B4-T9_SEG.REDES y VPN Flashcards
(95 cards)
Los 2 apartados de la Seguridad en Redes son “Seg. Perimetral y VPN”, ¿podrías definirlos?
- Se llama SEGURIDAD PERIMETRAL, porque abarca el perímetro de la empresa. Protege tanto los que venga de fuera (entrada), como lo que salga de dentro (salida).
Ej: accesos NO autorizados o fugas de información.
- Una red VPN es el mecanismo para extender una LAN privada a través de una red pública (internet). Es decir, es una gran red privada que atraviesa redes públicas (internet).
Ej: para añadir a la red de la empresa un trabajador o puesto remoto.
*Una VPN tiene que garantizar: AUTENTICACIÓN, CONFIDENCIALIDAD e INTEGRIDAD => las 3 cosas!
Sabemos que el ENS (Esquema Nacional de Seguridad) consiste en proteger la información de las personas de amenazas y ataque mediante unas medidas de ciberseguridad adecuadas, define, dentro de dichas medidas, las de PERÍMETRO SEGURO (mp.com.1):
Estas medidas (mp.com.1) se aplican a los 2 activos de la Administración Pública (servicios y datos), atendiendo a la categoría de criticidad:
- Categorías BÁSICA y MEDIA: se dispondrá un sistema de cortafuegos que separe la red interna del exterior => TODO el tráfico deberá atravesar dicho cortafuegos que sólo dejará transitar los flujos previamente autorizados.
- Categoría ALTA:
2.1. El sistema de cortafuegos constará de 2 o más equipos de diferente fabricante dispuestos en cascada.
2.2. Se dispondrán sistemas redundantes.
NOTA: el mp.com.4 abarca las medidas: SEGREGACIÓN DE REDES.
Sabemos que el ENS (Esquema Nacional de Seguridad) consiste en proteger la información de las personas de amenazas y ataque mediante unas medidas de ciberseguridad adecuadas, define, dentro de dichas medidas, las de SEGREGACIÓN DE REDES (mp.com.4):
La Segregación de Redes (mp.com.4) acota el acceso a la información, reduciendo así la propagación de los incidentes de seguridad, pues quedan restringidos al entorno donde ocurren.
Categoría ALTA: la red se segmentará en segmentos de forma que haya:
a) Control de entrada de los usuarios que llegan a cada segmento.
b) Control de salida de la información disponible en cada segmento.
c) Las redes se pueden segmentar por dispositivos físicos o lógicos. El punto de interconexión estará particularmente asegurado, mantenido y monitorizado (como en mp.com.1).
NOTA: el mp.com.1 abarca las medidas: PERÍMETRO SEGURO.
Enumera y describe los 5 tipos de Cortafuegos:
- FILTRADO DE PAQUETES (packet filter): trabaja a nivel de red/transporte y bloquea el tráfico en función de IPs y Puertos.
Ej: NetFilter (es el cortafuegos de linux) administrado por FirewallD, nftables, ufw o IPTABLES (este último también tiene capacidades de “Stateful Inspection”) - STATEFUL INSPECTION (inspección de estado): para definir reglas en relación a lo acontecido en el pasado, es decir, definir reglas para el tráfico entrante en función del tráfico pasado.
Ej: el módulo de IPTABLES: “IPtables Conntrack” - CIRCUIT-LEVEL GATEWAY: (nivel sesión, ej: TCP) utilizado para aquellos protocolos que tengan capacidad de sesiones: TCP, SSL, …
4.APLICATION LEVEL GATEWAY, alias Proxy Inverso: (nivel de aplicación, ej: HTTP). Es el FireWall que esta más arriba.
Hay 4 productos de este tipo PROXY:
*Squid
*Nginx
*Varsnish
*HAProxy
- NEXT GENERATION:
*IPS (protección contra intrusoso)
*WAF (Web Aplication Firewall): firewall especializado en ataques web.
*UTM (gestión unificada de amenazas): puede usarse como firewall, antivirus, antispam, … => por lo cual, es el Happy Meal de los cortafuegos.
¿Realmente el CortaFuegos de LINUX se llama IPtables?
No, se llama “NetFilter”, es del tipo “filtrador de paquetes” de cortafuegos. IPtables es uno de los primeros comandos para administrar las reglas de filtrado de este “packet filer” o tipo de cortafuegos.
Ejemplos de Reglas:
Tráfico que entra le aplico una regla.
Tráfico que sale le aplico otra regla.
NOTA: NetFilter también es conocido como “HUB”, porque puedes engancharte en múltiples puntos de la cadena de filtrado.
Además de IPtables, ¿qué otras maneras, además más sencillas, hay de administrar las reglas de “NETFILTER” (cortafuegos de linux “filtrador de paquetes”)?
*FirewallD: cuyo comando es “cmd”.
Ej: para agregar el servicio “smtp” a la zona pública =>
sudo firewall-cmd –zone=public–add-service=smtp
NOTA: la “D” de FirewallD, es de Demonio, pues habla con un demonio en lugar de llamar a NetFilter directamente.
*ufw (Uncomplicated FireWall = cortafuegos sin compilaciones): cuyo comando es “ufw”.
Ej: para activarlo =>
sudo ufw enable
*nftables: es el de nueva generación. Cuyo comando es “nft”.
Ej: para añadir e insertar regla =>
nft add rule
nft insert rule
NOTA: estos 3 sistemas son más sencillos que IPtables.
¿Qué tipo de cortafuegos es UTM y que funcionalidades proporciona?
Es del tipo NEXT GENERATION (próxima generación). Como su propio nombre indica (gestión UNIFICADA de amenazas), gestionan de una forma centralizada (unificada) la mayoría de las amenazas:
*Antivirus
*Cortafuegos (firewall)
*Sistemas de detección/Prevención de intrusos => IDS/IPS.
*Anti-phishing (vigilan el tráfico de aplicaciones para detectar intentos de obtener información)
*Anti-spam
*VPN (Redes Privadas Virtuales)
*Sistemas de protección de WIFI.
*Filtrado de contenido.
Sabemos que los UTM son sistemas de seguridad perimetrales, pues se ubican entre internet y la red interna para inspeccionar el tráfico, pero ¿qué 2 modos tienen de inspeccionar?
a) Modo TRANSPARENTE: identifica y bloquea las amenazas en tiempo real, y requiere una menor capacidad de procesamiento, por lo que los usuarios apenas reciben retardo en la comunicación (transparente).
b) Modo PROXY: primero, analiza el tráfico igual que el modo Transparente, sobre ese resultado realizará un 2º análisis. Por lo cual, requiere de una mayor capacidad de procesamiento, aunque es más eficaz.
¿Qué es y cómo se instala el módulo “Apache mod-security WAF”?
El “ModSecurity” es un módulo de seguridad Apache, que funciona como cortafuegos de tipo WAF (cortafuegos de aplicaciones web).
SE INSTALA:
apt-get install libapache2-mod-security2
NOTA: su fichero de configuración es: modsecurity.conf
*Aporta reglas CRS (Core Rule Set) para proteger ante ataques de tipo:
XSS
SQLi
CSRF
DDOS
Define algunos tipos de ataques:
*XSS: (Cross-site scripting) tipo de ataque que aprovecha fallas de seguridad en sitios web y permite a un atacante inyectar en un sitio web código malicioso (script) del lado del cliente. Este código es ejecutado por un usuario desprevenido que visita dicho sitio y afectarlo, ya sea robando credenciales, redirigiendo al usuario a otro sitio malicioso, o para realizar DEFACEMENT en un sitio web.
NOTA: “defacement” es un ataque a un sitio web que cambia la apariencia visual de una página web.
*SQLi: un ataque de inyección de SQL usa un código SQL malicioso para manipular la base de datos de backend y acceder a información privada. Esta información puede incluir datos sensibles de empresas, listas de usuarios o detalles de los clientes.
*Otros tipos de ataques: CSRF y DDOS.
Define algunos tipos de ataques:
CSRF: (Cross-site request forgery o falsificación de petición en sitios cruzados) es un tipo de exploit malicioso de un sitio web en el que comandos no autorizados son transmitidos por un usuario EN EL QUE EL SITIO CONFIABA.
NOTA: “exploit”, es un fragmento de software, que aprovecha una vulnerabilidad de un sistema para provocar un comportamiento involuntario. Su nombre deriva del verbo inglés to exploit, que significa “usar algo en beneficio propio”.
DDOS: intenta colapsar un sitio web, con tráfico malintencionado para que no pueda funcionar correctamente.
*Otros tipos de ataques: XSS y SQLi.
¿Cuál es el organismo que se encarga de estudiar y publicar las vulnerabilidades del entorno web?
OWASP (acrónimo de Open Web Application Security Project = Proyecto abierto de seguridad de aplicaciones web) es un proyecto de código abierto dedicado a determinar y combatir las causas que hacen que el software sea inseguro.
Lo reflejan o hacen constar en el OWASP Top 10, que es un informe que se actualiza con regularidad y en el que se exponen los problemas de seguridad de las aplicaciones web, centrándose en los 10 riesgos más importantes.
¿En qué se diferencian los Sistemas de Protección contra Intrusos: IDS (Intrusion DETECTION System) e IPS (Intrusion PREVENTION System)?
IDS, monitoriza redes para SÓLO detectar e informa de actividades no autorizadas. En cambio, IPS, monitoriza redes, pero, además de detectar dichos accesos NO autorizados, también intenta impedirlos descartando/bloqueando los paquetes sospechosos.
Es decir, IDS es un sistema PASIVA e IPS es ACTIVO.
Define 2 tipos de sistemas de DETECCIÓN contra intrusos (IDS):
*NIDS: detectores de intrusos en REDES (vigila la RED).
EJEMPLO: Snort, Suricata, Bro y Kismet.
*HIDS: detectores de intrusos en HOST (vigila cambios en un HOST).
EJEMPLO: Ossec, Wazuh y Samhain.
Enumera 4 tipos de sistemas de PREVENCIÓN contra intrusos (IPS):
*HIPS (Host-based intrusion prevention system): buscan actividades sospechosas en host únicos.
*NIPS (Network-based intrusion prevention system): basados en red, buscan tráfico de red sospechoso.
*WIPS (Wireless intrusion prevention system): basados en Wireless, buscan en la red inalámbrica tráfico sospechoso.
*NBA (Network behavior analysis):basados en el comportamiento de la red, identificando tráfico inusual.
NOTA: BEHAVIOR = COMPORTAMIENTO.
¿Existe alguna herramienta para CENTRALIZAR toda la información recabada de monitorizar las fuentes de una red?
SIEM (Sistema de gestión de eventos e información de seguridad = Security Information and Event Management).
Esta herramienta recopila o centraliza la información (registros “log”) de múltiples orígenes o fuentes.
Con toda esa información o conjunto de registros “log”, el administrador llevará a cabo un proceso de NORMALIZACIÓN y CORRELACIÓN para obtener un neto (EVENTO) de todo ese bruto de información. Este proceso consta del establecimiento de ciertas REGLAS.
EJEMPLOS de Reglas: cuando en el Apache haya un “log” de tal formato conviértelo en algún EVENTO de seguridad, como: “Fallo en Cliente” o “Fallo en el Servidor”.
*Estas REGLAS (Normalización+Correlación) se establecerán de manera particular para cada fuente, para obtener del bruto (todos los registros de todas las fuentes) ese neto o EVENTO.
*Uno de los SIEM por excelencia es OSSIM.
NOTA: un “evento” en seguridad es CONOCIMIENTO.
Sabemos que un sistema de seguridad SIEM recopila los registros de varias fuentes para obtener un conjunto neto o EVENTO, que no es más que el conocimiento centralizado de dicha información para poderla manejar con mayor inteligencia. Pues indica cuál es el SIEM más importante:
Uno de los SIEM por excelencia es OSSIM, cual realiza su trabajo integrando un conjunto de herramientas, tales como:
*Descubrimientos de activos: prads, Nmap *Detección de amenazas: OSSEC, snort, Suricata *Monitorización: ntop, tcpdump, Nagios *Evaluación de vulnerabilidad: OpenVas, Nikto
NOTA: CUALQUIER SISTEMA DE PROTECCIÓN NO ES SISTEMA SIEM, PARA SERLO TENDRÍA QUE INTRODUCIR ESA CAPA DE NORMALIZACIÓN+CORRELACIÓN PARA OBTENER, EN LUGAR DE SIMPLE INFORMACIÓN, ESE CONOCIMIENTO NETO O “EVENTO”.
Enumera algunos sistemas SIEM:
*OSSIM: es uno de los + importantes.
*Gloria y Mónica: son los que están dentro de la Administración Pública (CCN).
*Otros: ELK, Metron y QRadar.
NOTA: El CCN es el organismo responsable de garantizar la seguridad de los servicios de tecnologías de la información y comunicaciones en las diferentes entidades de la Administración Pública.
¿Hay alguna herramienta para que haga de señuelo para cazar al atacante?
HoneyPots (tarros de miel).
Sistema configurado con vulnerabilidades “evidentes” con el objetivo de atraer y estudiar a los diferentes atacantes.
¿Qué es un host BASTIÓN?
Un host BASTIÓN es un sistema informático especialmente diseñado para resistir ataques informáticos. Se ubica entre la red informática a proteger (por ejemplo fuera del firewall o cortafuegos o en la DMZ -zona desmilitarizada-) y el exterior (Internet), quedando expuesto a las amenazas. Su principal objetivo es el de FILTRAR el tráfico de entrada y de salida según las directrices que tenga configuradas haciendo de “proxy”, permitiendo y denegando conexiones.
*Esta arquitectura se denomina “Screened Host”.
¿En qué se diferencian las arquitectura de filtrado de paquetes (o tráfico de red) “Screened Host” y “Dual-Homed Host”?
Son lo contrario, Dual-Homed Host NO enruta el tráfico, sino que se compone de simples máquinas Unix (que hacen de proxy), denominadas ANFITRIONES de dos bases, equipadas con dos tarjetas de red: una se conecta a la red interna a proteger y la otra a la red externa.
Esta máquina (proxy) establece de donde a donde irá la información, es decir, es quien gobierna las reglas de entrada con su correspondiente salida.
*NO ENCAMINA, ya que simplemente coge petición HTTP y se la entrega directamente al Host destino, ya que tiene acceso a los hosts.
Describe los productos “proxy”: SQUID y NGINX:
*El proxy Squid es un servidor web proxy-CACHÉ, que proporciona un servicio de proxy que soporta peticiones HTTP, HTTPS y FTP a equipos que necesitan acceder a Internet y a su vez provee la funcionalidad de caché especializado en el cual almacena de forma local las páginas consultadas recientemente por los usuarios.
*Nginx, es un servidor web de código abierto que, desde su éxito inicial como servidor web, ahora también es usado como proxy INVERSO, cache de HTTP, y balanceador de carga.
NOTA: ademas los tipos CACHE e INVERSO, hay otros tipos de servidores proxy: WEB, TRANSPARENTES o NAT.
Además de las arquitecturas de filtrado de paquetes (Seguridad en redes) “Screened Host” y “Dual-Homed Host”, existe la “DMZ”, que es la técnica de diseño de Seguridad PERIMETRAL más usada hoy en día. Definela:
La principal función de una DMZ es permitir que los equipos informáticos puedan prestar servicios a la red externa como un correo electrónico. El servidor DMZ, colocado entre la red interna y externa, funciona de filtro protector de la red interna, actúa como “cortafuegos y de esta forma protege la red de intrusiones maliciosas.
EJEMPLO EN FOTO: tenemos un doble FireWall (son los dos routers), uno para filtrar tráfico de nuestra red y el otro de internet.
El tráfico permitido es hacia dentro (indicado por las flechas rojas), pero sólo a elementos que tengamos en la DMZ (Zona Desmilitarizada): mi web, mi DNS, mi FTP, mi MTA (correo), …
Por lo cual, el tráfico que vaya directamente desde Internet a la red interna, sin pasar por la DMZ esta totalmente PROHIBIDO.
*Este sistema aparenta que la red interna con la externa (internet), este desconectada. Pues, no habrá conexión que no permita la DMZ.
¿Cuál es el principal objetivo de una red VPN?
REDUCIR COSTES.
Pues si en lugar de hacer esas nuevas y necesarias conexiones (entre redes privadas o, simplemente, para añadir un puesto), con el mecanismo de extender nuestra red LAN privada por la red pública (VPN), lo hiciéramos a través de lineas dedicadas (PPP), el coste sería mayor.
*Una VPN tiene que garantizar: AUTENTICACIÓN, CONFIDENCIALIDAD e INTEGRIDAD => => las 3 cosas! si no garantizan alguna se DEJARÍA DE UTILIZAR x ser una VPN vulnerable.
