SISTEMA DE SEGURIDAD PERIMETRAL PRESENTADO POR:

Transcripción

1 SISTEMA DE SEGURIDAD PERIMETRAL PRESENTADO POR: FABIOLA MARTÍNEZ PEÑARANDA COD: CARLOS JESUS RINCON AVILA COD: UNIVERSIDAD FRANCISCO DE PAULA SANTANDER INGENIERIA DE SISTEMAS SEGURIDAD INFORMATICA SAN JOSE DE CUCUTA 2013

2 SISTEMA DE SEGURIDAD PERIMETRAL PRESENTADO POR: FABIOLA MARTÍNEZ PEÑARANDA COD: CARLOS JESUS RINCON AVILA COD: PRESENTADO A: ING. JEAN POLO CEQUEDA UNIVERSIDAD FRANCISCO DE PAULA SANTANDER INGENIERIA DE SISTEMAS SEGURIDAD INFORMATICA SAN JOSE DE CUCUTA 2013

3 DISEÑ O E IMPLEMEÑTACIOÑ DE UÑ SISTEMA DE SEGURIDAD PERIMETRAL La seguridad perimetral es uno de los métodos posibles de defensa de una red, basado en el establecimiento de recursos de segurización en el perímetro externo de la red y a diferentes niveles. Su importancia radica en el hecho de estar expuestos a la problemática de seguridad que trae consigo la necesidad de acceso y conectividad a internet. En la presente práctica, se implementara un sistema de seguridad perimetral, en el que se tendrán en cuenta los siguientes aspectos: Contener firewall Acceso y filtrado de trafico de red Autenticación de usuarios Antes de iniciar la práctica, nos centraremos en dejar claro el concepto de firewall, el cual es un sistema de defensa para evitar accesos no autorizados a un equipo o a una red de equipos. Su funcionamiento podría dividirse en dos grandes grupos: Firewall a nivel de red: Se encarga de filtrar a la entrada, a la salida o en ambos lados, permitiendo o no el paso a los paquetes de datos de forma selectiva basándose en las reglas que estén en él configuradas, esto quiere decir que si se autoriza un servicio o programa, el firewall no dirá si los datos enviados o recibidos podrían ser nocivos dado que fue autorizado. Firewall a nivel de aplicación: conocidos como servidores Proxy, actúan como intermediarios entre un explorador web, e Internet, un servidor proxy filtra contenidos web y software malintencionado al que puedan acceder los clientes. Este tipo de cortafuegos funciona, básicamente, recibiendo las solicitudes de los clientes de la red interna y reenviándolas a un servidor externo. La implementación de los cortafuegos son una necesidad ineludible dentro de cualquier red, en este tutorial veremos como instalar, configurar y poner en producción una de las muchas opciones de cortafuegos de uso libre como lo es el IPCop. IPCop es una distribución Linux que implementa los dos tipos de cortafuegos antes mencionados a través de una simple interfaz web de administración además de estas funciones, existen lo que se llaman addons o plugins que son programas adicionales para aumentar la funcionalidad de programa. Este firewall permite la implementación de diferentes topologías de red, ya sea desde la simple LAN que sale a Internet, hasta la creación de una zona desmilitarizada (DMZ); estas zonas se identifican por colores, así: Roja (o Red) = Zona de Internet

4 Verde (Green) = Red de Área Local (LAN) cableada Naranja (Orange) = Zona desmilitarizada Azul (Blue) = Zona inalámbrica (Wireless) IPCop requiere que el hardware sea dedicado es decir que, el ordenador que destinemos a este firewall solo contendrá a este. Los requerimientos de hardware mínimos para una instalación de IPCop son: un procesador 386, 32MB en RAM y 300MB en disco duro, claro que dependiendo de los servicios que brindemos deberemos aumentar la memoria RAM y el espacio en el disco duro, al menos dos tarjetas de red, una servirá para conectarnos a internet y la otra para conectar nuestra red interna.

5 1. INSTALACION DE IPCop Para el presente tutorial trabajaremos con IPCop versión Este será instalado en una maquina virtualizada, en la que previamente se habilitaron dos adaptadores de red, con la siguiente configuración. Iniciamos la máquina virtual desde el dispositivo donde se encuentra el.iso de nuestro IPCop. El instalador nos advierte que borrara todas las particiones que se encuentren en el disco duro, tomadas las previsiones presionamos ENTER para empezar. Escogemos el idioma:

6 Luego nos aparecerá esta pantalla la cual debemos tomar muy en cuenta, ya que si damos en cancelar en cualquiera de las pantallas siguientes el equipo se reiniciara sin importar nada, por ejemplo que no tenga contraseña, por lo que no podremos acceder y tendremos reinstalar el software. Seleccionamos el medio: Seguidamente el programa particionará y formateara el disco duro En caso de tener un backup de la configuración de nuestro IPCop será aquí donde lo utilizaremos, pero por ahora como aun no la tenemos elegiremos Saltar

7 Ahora configuraremos la tarjeta de red que nos servirá como interfaz de red de nuestra red de área local, zona VERDE, aquí conectaremos los equipos que necesiten mayor protección como estaciones de trabajo o servidores con acceso restringido a internet, elegimos la opción Prueba e IPCop buscara una tarjeta de red. En este caso detecto una tarjeta Intel PRO la que configuraremos a continuación Configuramos la interfaz VERDE con la IP para acceder a esta desde nuestra red local.

8 Con lo que finaliza la instalación: Ahora sólo nos queda definir algunos aspectos más como el tipo de teclado La zona horaria

9 El nombre del firewall, en este caso dejare el nombre por defecto El nombre de dominio, si lo tuviéramos, que ahora también dejare el que tiene por defecto Aquí configuramos el servicio ISDN (Integrated Services Digital Network o RDSI Red Digital de servicios Integrados), si es que fuera la forma por la que accedemos a internet, en este caso es una conexión ADSL así que inhabilitaremos el ISDN, eligiendo la opcion Inhabilite RDSI

10 Ahora configuraremos la red, primeramente elegimos Tipo de Configuración de Red Para el escenario de ejemplo planteado anteriormente solo necesitamos la configuración GREEN + RED Seleccionamos en OK, hecho esto configuraremos los controladores y tarjetas asignadas Nos muestra la configuración actual y aceptamos el cambio de configuración para poder acceder al menú de redes.

11 Anteriormente reconoció una de las tarjetas de red para la intefaz GREEN, ahora haremos que detecte la otra tarjeta de red que utilizaremos para la interfaz RED Nos confirmara que todas las tarjetas fueron asignadas, si en algún caso en el anterior paso nos aparece la pantalla con las opciones Prueba, Seleccionar y cancelar de la configuración quiere decir que no ha sido reconocida una de las tarjetas de red, podríamos verificar que esta funciona adecuadamente o podría requerir un controlador que deberemos escoger manualmente con lo que solucionaremos nuestro problema. Continuemos con la Configuración de Direcciones

12 Vamos a ver la configuración de la interfaz RED, en este caso accedemos a internet a través con direcciones ip dinámicas por lo que habilitaremos DHCP para esta zona. Una vez terminado elegimos OK y luego Acabado para volver al menú anterior. Como el DHCP fue habilitado en nuestra zona roja, no necesitaremos ingresar información acerca del DNS y Gateway. Ahora nos aparecerán tres ventanas en las que: Configuraremos una contraseña de root la que se utilizara para acceder por SSH. Configuraremos una contraseña de admin, utilizada para acceder desde el servidor web. Una contraseña para el usuario que podrá realizar backup del firewall. Con esto finalizamos la instalación de IPCop. ACCEDIENDO AL FIREWALL VIA WEB Para poder acceder al firewall desde nuestro ordenador, debemos realizar algunos cambios en los adaptadores de red de nuestro sistema anfitrión. En el adaptador inalámbrico, inhabilitamos el protocolo TCP/IP.

13 En el adaptador del virtual-box, configuraremos una dirección ip estatica que tendrá como puerta de enlace y DNS preferido la dirección IP de nuestra zona GREEN ( ) Con estos cambios ya se puede acceder desde el navegador web de Windows a IPCop.

14 2. CONFIGURACION DEL SERVIDOR PROXY Para configurar nuestro IPCop como servidor Proxy el cual actuará como intermediario entre el explorador web de nuestras estaciones de trabajo, e Internet, necesitaremos: Addon Advanced Proxy, que se puede descargar en El WinSCP que es una aplicación de software libre para facilitar la transferencia segura de archivos entre nuestro sistema operativo Windows y nuestra distribución basada en Linux. El PuTTy que es un cliente de red que soporta protocolo SSH (entre otros) que utilizaremos para iniciar sesión de forma remota a nuestro firewall IPCop. Antes de comenzar a utilizar estos programas debemos configurar IPCop para que permita el acceso utilizando el protocolo SSH, para lo que en nuestro acceso Web vamos a Sistema - Acceso SSH. Marcaremos Acceso SSH y la opción Se admite autentificación basada en contraseña, También debemos anotar que IPCop usa el puerto 222 para SSH, Finalmente click en Guardar. Iniciamos WinSCP, en Host name colocamos la dirección IP del firewall ( ) el Port number: 222, que es el puerto que utiliza el IPCop, como User name: root y el password que asignamos a este usuario.

15 Ahora podemos copiar los addons desde nuestro host Windows al Firewall, en el lado izquierdo ubicamos la carpeta donde esta el archivo ipcop-advproxy tar.gz y en el lado derecho dando doble click en la carpeta arriba (la que tiene 2 puntos..) vamos a las carpeta raíz y abrimos la carpeta tmp (con doble click) que será donde copiaremos el addon. Una vez hecho esto procederemos a instalar el Addon para lo que accederemos al Firewall IPCop utilizando PuTTy en el Host Name el firewall ( ), el puerto 222, tipo de conexión SSH y click en Open.

16 Desde el PuTTy nos logueamos como root con nuestra contraseña. Con lo que accedemos al IPCop como superusuario. A continuación buscamos nuestro addon lo descomprimimos e instalamos. Accedemos nuevamente a la Página de administración, donde podemos ver que (F5 para actualizar) se añadió una opción en el menú Servicios llamada Advanced Proxy, al que accedemos para hacer algunas configuraciones

17 En Opciones generales marcamos Habilitado en Green, esto permite al servidor proxy escuchar las peticiones de los clientes en esta interfaz. Habilitaremos el modo Transparente en Green, activamos esto para que todas las solicitudes para el puerto de destino 80 (HTTP) sean enviados al servidor proxy sin necesidad de ningún cambio de configuración especial para los clientes. El Control de acceso basado en la red, define quienes utilizarán el servidor proxy basado en la dirección de red del cliente, todas las subredes que figuran se les permite acceder al servidor proxy. Por defecto, las subredes de GREEN (verde) figura en esta lista. Para que toda la configuración tenga efecto presionamos el botón Guardar y reiniciar y tenemos el proxy configurado. 3. FILTRO DE URL Ahora veremos como configurar Urlfilter con IPCop este addon tiene la capacidad de bloquear los dominios no deseados, las direcciones URL e incluso archivos. Lo primero que necesitamos hacer es instalar este addon en el firewall IPCop, ubicamos el archivo ipcop-urlfilter tar.gz, el cual puede ser descargado de su página oficial Lo instalamos tal como lo hicimos con el addon de proxy-advanc, usando los programas winscp y putty.

18 Una vez instalado, actualizamos la página y vamos a Servicios - Advanced Proxy, allí Notaremos que dentro de las opciones de Advanced Proxy ahora tenemos una nueva opción llamada Filtro de URL, habilitaremos esta opción para que nuestro proxy pueda utilizarlo, y damos click en Guardar y reiniciar. Ahora veamos las opciones que nos ofrece Urlfilter, para esto abrimos la pestaña Filtro de URL en Servicios. En Lista negra personalizada, aquí podemos ingresar dominios o URL's que consideremos bloquear y marcamos la opción Habilitar lista negra personalizada. Finalmente aplicamos los cambios dando clic en Guardar y reiniciar, y el resultado al abrir uno de los dominios bloqueados será: 4. AUTENTICACION DE USUARIOS Finalmente veremos los métodos de autenticación de usuarios, para esto nos loqueamos al firewall a través del Administrador Web y vamos a Servicios - Advanced Proxy, y vemos los tipos de autenticación que nos ofrece:

19 Advanced Proxy cuenta con 5 tipos de autenticación: Local: En este método de autenticación los usuarios deben autenticarse para acceder a sitios web introduciendo un nombre de usuario y una contraseña válidos. Identd: El protocolo ident permite averiguar el nombre de usuario y el propietario de cualquier servicio corriendo dentro de una conexión TCP, por lo general se utiliza en IRC (Internet Relay Chat) para obtener la información de quien esta conectado. LDAP: En este método de autenticación los usuarios tendrán que autenticarse para acceder a sitios web introduciendo un nombre de usuario y una contraseña válidos. Las credenciales se verifican en un servidor externo usando el Lightweight Directory Access Protocol (LDAP). La autenticación LDAP será útil si ya tiene un servicio de directorio en la red y no quiere mantener cuentas de usuario y contraseñas para el acceso web. Windows: En este método los usuarios tendrán que autenticarse para acceder a sitios web. Las credenciales se verifican en un servidor externo que actúa como un controlador de dominio, este puede ser Windows server (con Active Directory) o Samba corriendo como controlador de dominio. RADIUS: En este método los usuarios tendrán que autenticarse para acceder a sitios web. Las credenciales se verifican en un servidor externo RADIUS. Para nuestro ejemplo lo haremos bajo autenticación local. Lo primero que debemos tomar en cuenta es que si configuramos algún tipo de autenticación no podemos realizarlo cuando nuestro proxy esta en modo transparente esto porque el cliente ahora si conocerá la existencia del proxy, lo que no ocurría en modo transparente. Verificamos que la opción Transparente en Green este deshabilitada Luego habilitamos Local en Tipo de autenticación y presionamos Guardar.

20 Ahora crearemos dos usuarios uno llamado Carlos y otro llamado Fabiola en el grupo Standard, también le asignamos una contraseña, y damos click en Crear usuario Ya tenemos el usuario creado, hacemos click en Ir a la página principal y presionamos Guardar y reiniciar para que la configuración tenga efecto. Ahora probemos en un cliente, la configuracián realizada. Configuramos el navegador (Google chrome) para navegar a través de un proxy, para esto vamos a cambiar la configuracion del proxy configuracion de LAN y marcamos:

21 Luego reiniciamos el navegador y nos solicitara el nombre de usuario y contraseña para poder navegar, ingresamos los datos del usuario creado: Con lo que podemos navegar sin problemas, esta autenticación se terminara si cerramos el navegador.