Implantación de técnicas de seguridad remoto

Transcripción

1 2013 Implantación de técnicas de seguridad remoto Adrián de la Torre López adriandelatorsad.wordpress.com 30/02/2013

2 Router DLINK Para poder realizar la configuración del firewall nos tenemos que situar en "Advanced" y después "Firewall". A continuación crearemos una acl para ver como se realiza y después pulsaremos apply. 30/01/2013 Página 2

3 Router LINKSYS Para poder realizar la configuración del firewall nos tenemos que situar en "Security" y después "Firewall". Podemos bloquear las dirección anónimas, filtrar todas las direcciones multicast para que no conteste y filtrar el puerto 113. Router TP - LINK Nos tenemos que situar en "Security" y después "Basic Security" donde podemos ver que esta la opción de Firewall y que esta habilitada. 30/01/2013 Página 3

4 2.ACL (CISCO) Uso de ACL estándar: 1) Elige el router adecuado para que los paquetes del PC1 no sean transmitido por la red 10.XX.0.0. Comprobar que si se permite los paquetes enviados por el PC2. en fa0/0 access-list 1 deny host access-list 1 permit any RNORTE(CONFIG-IF) ip access-group 1 in 2) Configurar en la red 192.XX.0.0/24 un filtro anti-spoofing para que no sea enviado ningún paquete por la red 10.XX.0.0 que no coincida con su dirección de origen. Realizarlo también para la red 196.XX.0.20 RNORTE En router fa0/0 access-list 1 permit host access-list 1 permit host access-list 1 permit host access-list 1 any any RNORTE(CONFIG-IF) ip access-group 1 in RSUR En router fa0/0 access-list 2 permit host access-list 2 permit host access-list 2 permit host access-list 2 any any RSUR(CONFIG-IF) ip access-group 2 in 30/01/2013 Página 4

5 3) Borrar las ACLs definidas anteriormente. RNORTE(conf t)no access-list 1 RSUR(conf t)no access-list 2 Uso de ACL COMPLEJAS 4) Permitir que el equipo PC3 pueda utilizar el servidor HTTP de SERVNORTE y no pueda utilizar el resto de servicios de dicho servidor. RNORTE fa0/0 access-list 101 permit tcp host eq 80 access-list 101 deny tcp eq 25 access-list 101 deny tcp eq 53 access-list 101 permit ip any any RNORTE(CONFIG-IF) ip access-group 101 out 5) Permitir que el equipo PC1 pueda utilizar el servidor FTP de SERVSUR y el PC2 no pueda utilizarlo dicho servicio. RSUR fa0/0 access-list 102 permit tcp host eq 20 access-list 102 permit tcp host eq 21 access-list 102 deny tcp eq 20 access-list 102 deny tcp eq 21 access-list 102 permit ip any any RSUR(CONFIG-IF) ip access-group 102 out 6) No permitir que el PC2 pueda comunicarse con el PC4. RSUR fa0/0 access-list 103 deny ip access-list 103 permit any any RSUR(CONFIG-IF) ip access-group 103 out 7) Borrar las ACLs anteriores. RNORTE(conf t)no access-list 101 RSUR(conf t)no access-list 102 RSUR(conf t)no access-list /01/2013 Página 5

6 8) No permitir que los ordenadores de la red 192.XX.0.0 se comuniquen con los ordenadores de la red 196.XX.0.0 RSUR fa0/0 access-list 104 deny ip access-list 104 permit ip any any RSUR(CONFIG-IF) ip access-group 104 out 9) Borrar las ACL definidas anteriormente. RSUR(conf t)no access-list ) Impedir cualquier tráfico ICMP entrante excepto el Destino Unreachable y el Echo Reply en el router RNORTE. RNORTE serial0/0 access-list 105 permit ICMP any any echo reply access-list 105 permit ICMP any any destino unreachable access-list 105 deny ICMP any any access-list 105 permit any any RSUR(CONFIG-IF) ip access-group 105 out 30/01/2013 Página 6

7 En el interfaz que va hacia la DMZ ponemos: Ip Access-group 100 out Ip Access-group 100 in En el interfaz que hacia internet: Ip Access-group 101 out Ahora la red interna no podra accede a la dmz por lo tanto Access- list 101 deny ip any La red externa si podra accede: Access- list 102 permit ip any Instalar y configura el cortafuegos Kerio Winroute Firewall Realizar la instalacion de el firewall. 30/01/2013 Página 7

8 30/01/2013 Página 8

9 Una vez instalado ejecutamos el programa y nos pedirá una contraseña y usuario que pusimos durante la instalación. 30/01/2013 Página 9

10 Podemos seguir el asistente de configuración cuando arrancas el programa. 30/01/2013 Página 10

11 Elegimos los servicios que unicamente queremos que funcionen. 30/01/2013 Página 11

12 Podemos crear unas reglas si utilizamos un servidor VPN. En mi caso no seleccionamos los checkbox porque no lo vamos a usar. Si tuviéramos algún servidor dentro de la LAN lo añadiríamos. 30/01/2013 Página 12

13 En la pestaña de la izquierda podemos configurar cualquier opcion del programa. 30/01/2013 Página 13

14 Por ejemplo si pulsamos en interfaces podemos ver lo siguiente: 30/01/2013 Página 14

15 En política de seguridad podemos añadir nuevas reglas denegando o permitiendo servicios o direcciones IPs. Elabora un pequeño documento sobre Microsoft ForeFront y su funcionalidad en la empresa: Microsoft Forefront Threat Management Gateway (Forefront TMG), anteriormente conocido como Microsoft Internet Security and Acceleration Server (ISA Server), es una seguridad de red y solución de protección demicrosoft Windows, descrita por Microsoft como " permite a las empresas, al permitir a los empleados a utilizar de manera segura y productiva Internet para los negocios sin la preocupación de malware y otras amenazas ". Microsoft Forefront TMG ofrece un conjunto de características que incluyen: 1) De enrutamiento y acceso remoto: Microsoft Forefront TMG puede actuar como un enrutador, un Internet Gateway, una red privada virtual (VPN), una traducción de dirección de red del servidor (NAT) y un servidor proxy. 2) Las características de seguridad: Microsoft Forefront TMG es un servidor de seguridad que puede inspeccionar el tráfico de red (incluyendo contenidos de la web, los contenidos web seguras y correos electrónicos) y filtrar el malware, los intentos de aprovechar la seguridad vulnerabilidades y contenidos que no responden a una política de seguridad predefinida. En sentido técnico, Microsoft Forefront TMG ofrece la protección de la capa de aplicaciones, filtrado de estado, filtrado de contenidos y protección anti-malware. 3) Características de rendimiento de la red: Microsoft Forefront TMG también puede mejorar el rendimiento de la red: Se puede comprimir el tráfico de Internet para mejorar la velocidad de comunicación. También ofrece el almacenamiento en caché Web : Se puede almacenar en caché 30/01/2013 Página 15

16 de acceso frecuente contenidos de la web para que los usuarios pueden acceder a ellos más rápido de la memoria caché de la red local. Microsoft Forefront TMG 2010 también puede almacenar en caché los datos recibidos a través de Servicio de transferencia inteligente en segundo plano, tales como actualizaciones de software publicadas en Microsoft Update Funcionalidades y ventajas Todos ellos ofrecen una serie de funcionalidades y ventajas sobre los productos actuales de la competencia que podemos resumir en: Protección para sistemas operativos Forefront ayuda a proteger los sistemas operativos de clientes y servidores. Ofrece detección en tiempo real, programado o a demanda así como eliminación de virus, spyware, rootkits y otras amenazas emergentes. Protección de aplicaciones de servidores críticas Forefront ayuda a proteger los servidores de aplicaciones Microsoft a través de una estrategia de defensa en profundidad. ISA 2006 ofrece un sólido control de acceso e inspección de datos específicos de protocolo y de aplicaciones. Acceso seguro y controlado Forefront ofrece una amplia gama de tecnologías de firewall, VPN y encriptación, así como funcionalidades de administración de identidades que ayudan a asegurar que sólo los usuarios autorizados tengan acceso a los datos y recursos de TI especificados. Protección de datos confidenciales Los productos Forefront resguardan los datos confidenciales y protegen la propiedad intelectual. ISA 2006 proporciona una combinación de filtros específicos para cada aplicación en toda la red, como también tecnologías que garantizan la confidencialidad y autenticidad de los datos valiosos para su empresa. Integración desde el diseño Los productos Forefront ofrecen múltiples niveles de integración, de modo que se pueda lograr una mayor eficiencia y control en términos de seguridad de la red. Integración con aplicaciones Los productos anti-malware y de seguridad de acceso Microsoft Forefront están especialmente diseñados para proteger e integrarse con aplicaciones de servidores de misión crítica tales como Exchange, Outlook Web Access y SharePoint. Integración con la infraestructura informática Esta infraestructura unificadora permite administrar sin inconvenientes la implementación, distribución, configuración y aplicación de los productos de seguridad, y permite hacerlo con un nivel de control detallado y minucioso. Integración en Forefront Los productos Forefront están diseñados para poder operar juntos, de modo que se puedan aprovechar sus funcionalidades y lograr una mayor cobertura de seguridad. Administración simplificada y centralizada Los productos Microsoft Forefront están diseñados de forma tal que permiten simplificar la implementación, configuración, administración, generación de informes y análisis. De esta forma, su empresa tiene mayor confiabilidad en cuanto a una excelente protección. 30/01/2013 Página 16

17 Implementación simplificada Los utilitarios como ISA Server Best Practices Analyzer Tool y los asistentes de configuración ayudan a establecer una base sólida para una instalación de seguridad contundente. La integración de Forefront con Active Directory y los sistemas de actualizaciones como Systems Management Server proporcionan los cimientos comunes para la administración de configuraciones y cambios. Tanto los usuarios como los administradores se benefician con la distribución centralizada de configuraciones y políticas actualizadas así como de actualizaciones de sistemas operativos o antivirus para clientes y servidores. Unificación de generación de informes y análisis Forefront centraliza la recopilación y el análisis de la información de administración de seguridad, dado que toda la información de seguridad se almacena en un único repositorio SQL Server, que puede utilizar los servicios de generación de informes y análisis (SQL Server Reporting and Análisis Services) para identificar e interpretar los eventos de seguridad. Administración simplificada La administración y la generación de informes de seguridad están centralizadas en Forefront. Sus componentes se integran plenamente con los sistemas de administración existentes, incluyendo Microsoft Operations Manager, Microsoft Systems Management Server y Windows Server Update Services. Las consolas de administración integradas de Forefront ofrecen las conocidas interfaces de Microsoft y son, además, fáciles de utilizar; por otra parte, reducen el tiempo de capacitación necesaria y ayudan a controlar los costes. Énfasis en la capacidad de "aseguramiento" Al concentrar gran parte de sus esfuerzos en los aspectos relacionados con la integración y la administración de la seguridad el "aseguramiento" de la infraestructura-, Forefront ayuda a su empresa a: - Centralizar la administración de la seguridad. - Evitar los errores en la configuración. - Implementar la seguridad en toda la red. - Obtener una visión unificada de la seguridad de la red. 30/01/2013 Página 17

18 b) Distribuciones libres para implementar cortafuegos en máquinas dedicadas. Instalación y configuración del cortafuegos Firewall Zentyal. En zentyal podemos ver los modulos que tiene y a la izquierda se puede observar que esta cortafuegos y con dos formas de filtrar. Si pulsamos la opción de filtrado por paquetes tenemos las siguientes opciones. 30/01/2013 Página 18

19 Probaremos a denegar algún servicio como puede ser el de HTTP. Para ello pulsamos en reglas de filtrado desde las redes internas. Pulsamos añadir una nueva regla, la configuramos y guardamos: 30/01/2013 Página 19

20 Instalación y configuración del cortafuegos Firewall IpCop. Elabora un breve informe sobre los cortafuegos hardware Cisco PIX (Private Internet Exchange) y la tecnología ASA de Cisco Un cortafuegos fiable es el rasgo distintivo de una red altamente protegida. Las redes ofrecen soporte para aplicaciones y procesos sensibles y fundamentales, y proporcionan una infraestructura común para los servicios convergentes de datos, voz y vídeo. Cisco integra la seguridad de cortafuegos en toda la red, e incorpora los servicios de seguridad en todos sus productos, en lugar de ofrecer productos puntuales que establecen un nivel de seguridad básico PIX es el acrónimo de Private Internet EXchange. Esta sigla es utilizada por el fabricante tecnológico Cisco, para referirse a sus modelos de equipos (FireWalls). Se trata de un firewall completamente hardware: a diferencia de otros sistemas cortafuegos, PIX no se ejecuta en una máquina Unix, sino que incluye un sistema operativo empotrado denominado Finesse que desde espacio de usuario se asemeja más a un router que a un sistema Unix clásico. El cortafuegos PIX utiliza un algoritmo de protección denominado Adaptive Security Algorithm (ASA): a cualquier paquete inbound (generalmente, los provenientes de redes externas que tienen como origen una red protegida) se le aplica este algoritmo antes de dejarles atravesar el firewall, aparte de realizar comprobaciones contra la información de estado de la conexión (PIX es stateful) en memoria; para ello, a cada interfaz del firewall se le asigna un nivel de seguridad comprendido entre 0 (la interfaz menos segura, externa) y 100 (la más segura, interna). La filosofía de funcionamiento del Adaptive Security Algorithm se basa en estas reglas: Ningún paquete puede atravesar el cortafuegos sin tener conexión y estado. Cualquier conexión cuyo origen tiene un nivel de seguridad mayor que el destino (outbound) es permitida si no se prohíbe explícitamente mediante listas de acceso. Cualquier conexión que tiene como origen una interfaz o red de menor seguridad que su destino (inbound) es denegada, si no se permite explícitamente mediante listas de acceso. Los paquetes ICMP son detenidos a no ser que se habilite su tráfico explícitamente. Cualquier intento de violación de las reglas anteriores es detenido, y un mensaje de alerta es enviado a syslog. Cuando a una interfaz del cortafuegos llega un paquete proveniente de una red con menor nivel de seguridad que su destino, el firewall le aplica el adaptive security algorithm para verificar que se trata de una trama válida, y en caso de que lo sea comprobar si del host origen se ha establecido una conexión con anterioridad; si no había una conexión previa, el 30/01/2013 Página 20

21 firewall PIX crea una nueva entrada en su tabla de estados en la que se incluyen los datos necesarios para identificar a la conexión. El cortafuegos PIX puede resultar muy complejo de gestionar, especialmente a los que provienen del mundo Unix, ya que como hemos dicho se asemeja más a un router que a un servidor con cualquier flavour de Unix; es por tanto recomendable consultar bibliografía adicional antes de trabajar con estos equipos. Los Dispositivos de Seguridad Adaptativos de Cisco ASA Serie 5500 ofrecen unaseguridad de última generación con la flexibilidad necesaria para satisfacer lasnecesidades de su compañía a medida que ésta crece y cambia. En las redes de ordenadores, Cisco ASA 5500 Series Adaptive Security Appliances, o simplemente serie Cisco ASA 5500, existen tres líneas de los populares productos de Cisco: Cisco PIX, que proporciona firewall y Network Address Translation (NAT funciones). Cisco IPS 4200 Series, que trabajó como sistemas de prevención de intrusiones (IPS). Cisco VPN 3000 Series concentradores, que preveía la creación de redes privadas virtuales (VPN). 30/01/2013 Página 21

22 Elabora un informe sobre productos comerciales que implemente Gestión Unificada de Amenazas Firewall UTM (Unified Threat Management). Características y capacidades El ISA500 ofrece los beneficios combinados de la gestión integral unificada de amenazas (UTM) de seguridad mejorada, fácil de usar, de diseño y de inteligencia de amenaza superior. Esto hace que su organización sea más seguro, y aumenta tanto el tiempo de actividad y la productividad de los empleados. También reduce los costes operativos y el riesgo de interrupción del negocio. Optimizado específicamente para las pequeñas y medianas empresas, el ISA500 es una solución asequible y fácil de usar que se puede configurar en cuestión de minutos para empezar a proteger su negocio. Ofrece las siguientes características y capacidades: Integral de Seguridad UTM Reduce el riesgo de interrupción Salvaguardias contra ataques y amenazas con firewall stateful, basada en zonas, la reputación de la red, y el sistema de prevención de intrusiones (IPS) Previene y protege a los usuarios el acceso a sitios Web peligrosos con la reputación web de Cisco Detecta y bloquea el malware generalizada con gateway antivirus Soporta múltiples perfiles de políticas de seguridad por lo que un administrador puede aplicar políticas de seguridad diferentes para diferentes grupos de usuarios Proporciona protección frente a amenazas de seguridad superior con Cisco Operaciones de Inteligencia (SIO) 30/01/2013 Página 22

23 Mejora de la productividad Ofertas oficina remota altamente segura y fuera de la oficina de comunicación de los usuarios con Cisco de sitio a sitio y de acceso remoto VPN (Cisco AnyConnect cliente) Previene y protege a los usuarios el acceso a sitios web inapropiados y el contenido web con URL Cisco filtrado Impide el acceso a aplicaciones no comerciales mediante el control de aplicaciones Le ayuda a dar prioridad a las aplicaciones de voz o de negocios con calidad de servicio (QoS) Mantiene las empresas que ejecutan durante los cortes con redundancia WAN Uso simplificado y costo-efectividad Proporciona un asequible-en-una solución Ofertas simplificado de configuración, puesta en marcha magos, y los flujos de navegación Proporciona información basada en la nube y en caja Protección en tiempo real con servicios UTM (Unified Threat Management) Adecuado para redes pequeñas con hasta 30 usuarios Fácil configuración, creado para personal no técnico Interfaces Gigabit Ethernet Subscripción gratuita durante un año a los servicios UTM incluida* Sin cuota de licencia por usuario * Requiere registro El DFL-160 satisface las necesidades de las pequeñas oficinas -de hasta 30 usuarios- que no 30/01/2013 Página 23

24 cuentan con recursos de TI, y ofrece una protección de red profesional ante la amplia variedad de amenazas presentes en el actual mundo en línea. Al integrar, por defecto, todos los servicios UTM sin cuota licencia por usuario, este dispositivo está pensado para las empresas a las que les importa todo lo relacionado con la seguridad de la red a un precio competitivo. Potente sistema de prevención de intrusos (IPS) Para protegerse contra las vulnerabilidades del software, el DFL-160 adopta una única tecnología de sistema de prevención de intrusos, firmas basadas en componentes, creada para reconocer patrones; de este modo no sólo protege contra los ataques conocidos, sino también contra los desconocidos. Las firmas se generan automáticamente a partir de la actividad en internet, que es recopilada por una serie de sensores y cargada al dispositivo en tiempo real. Sin que suponga una sobrecarga para la aplicación, estas firmas garantizan un gran nivel de precisión y un escaso nivel de falsos positivos. Escaneado de virus basado en el flujo El DFL-160 escanea archivos de cualquier tamaño utilizando una tecnología de escaneo de virus basada en el flujo que no requiere almacenamiento temporal. Este método de escaneado mejora el rendimiento de inspección al mismo tiempo que elimina los cuellos de botella en la red. El dispositivo usa firmas de virus de la respetada compañía antivirus Kaspersky Labs para proporcionar a los usuarios unas firmas antivirus precisas y fiables, así como comunicar las actualizaciones de firmas. Por consiguiente, se pueden bloquear con eficacia los virus y el malware antes de que lleguen a los dispositivos móviles o de sobremesa de la red. Filtrado de contenido web El filtrado de contenido web ayuda a los administradores a gestionar y controlar el uso que los empleados hacen de internet. El DFL-160 implementa varios servidores de índice global con millones de URL e información de sitios web en tiempo real para mejorar la capacidad de rendimiento y maximizar la disponibilidad del servicio. Potente rendimiento de VPN. Las redes privadas virtuales (VPN) permiten a los usuarios acceder a los datos de la oficina desde puntos remotos y con total seguridad, bien sea desde casa, un hotel o la carretera. El DFL-160 puede gestionar hasta 30 túneles VPN. Soporta los protocolos IPSec, PPTP, L2TP y SSLVPN en modo cliente/servidor. La autentificación de usuario se lleva a cabo por medio de la base de datos del firewall interno, que admite hasta 250 cuentas. Fácil configuración y gestión El chasis de sobremesa del DFL-160, compacto y discreto, se integra fácilmente en una red ya existente. Dispone de una sencilla interfaz basada en web que asiste al usuario en la configuración inicial y simplifica la configuración de los parámetros de seguridad. Además, el firewall implementa la gestión del ancho de banda para garantizar una eficiente asignación de la capacidad de la red y minimizar la congestión. 30/01/2013 Página 24