CASO DE ESTUDIO INTEGRAL DISEÑO E IMPLEMENTACION DE UN SISTEMA DE SEGURIDAD PERIMETRAL

Transcripción

1 CASO DE ESTUDIO INTEGRAL DISEÑO E IMPLEMENTACION DE UN SISTEMA DE SEGURIDAD PERIMETRAL SILVIA ALEXANDRA SALAZAR GANDOLFO JEFFERSON DAVID RANGEL FUENTES UNIVERSIDAD FRANCISCO DE PAULA SANTANDER INGENIERIA DE SISTEMAS SAN JOSE DE CUCUTA 2013

2 CASO DE ESTUDIO INTEGRAL DISEÑO E IMPLEMENTACION DE UN SISTEMA DE SEGURIDAD PERIMETRAL SILVIA ALEXANDRA SALAZAR GANDOLFO JEFFERSON DAVID RANGEL FUENTES Presentado a: ING. JEAN POLO CEQUEDA OLAGO SEGURIDAD INFORMATICA UNIVERSIDAD FRANCISCO DE PAULA SANTANDER INGENIERIA DE SISTEMAS SAN JOSE DE CUCUTA 2013

3 FIREWALL: SMOOTHWALL Un firewall o cortafuegos es una parte de un sistema o una red que está diseñada para bloquear el acceso no autorizado, permitiendo al mismo tiempo comunicaciones autorizadas. Se trata de un dispositivo o conjunto de dispositivos configurados para permitir, limitar, cifrar o descifrar el tráfico entre los diferentes ámbitos sobre la base de un conjunto de normas y otros criterios (reglas). Los cortafuegos pueden ser implementados en hardware o software, o una combinación de ambos. Los cortafuegos se utilizan con frecuencia para evitar que los usuarios de Internet no autorizados tengan acceso a redes privadas conectadas a Internet, especialmente intranets. Todos los mensajes que entren o salgan de la intranet pasan a través del cortafuegos, que examina cada mensaje y bloquea aquellos que no cumplen los criterios de seguridad especificados. También es frecuente conectar al cortafuegos a una tercera red, llamada Zona desmilitarizada o DMZ, en la que se ubican los servidores de la organización que deben permanecer accesibles desde la red exterior. Un cortafuegos correctamente configurado añade una protección necesaria a la red, pero que en ningún caso debe considerarse suficiente. La seguridad informática abarca más ámbitos y más niveles de trabajo y protección. Como sistema operativo para el cortafuegos se utilizará SmoothWall Express, una distribución de GNU Linux gratuita específica para este propósito. Luego, se explica cómo instalarlo, administrarlo y configurarlo. SmoothWall Express es un servidor de seguridad de código abierto. Diseñado para un fácil uso, se configura a través de un GUI basado en web y no requiere ningún conocimiento de Linux para instalarlo o utilizarlo. Incluye la Snort Intrusion Detection System (IDS) y el apoyo a los módems ADSL y conexiones PPPoE. Además, permite construir fácilmente un servidor de seguridad para conectar de forma segura una red de ordenadores a Internet.

4 Casi cualquier PC Pentium se puede utilizar, por ejemplo, un PC antiguo con bajas características puede ser usado como estación de trabajo o servidor. SmoothWall Express crea un firewall de hardware dedicado, ofreciendo las facilidades y la seguridad real asociado con los dispositivos de hardware. Asimismo, viene pre-configurado para detener todo el tráfico entrante que no es el resultado de una solicitud de salida. Los archivos de reglas que aplican esta política son parte de la configuración del sistema y normalmente no deberían ser editados por otros que no sean los procedimientos de configuración. Smoothwall está licenciado bajo la General Public License (GPL).

5 Proceso de Instalación de SmoothWall Express: 1) Una vez descargada la imagen ISO de SmoothWall Express 3.0 SP2 a través de la página: Lo introduciremos en el equipo que utilizaremos de firewall o cortafuegos y a través del Virtual Box crearemos una máquina virtual basada en su funcionamiento. Luego, aparecerá la siguiente ventana de inicio de SmoothWall Open Source Project:

6 La pantalla anterior avisa que los datos del disco duro del equipo serán eliminados para instalar el nuevo sistema, obviamente esto hay que tenerlo en cuenta y haber hecho copia de seguridad de los datos (si los hubiera) del disco duro del equipo. Pulsaremos INTRO para iniciar la instalación del cortafuegos SmoothWall Express. 2) Nos mostrará la ventana de bienvenida, pulsaremos "Ok" (pulsando la barra espaciadora o INTRO, en la instalación no funcionará el ratón):

7 3) Nos indicará que introduzcamos el CD de SmoothWall express, puesto que ya lo tenemos pulsaremos "Ok" (pulsando INTRO o barra espaciadora): 4) A continuación nos avisará de que se preparará el disco duro /dev/hda para ser particionado, pulsaremos "Ok":

8 5) Nos volverá a avisar de que el proceso de particionado eliminará todos los datos del disco duro, Pulsaremos "Ok" para continuar: 6) Se iniciará el proceso de preparación y particionado del disco:

9 7) Tras el particionado y formateo, se iniciará la instalación de los ficheros necesario para el funcionamiento del firewall o cortafuegos de SmoothWall Express: 8) Presionar ok para continuar, los archivos de SmoothWall han sido instalados satisfactoriamente.

10 9) En esta ventana seleccionamos la opción No y presionamos enter. Esta opción es válida cuando queremos restaurar una configuración de SmoothWall guardada previamente. Configuraremos todas las opciones manualmente. 10) Este cuadro de diálogo nos permite seleccionar el teclado que vamos a utilizar. Seleccionamos es para usar la distribución del teclado en español. Movemos el cursor a ok para luego presionar enter.

11 11) Nos aparece el cuadro de diálogo para escribir el nombre de nuestro servidor. El nombre por defecto es smoothwall pero podemos escribir cualquiera, tomando en cuenta que está prohibido usar números, puntos, guión bajo. Seleccionar ok y presionar enter para continuar. 12) A continuación seleccionaremos el tipo de política o directiva de seguridad para las solicitudes o peticiones salientes. Esta configuración no afecta a las solicitudes entrantes, que siempre estarán bloqueadas a menos que explícitamente sean permitidas (mediante las reglas del cortafuegos o firewall). Las posibilidades son: Open (abierto): todas las peticiones salientes serán permitidas (como en las versiones anteriores de SmoothWall Express). Half-open (entreabierta): la gran parte de las peticiones saliente serán permitidas, salvo las consideradas dañinas o peligrosas. Closed (cerrado): todas las peticiones salientes serán bloqueadas. Si se quiere permitir alguna petición saliente se deberá especificar en la administración del firewall SmoothWall Express (en las reglas).

12 En nuestro caso seleccionaremos "Open"

13 13) Nos aparece el menú de configuración de red. En Network configuration type, seleccionaremos esta opción y pulsaremos "Ok", desde aquí indicaremos un dato muy importante, el tipo de configuración de red que utilizaremos: 14) Esta venta nos permite Seleccionar el tipo de configuración de red. Teniendo en cuenta que: Red wireless (purple): red inalámbrica si tenemos router wireless con este tipo de conexión activada. Red DMZ (orange): zona desmilitarizada, normalmente en este segmento de red se suelen colocar los servidores propensos a antaques externos, como el servidor web o el de correo electrónico. Red LAN local (green): red de área local, red privada, donde están todos los equipos y los servidores de terminal server, servidores de bases de datos, servidores de ficheros, etc.

14 Seleccionamos GREEN+ RED. Esta opción indica que una tarjeta NIC se conectará a una red interna y otra a Internet o una red externa. Seleccionamos ok y presionamos siguiente. 15) A continuación debemos indicar los drivers y la asignación de las dos tarjetas a RED y a GREEN, para ello seleccionaremos "Drivers and card assignments" y pulsaremos "Ok":

15 16) De acuerdo al tipo de red que hayamos configurado se nos preguntará por la selección de las interfaces. En nuestro caso sólo debemos seleccionar dos interfaces de red, una para la red interna (GREEN) y otra para la red externa (RED). Presionamos enter para continuar.

16 17) Seleccionamos Probe y presionamos enter para detectar automáticamente las interfaces de red. 18) Si el sistema detecta las tarjetas de red mostrará un mensaje como el siguiente, si es correcta la detección pulsaremos "Ok", en caso contrario pulsaremos "Skip":

17 19) El cuadro de diálogo de asignación de la interface nos aparece. Si ésta interface es la que pertenece a la red interna (GREEN) seleccionamos esta opción, caso contrario seleccionamos (RED). Presionamos ok para continuar. 20) Si a la anterior le hemos asignado la GREEN, la que queda será la RED:

18 21) Si todas las interfaces han sido asignadas correctamente nos aparecen un cuadro de confirmación. 22) Nos aparece nuevamente el menu de configuración de red. Seleccionamos Address settings y presionamos enter para continuar.

19 23) Seleccionamos la interface a configurar (GREEN) y presionamos enter para continuar. 24) Nos avisará de que si cambiamos la IP, las conexiones remotas se desconectarán y tendremos que volver a conectarnos de nuevo con la nueva IP. En nuestro caso, puesto que es una instalación desde cero de SmoothWall, no habrá conexiones remotas, pulsaremos "Ok":

20 25) Nos aparece una ventana de diálogo sobre la cual debemos ingresar la dirección IP y la máscara de red que utilizará la interfaz (GREEN). 26) Seleccionamos la otra interface (RED) y presionamos enter para proceder con su configuración.

21 27) La asignación de la IP es estática. Con la tecla Tab nos movemos por las opciones hasta situarnos en ( ) Static, una vez alli presionamos la barra espaciadora para seleccionar esa opción, debe aparecernos un * en los paréntesis, a continuación, introduciremos la IP para la interfaz RED:

22 28) Una vez configuradas las dos interfaces nos aparece este cuadro de diálogo. Seleccionamos Done y presionamos enter para continuar. 29) Regresamos al menú de configuración de la red, seleccionamos DNS and Gateway settings, y ok, presionamos enter para continuar.

23 30) Este cuadro de diálogo nos permite ingresar las direcciones del DNS y del gateway para poder Salir a Internet. Tanto para la red de los laboratorios como para el Wireless son las mismas direcciones. Seleccionamos ok y presionamos enter para continuar. 31) Una vez que hemos de configurar todos los parámetros de la red; seleccionamos Done y presionamos enter para continuar.

24 32) Este menú es usado para configurar instalaciones avanzadas. Seleccionamos Finished y presionamos enter para continuar.

25 33) Ingresamos un contraseña para la cuenta admin. Esta cuenta es usada para la administración web. La clave debe tener mínimo 6 caracteres y máximo ) Ingresamos una contraseña para la cuenta de usuario root. Esta cuenta es usada para el acceso por línea de comandos al sistema. La clave debe tener mínimo 6 caracteres y máximo 25.

26 35) Si todos los pasos se siguieron adecuadamente la instalación debe concluir satisfactoriamente. 36) Si el sistema se reinició correctamente, debería aparecer una pantalla similar a la siguiente:

27 ACCESO A SMOOTHWALL EXPRESS Para acceder a la administración web se puede hacer mediante cualquier navegador y desde un equipo que este en la misma red del firewall. 1) Accedemos a la dirección del firewall, en nuestro caso es: A continuación se solicitan las credenciales del usuario para administración web (admin), la clave es la que se haya establecido en la instalación.

28 2) Esta es la interfaz web de SmoothWall. 3) Luego, accedemos al menú tools Shell

29 Instalación Modulo Advanced Web Proxy Posteriormente procederemos a instalar el Mod o añadido (add-on) del Advanced Web Proxy, que dotará de más parámetros de configuración en la GUI al Proxy (SQUID). 1. Abrimos una shell sobre nuestra máquina bajo smoothwall vía terminal o consola o mediante el menú de la gui vía browser: Tools > Shell Allí nos pide un Usuario y una clave, iniciaremos sesión como usuarios root. 3. Y ejecutamos los comandos a continuación: #vamos al dir /tmp cd /tmp # descargarmos el add o mod wget # descomprimimos tar -xzf swe3-32-advproxy tar.gz # instalamos smoothwall-advproxy/install # las nuevas directivas SQUID de acl en /var/smoothwall/proxy/advanced/acls/include.acl

30 4. Reiniciamos la GUI y vamos al menú Services > Advanced Proxy Y vemos que hay muchas más opciones que antes.

31 5. A destacar: 5.1 Control de acceso basado en red: Aquí defino la red (GREEN por defecto) que tiene permitido el acceso vía proxy. Deshabilito el acceso a la red GREEN desde otras redes vía proxy. Puedo definir IPs y/o MACs no restringidas e IPs y/o MACs banneadas (sin acceso). Y puedo definir una política de restricciones temporales (permitir que días de la semana y en que horario se puede acceder a la web vía proxy)

32 Y por último destacar también las opciones de limitar el ancho de banda de descarga a toda la red GREEN y por host. 5.2 Permitir o no el acceso según aplicación cliente de acceso a web Definir que aplicaciones clientes pueden acceder a la web ( Web Browser Enable browser check ), a elegir según necesidades, lo normal es permitir las actualizaciones de windows update, las actualizaciones para debian/ubuntu apt-get, las descargas vía wget, los navegadores opera, firefox, chrome e IE y a Java. Una vez todo configurado. Save and restart

33 Instalación del Modulo Url Filter URL Filter, es un mod o añadido para SmoothWall y/o IpCop. Su tarea es bloquear ciertos dominios, URLs y ficheros (a definir). Está basado en squidguard redirector y se administra desde la GUI en Smoothwall. 1. Abrimos una shell al host bajo SmoothWall o vía un cliente ssh como Putty 2. Digitamos los siguientes comandos: cd /tmp #descargar wget #descomprimir tar -xzf swe3-32-urlfilter tar.gz #instalar smoothwall-urlfilter/install Ejemplo:

34 3. Vamos a la GUI de SmoothWall ( ): Menú Services > URL Filter Lo primero que hago es ir al área de Blacklist update, y bajarme un fichero de la URL de un servicio web ( ). Es un fichero comprimido.tar.gz nos actualizará las categorías a bloquear y la bbdd (base de datos) de URLs que se aconsejan bloquear La URL para el fichero bigblacklist.tar.gz (de 19,2MB a ) de es:

35 4. Una vez descargado el fichero, vamos a Blacklist Update, lo cargamos por medio de la dirección, y le damos Upload Blacklist

36 Nos aparecerán más categorías de las que trae por defecto el Smoothwall. Hay que elegir las categorías que se desean bloquear:

37 También contiene opciones para listas blancas y negras personalizables. Y control de acceso basado en red. De igual manera se puede definir el aviso de la página que le sale al usuario al intentar navegar a una página bloqueada. Una vez se haya configurado: Save and restart y en Advanced Proxy se debe habilitar URL Filter.

38 EJEMPLO DE URL FILTRADA

39 Instalación Modulo Full Firewall Control Procedimiento de instalación del Mod Full Firewall Control Abrimos una terminal o consola a nuestro host bajo SmoothWall 3.0. Por defecto el puerto ssh para esta distro es el tcp 222 # vamos al directorio /tmp cd /tmp # descargamos el mod Wget 20Control/v /fullfirewall Express-3.0-i386.run/download # le damos permisos de ejecución Chmod +x fullfirewall express-3.0-i386.run # ejecutamos el instalador del mod./fullfirewall express-3.0-i386.run

40 Así nos quedara nuestro full firewall control

41 Configuración: 1. Deshabilitamos el proxy transparente para nuestra red Green, es decir nuestra LAN

42 2. Vamos a las configuraciones de nuestro navegador, y en Red, seleccionamos -> Cambiar la Dirección del Proxy 3. En las Propiedades de Internet -> Pestaña Conexiones -> Configurar LAN

43 4. Activamos la casilla de Servidor Proxy, y le damos la Direccion Ip para el Control de Acceso a nuestro Smoothwall, por el puerto 800. En nuestro caso Puerto:800 Damos Aceptar 5. Posteriormente asignamos la direccion Ip para que sea la Red que nos facilite el Control de Acceso a nuestro Smoothwall. Para nuestro caso /

44 6. Filtros URLs En el Modulo URL Filter, encontramos un campo llamado Personalizar Lista Negra, se refiere a los dominios que deseen que se bloqueen por medio del Smoothwall; allí podemos agregar los que queramos, al final le damos Save and restart

45 7. Autenticación de Usuarios a. Antes de iniciar la Autenticación de Usuarios, se debe aclarar que el método para la Autenticación será local. 8. Nos pide especificar un tamaño mínimo para las contraseñas de los Usuarios. En este caso trabajaremos con 6 9. Damos click en User Management

46 10. Se nos abrirá la siguiente ventana. a. Es un asistente para la configuración de usuarios muy fácil de manejar, con el podemos Crear Usuarios, una vez todos los campos estén llenos, borrar usuarios y editar usuarios. b. Los usuarios registrados se van listando en la parte posterior de la ventana.