 Protección de los clientes contra los ataques a la red Contenido Introducción Antes de comenzar Selección de los equipos que se van a proteger Identificación de los puertos que deben permanecer abiertos Habilitación de ICF Apertura de puertos Habilitación del registro de seguridad Información relacionada Introducción Los atacantes o usuarios malintencionados crean gusanos y virus que pueden revelar y destruir datos valiosos. De igual forma, ejecutan herramientas que intentan introducirse en el equipo. Para lograrlo, estas herramientas, virus y gusanos envían mensajes al equipo cliente dirigidos a los puertos que utilizan diferentes programas para recibir mensajes legítimos. Si el código malintencionado consigue establecer contacto con un puerto concreto, podría obtener la entrada al equipo. Para limitar esta amenaza de seguridad, puede habilitar un software de servidor de seguridad, que bloqueará todos los puertos excepto aquellos que desee mantener abiertos. El Servidor de seguridad de conexión a Internet (ICF) es un software de servidor de seguridad incluido con Microsoft Windows XP. En los pasos especificados en este documento se describe cómo: 1. Decidir los equipos que se van a proteger. 2. Identificar los puertos que deben permanecer abiertos. 3. Habilitar ICF. 4. Abrir puertos adicionales si fuera necesario. 5. Habilitar el registro de seguridad si fuera necesario. Si sigue los pasos indicados en este documento, podrá habilitar y configurar ICF en el sistema. A partir de entonces, se ejecutará ICF, lo que permitirá evitar que el equipo responda a los mensajes no solicitados que utiliza el código malintencionado para distribuirse y dañar sistemas y datos. IMPORTANTE: todas las instrucciones paso a paso incluidas en este documento se han elaborado utilizando el menú Inicio que aparece de forma predeterminada una vez instalado el sistema operativo. Si ha modificado dicho menú, puede que los pasos varíen un poco. Antes de comenzar En esta sección se explican las acciones necesarias antes de habilitar ICF: Comprobación del sistema operativo y los Service Pack Descripción de los puertos de aplicaciones

4 4 Protección de los clientes contra los ataques a la red Prueba de ICF en los clientes antes de su implantación Solución de problemas Comprobación del sistema operativo y los Service Pack Las recomendaciones que aparecen en este documento hacen referencia principalmente a sistemas con Windows XP Professional con Service Pack 1 (SP1) o SP1(a). Si no tiene instalado SP1 o SP1a en un equipo concreto, o bien desconoce si está instalado, vaya a la página Windows Update del sitio Web de Microsoft en y permita que Windows Update obtenga las actualizaciones disponibles para su equipo. Si Service Pack 1 aparece como actualización disponible, instálelo antes de realizar los procedimientos descritos en este documento. En este documento no se incluye la amplia variedad de necesidades y configuraciones que pueden ser necesarias para una gran empresa. Además, puede que no se traten todas las necesidades de seguridad concretas de algunas organizaciones. La mayoría de las tareas incluidas en esta guía también pueden aplicarse a equipos con Microsoft Windows Server 2003, aunque la habilitación de ICF en un servidor implica, por lo general, una mayor investigación y solución de problemas, cuestión que queda fuera del ámbito de este documento. Las versiones de Windows anteriores a Windows XP no incluyen ICF. Para proteger estos sistemas, puede utilizar servidores de seguridad de hardware o software. Para obtener más información acerca de servidores de seguridad de software de otras compañías, servidores de seguridad de hardware y enrutadores de red, así como para obtener más información acerca de la selección de un servidor de seguridad para su equipo, consulte Install a firewall to help protect your computer" en el sitio Web de Microsoft en Descripción de los puertos de aplicaciones Un puerto es un punto de conexión que utiliza un programa para comunicarse con otros programas, especialmente con programas que se ejecutan en otros equipos. Cada puerto se identifica por la combinación de un transporte y un número. El transporte puede ser un Protocolo de control de transmisión (TCP) o un Protocolo de datagramas de usuario (UDP). Existen puertos específicos asociados a un tipo de aplicación o servicio. Por ejemplo, el puerto estándar para un servidor Web es el puerto TCP 80, el puerto estándar para un servidor de Protocolo de transferencia de archivos (FTP) es el puerto TCP 21 y el servicio de Windows Server que permite compartir archivos e impresión recibe los mensajes en cuatro puertos: los puertos UDP 137 y 138, y los puertos TCP 139 y 445. Si habilita ICF, se bloquean de forma predeterminada todos los puertos para que no puedan recibir mensajes entrantes no solicitados. De esta forma se protege el equipo, ya que se bloquean los mensajes utilizados normalmente por los códigos malintencionados para obtener acceso al equipo. ICF no interfiere con la mayoría del software comercial legítimo, ya que, como regla general, este tipo de software no envía mensajes no solicitados a los clientes. Sin embargo, existen excepciones a esta regla, y si ICF evita una comunicación legítima, puede configurarlo para que abra los puertos que utiliza el software legítimo. La mayoría de los servicios utilizan uno o varios puertos concretos, pero algunos servicios y bastantes aplicaciones eligen también uno o varios puertos de forma aleatoria entre un intervalo que varía según la aplicación. Si se configura la aplicación para que notifique a ICF los puertos que selecciona, no habrá ningún problema para que funcione con ICF. De lo contrario, deberá ejecutar la aplicación o ICF, pero no ambos. Se pueden abrir todos los puertos del intervalo de la aplicación, pero este procedimiento no resulta práctico a menos que el intervalo contenga un pequeño número de puertos. Aunque sea fácil, no se trata de una decisión adecuada, ya que al aumentar el intervalo de puertos abiertos disminuye la seguridad el equipo.

5 5 Protección de los clientes contra los ataques a la red Prueba de ICF en los clientes antes de su implantación Es importante probar ICF con las aplicaciones normales del entorno de red antes de habilitarlo en todos los equipos cliente. ICF se habilita independientemente en cada equipo cliente y, si necesita configurarlo, deberá hacerlo por separado en cada uno de los equipos cliente. Si no prueba ICF antes de habilitarlo en 50 equipos cliente y surge un problema que afecta a todos ellos, la única solución será volver a configurar cada uno de los equipos de manera individual. Solución de problemas ICF se ejecuta normalmente en los equipos cliente sin interferir con el software comercial, pero si se produce un conflicto la solución del problema puede ser complicada, ya que, a menudo, el problema y la solución dependen de la combinación de software instalado en el cliente. Por ello, la solución de problemas queda fuera del ámbito de este documento. Si desea obtener más información acerca de la solución de problemas de ICF, consulte Troubleshooting Internet Connection Firewall on Microsoft Windows XP en el sitio Web de Microsoft en Selección de los equipos que se van a proteger Se recomienda que habilite ICF en todos los equipos cliente, incluidos los equipos de escritorio que se conectan exclusivamente a la red de la organización. La mayoría de las redes empresariales incluyen servidores de seguridad de hardware o software que filtran todas las conexiones entre la red e Internet, por lo que, en este caso, puede parecer redundante habilitar servidores de seguridad en los clientes de la red. Sin embargo, el código malintencionado puede omitir el servidor de seguridad de la red si consigue infectar un equipo móvil que no está protegido y que se conecta directamente a Internet y, posteriormente, a la red de la organización. Si habilita ICF en los equipos cliente, puede limitar la capacidad del código malintencionado para extenderse por la red y dañar los sistemas. Los clientes con un mayor riesgo de sufrir un ataque son aquéllos que se conectan directamente a Internet, en especial los dispositivos móviles como, por ejemplo, los equipos portátiles. Si decide proteger únicamente un subconjunto de los equipos cliente, es recomendable que proteja los dispositivos móviles. Considere la habilitación de ICF en los equipos de servidor, pero tenga en cuenta las complicaciones siguientes: Es más probable que los servidores de seguridad interfieran con el software de servidor que con el software de cliente, ya que el propósito del software de servidor es recibir mensajes entrantes no solicitados. Si el servidor de seguridad interfiere con el software de servidor, los problemas resultantes pueden ser más difíciles de solucionar. Todos los conflictos que se produzcan entre el servidor de seguridad y el software de servidor pueden afectar a un gran número de clientes. Un ejemplo de conflicto entre el servidor de seguridad y el software de servidor es una aplicación que requiera un puerto que esté bloqueado por el servidor de seguridad, tal como se describe posteriormente en este documento. Identificación de los puertos que deben permanecer abiertos Para reducir la posibilidad de que ICF interfiera con el software legítimo, identifique los puertos que deben permanecer abiertos antes de habilitar ICF. Los programas que, por lo general, requieren acceso a los puertos aparecen enumerados en la interfaz de usuario de ICF, donde puede seleccionarlos por el nombre sin necesidad de buscar los puertos que utiliza cada uno de ellos:

6 6 Protección de los clientes contra los ataques a la red Servidor de FTP Servidores de correo electrónico que utilizan IMAP3, IMAP4, SMTP o POP3 Escritorio remoto Servidores Web estándar o seguros Servidor Telnet Otros programas comunes que requieren puertos abiertos son: Software para compartir archivos o música a través de Internet. Juegos con varios jugadores. Software comercial que depende del servidor para notificar al cliente cuando se produce un evento. Los servidores de correo electrónico notifican normalmente a los clientes cuando llega un nuevo correo electrónico; para ello, algunos servidores de correo electrónico envían un mensaje al cliente. Los servidores de base de datos pueden notificar a los clientes cuando se produce un cambio concreto en los campos de la base de datos. Funciones y aplicaciones de conexión entre iguales (P2P) que permiten que un equipo cliente actúe como servidor. Un equipo con Windows XP puede compartir archivos e impresoras con otros clientes, por lo que el equipo debe recibir mensajes entrantes. Los clientes de mensajería instantánea pueden enviarse archivos entre sí, para lo que es necesario enviar un mensaje no solicitado. Muchos de estos programas, y los puertos que utilizan, aparecen enumerados en los siguientes recursos: Referencia: Puertos de red utilizados por productos clave del servidor de Microsoft en el Kit de orientaciones sobre seguridad : Services that run on Windows Server 2003 en el sitio Web de Microsoft en "How to Open Ports in the Windows XP Internet Connection Firewall" en el sitio Web de Microsoft en "Application Media-Types" en el sitio Web de Internet Assigned Numbers Authority en Si la información que aparece en estos artículos no indica los puertos que necesita abrir, póngase en contacto con el fabricante. Habilitación de ICF Realice el siguiente procedimiento para habilitar ICF en los equipos cliente con Windows XP SP1 instalado. Nota: las pantallas que aparecen en este documento forman parte de un entorno de prueba y la información que se muestra puede ser diferente a la de su equipo.

7 7 Protección de los clientes contra los ataques a la red Requisitos Credenciales: debe iniciar sesión como miembro del grupo de administradores locales. Herramientas: Panel de control. Para habilitar ICF 1. Haga clic en Inicio y, a continuación, en Panel de control. 2. Haga clic en Conexiones de red e Internet. Nota: Si no se muestra Conexiones de red e Internet, haga clic en Cambiar a Vista por categorías. 3. Haga clic en Conexiones de red.

8 8 Protección de los clientes contra los ataques a la red 4. Resalte la conexión que desee proteger y, a continuación, haga clic en Cambiar la configuración de esta conexión. 5. Haga clic en la ficha Avanzadas y seleccione Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet. El nombre de esta configuración menciona específicamente Internet, pero también limita o evita el acceso desde otros equipos que se encuentran en la intranet de la organización.

9 9 Protección de los clientes contra los ataques a la red 6. Haga clic en Aceptar. Apertura de puertos Después de habilitar ICF, puede realizar el siguiente procedimiento para abrir los puertos utilizados por software legítimo. Debe conocer el transporte (UDP o TCP) y el número del puerto que desea abrir. Para obtener esta información realice la tarea "Identificación de los puertos que deben permanecer abiertos" que aparece anteriormente en este documento. Requisitos Credenciales: debe iniciar sesión como miembro del grupo de administradores locales. Herramientas: Panel de control. Para abrir un puerto 1. Repita los pasos del 1 al 4 del procedimiento anterior. 2. Haga clic en la ficha Avanzadas y, a continuación, haga clic en Configuración.

10 10 Protección de los clientes contra los ataques a la red 3. Se mostrará el cuadro de diálogo Configuración avanzada. Haga clic en la ficha Servicios para ver una lista de los servicios comunes. Si necesita abrir puertos para habilitar uno o varios de estos servicios, selecciónelos. Si éstos son los únicos servicios para los que necesita abrir puertos, haga clic en Aceptar y omita los demás pasos de la tarea.

11 11 Protección de los clientes contra los ataques a la red Si necesita abrir puertos para otras aplicaciones o servicios, en la ficha Servicios, haga clic en Agregar. 4. Se mostrará el diálogo Configuración del servicio. En Descripción del servicio, escriba un nombre para poder identificar el puerto que desea abrir. Por ejemplo: Transferencia de archivos de Windows Messenger. Escriba un nombre que le permita recordar el servicio y el puerto. Puede utilizar cualquier nombre. El nombre no afecta a la funcionalidad, se trata únicamente de una ayuda para poder recordar el servicio. 5. El valor correcto de Nombre o dirección IP del equipo que sirve de host a este servicio en la red depende de si el programa que requiere el puerto abierto se ejecuta en este u otro equipo: Si el programa se ejecuta en este equipo, escriba el nombre del mismo. Si desconoce el nombre, escriba Si el equipo que ejecuta ICF dispone de conexión a Internet, que comparte con otros equipos mediante la opción Conexión compartida a Internet, y el programa que requiere el puerto abierto se ejecuta en alguno de los otros equipos, escriba la dirección IP de ese equipo. 6. En Número de puerto externo para este servicio y Número de puerto interno para este servicio, escriba el número de puerto (el mismo número en ambos cuadros). 7. Haga clic en TCP o UDP, según sea necesario y, a continuación, haga clic en Aceptar. 8. Repita los pasos del 3 al 7 con cada puerto que desee abrir. Habilitación del registro de seguridad Después de habilitar ICF, puede activar el registro de seguridad para registrar información acerca de los mensajes entrantes que gestiona ICF. Esta información puede servir de ayuda a un especialista de ICF para solucionar problemas de ICF o analizar los ataques realizados contra el equipo. Requisitos Credenciales: Debe iniciar sesión como miembro del grupo de administradores locales. Herramientas: Panel de control. Para habilitar el registro de seguridad

12 12 Protección de los clientes contra los ataques a la red 1. Repita los pasos del 1 al 4 del apartado "Habilitación de ICF" que aparece con anterioridad en esta guía. 2. Haga clic en la ficha Avanzadas y, a continuación, haga clic en Configuración. 3. Haga clic en la ficha Registro de seguridad. 4. En Opciones de registro, seleccione una o ambas de las siguientes acciones: Para habilitar el registro de los intentos de conexión entrantes fallidos, active la casilla de verificación Registro de paquetes perdidos. Para habilitar el registro de las conexiones salientes satisfactorias, active la casilla de verificación Registrar conexiones correctas. 5. Cambie los valores de Opciones de archivo de registro, si así lo solicita un especialista de ICF. De lo contrario, acepte los valores predeterminados. 6. Haga clic en Aceptar y, a continuación, haga clic de nuevo en Aceptar. Información relacionada Si desea obtener más información acerca de la apertura de puertos, consulte: "Referencia: Puertos de red utilizados por productos clave del servidor de Microsoft" en el Kit de orientaciones sobre seguridad. "How to Open Ports in the Windows XP Internet Connection Firewall" en el sitio Web de Microsoft en Si desea obtener información general adicional acerca de los servidores de seguridad, consulte:

13 13 Protección de los clientes contra los ataques a la red "Install a firewall to help protect your computer" en el sitio Web de Microsoft en "Internet Connection Firewall Feature Overview" en el sitio Web de Microsoft en artículo contiene vínculos a algunas páginas que sólo están disponibles en inglés.)