Diseño de un servidor de seguridad interno

Actualizado:

En esta página

	Descripción del módulo
	Objetivos
	Marco de aplicación
	Uso del módulo
	Instrucciones de diseño
	Ataques y defensa del sistema
	Definición del dispositivo
	Características del servidor de seguridad
	Clases de servidor de seguridad
	Clase 1: Servidor de seguridad personal
	Clase 2: Servidor de seguridad de enrutador
	Clase 3: Servidor de seguridad de hardware inferior
	Clase 4: Servidor de seguridad de hardware superior
	Clase 5: Servidor de seguridad de servidor superior
	Requisitos de hardware
	Disponibilidad
	Seguridad
	Escalabilidad
	Consolidación
	Estándares e instrucciones
	Resumen
	Referencias

Descripción del módulo

Este módulo sirve de ayuda para seleccionar un producto de servidor de seguridad adecuado para la red interna de la organización, ya que presenta las distintas clases de servidor de seguridad disponibles y resalta sus características más significativas. También describe las instrucciones de diseño que permiten determinar los requisitos específicos y seleccionar el producto más adecuado.

Principio de la página

Objetivos

Utilice este módulo para:

•	Identificar las características necesarias del servidor de seguridad interno.
•	Clasificar productos de servidor de seguridad.
•	Seleccionar el mejor producto de servidor de seguridad para el servidor de seguridad interno.

Principio de la página

Marco de aplicación

Este módulo se aplica a las tecnologías siguientes:

•	Productos de servidor de seguridad basados en Ethernet/IP

Principio de la página

Uso del módulo

Antes de comenzar la lectura de este módulo, debería poseer algunos conocimientos generales sobre el protocolo TCP/IP y la arquitectura de su red. También resulta útil averiguar qué tráfico de entrada y salida del servidor de seguridad interno puede considerarse válido o no válido.

Las instrucciones de diseño que se presentan en este módulo sirven de ayuda para seleccionar las características necesarias para el servidor de seguridad, teniendo en cuenta consideraciones importantes como el crecimiento y el costo. Este módulo define también las distintas clases de servidores de seguridad y, mediante el uso de las instrucciones de diseño, debe poder seleccionar la clase que se ajuste mejor a sus necesidades. A partir de los conocimientos y la terminología técnica proporcionados en este módulo, podrá analizar con los fabricantes del servidor de seguridad los productos que pueden ofrecerle y evaluar si se adecúan a sus necesidades.

Principio de la página

Instrucciones de diseño

Este módulo considera los requisitos de un servidor de seguridad interno de una red empresarial, los tipos de dispositivos que pueden cumplir esos requisitos y las opciones disponibles para su implantación. Desafortunadamente, las intrusiones en redes por parte de usuarios externos e internos se han convertido en un suceso habitual, lo que significa que las organizaciones deben instalar alguna protección contra las mismas. Un servidor de seguridad cuesta dinero y supone un impedimento para el flujo de tráfico. Por lo tanto, debe asegurarse de que el servidor de seguridad esté diseñado para ser tan rentable y eficaz como sea posible.

Arquitectura de la red

En una arquitectura de red empresarial, generalmente, existen tres zonas:

•	Red de borde Esta red se conecta directamente a Internet a través de un enrutador que proporciona una capa de protección inicial en forma de filtro básico de tráfico de red. Envía datos a la red perimetral a través de un servidor de seguridad perimetral.
•	Red perimetral Esta red, a menudo denominada DMZ (red desmilitarizada) o red de extremo, vincula los usuarios entrantes a los servidores Web u otros servicios. A continuación, los servidores Web se vinculan a las redes internas a través de un servidor de seguridad interno.
•	Redes internas Las redes internas se vinculan a los servidores internos, como el servidor SQL y los usuarios internos.

En una organización empresarial, a menudo habrá dos servidores de seguridad distintos: el servidor de seguridad perimetral y el servidor de seguridad interno. Aunque las tareas de estos servidores de seguridad son similares, también tienen prioridades distintas, ya que el servidor de seguridad perimetral se centra en proporcionar límites a los usuarios externos no confiables, mientras que el servidor de seguridad interno se centra en evitar que los usuarios externos obtengan acceso a la red interna y en limitar las acciones que pueden realizar los usuarios internos. Para obtener más información sobre el diseño de servidores de seguridad perimetrales, consulte "Diseño de un servidor de seguridad perimetral."

La figura 1 representa las redes

Figura 1
Arquitectura de red empresarial

Diseño de entradas

Un servidor de seguridad comprueba los paquetes IP y bloquea los que reconoce como intrusos. Se puede realizar el bloqueo si se reconoce de forma predeterminada que ciertos paquetes son ilegales. También es posible configurar el servidor de seguridad para que bloquee ciertos paquetes. El protocolo TCP/IP se diseñó hace muchos años sin tener en cuenta la piratería informática ni las intrusiones y, por lo tanto, presenta muchos puntos débiles. Por ejemplo, el protocolo ICMP se diseñó como un mecanismo de señales dentro de TCP/IP, pero está expuesto al abuso y puede provocar problemas como ataques de denegación de servicio. Un servidor de seguridad interno tiene requisitos más exactos que un servidor de seguridad perimetral. Esto sucede porque el tráfico interno resulta más difícil de controlar, ya que su destino legítimo puede ser cualquier servidor de la red interna.

Existen muchos tipos de servidores de seguridad disponibles, diferenciados parcialmente por su precio pero también por sus características y rendimiento. Generalmente, cuanto más caro es el servidor de seguridad, más potencia y características tiene. Más adelante en este módulo, se agrupan los servidores de seguridad en clases para diferenciarlos. No obstante, antes de seleccionar un servidor de seguridad, es necesario determinar sus requisitos específicos. Se deben tener en cuenta las consideraciones siguientes:

•	Presupuesto
•	Servicios existentes
•	Disponibilidad
•	Escalabilidad
•	Características requeridas

Presupuesto

¿Cuál es el presupuesto disponible? Todos los servidores de seguridad del entorno deben proporcionar el mayor nivel de servicio posible y ser, además, rentables. Se deben tener en cuenta los daños que podría sufrir el negocio si el servidor está demasiado restringido por el costo. Tenga en cuenta cuáles serían los costos del tiempo de inactividad de la organización si un ataque de denegación de servicio suspendiese el servicio.

Servicios existentes

¿Existe algún servicio que se pueda utilizar para ahorrar costos? Puede que ya haya servidores de seguridad en el entorno que se puedan volver a utilizar, o enrutadores que dispongan de un conjunto instalado de características de servidor de seguridad.

Disponibilidad

¿La organización requiere que el servidor de seguridad esté activo en todo momento? Si ofrece un servicio de servidor Web público con disponibilidad constante, necesita un tiempo de actividad de casi el 100%. Todos los servidores de seguridad tienen probabilidades de error, ¿cómo se pueden reducir? La disponibilidad de un servidor de seguridad se puede mejorar mediante dos métodos:

•

Componentes redundantes
Al duplicar algunos de los componentes con más posibilidades de error, como el sistema de alimentación, la resistencia del servidor mejora, ya que el primer componente puede dar error sin que ello tenga efectos sobre el funcionamiento general. Normalmente, los servidores de seguridad más económicos no tienen opciones redundantes, ya que resulta costoso agregar resistencia, en particular, porque no aumenta la potencia de procesamiento.

•

Dispositivos duplicados
La duplicación del dispositivo del servidor de seguridad proporciona un sistema completamente resistente, aunque a un costo considerable, ya que también requiere un cableado de red duplicado y una conectividad duplicada en los enrutadores o conmutadores a los que se conecta el servidor de seguridad. Sin embargo, en función de los servidores de seguridad, es posible que también se doble el rendimiento como compensación. En teoría, todos los servidores de seguridad, desde el más pequeño al más grande, pueden duplicarse, pero en la práctica también se necesita un mecanismo de cambio de conexión de software que los servidores de seguridad más pequeños pueden no tener.

Escalabilidad

¿Cuáles son los requisitos de rendimiento de los servidores de seguridad? El rendimiento se puede considerar en términos de bits por segundo o de paquetes transferidos por segundo. Si se trata de una operación nueva, es posible que no conozca las velocidades de rendimiento y, si esta operación se lleva a cabo de forma satisfactoria, el rendimiento de Internet podría aumentar rápidamente. ¿Cómo se puede controlar un aumento? Debe seleccionar una solución de servidor de seguridad que pueda escalar a medida que aumenta el rendimiento. ¿El servidor de seguridad puede crecer agregando más componentes o se podría instalar otro servidor de seguridad en paralelo?

Características requeridas

¿Qué características de servidor de seguridad son necesarias? En función de la evaluación de riesgos llevada a cabo para los servicios que proporciona la organización, es posible determinar los tipos de características de servidor de seguridad requeridas para proteger los activos que proporcionan los servicios. ¿Se necesitan VPN (redes privadas virtuales)? Esto afecta al diseño.

Principio de la página

Ataques y defensa del sistema

En esta sección se proporciona un resumen de algunos de los ataques al sistema más conocidos, junto con los motivos para utilizar el servicio del servidor de seguridad como primer recurso de defensa.

Ataques externos

A menudo, personas que desean perjudicar a organizaciones o robar secretos comerciales para obtener una ventaja competitiva utilizan Internet como herramienta. Si instala un servidor de seguridad perimetral y observa el registro de intrusiones, el volumen de las mismas le sorprenderá. La mayoría de estas intrusiones sólo son pruebas para ver si la máquina responde y averiguar los servicios que utiliza. Puede parecer inofensivo, pero si el atacante descubre la máquina que utiliza, podría atacar sus servicios, una vez conocidos sus puntos débiles.

Ataques internos

No todos los ataques se basan en Internet. También debe proteger la información importante de los usuarios internos de la red empresarial. La mayoría de las organizaciones dispone de información importante que debe protegerse de ciertos usuarios de la red interna, incluidos empleados, proveedores y clientes.

Amenazas de intrusión

Las amenazas de intrusión pueden adoptar muchas formas y la descripción de todas ellas sólo serviría para un objetivo limitado, ya que cada día aparecen otras nuevas. Algunas intrusiones, como hacer ping en una dirección de servidor, pueden parecer inofensivas. Sin embargo, después de descubrir la presencia de un servidor, el intruso podría intentar un ataque más grave. Esto significa que todas las intrusiones deben considerarse potencialmente dañinas. Algunas de las principales intrusiones son:

•	Rastreadores de paquetes Un rastreador es una aplicación de software o un dispositivo de hardware que se conecta a la LAN y captura información de las tramas Ethernet. La intención original de estos sistemas era solucionar problemas y analizar el tráfico de Ethernet o profundizar en las tramas para examinar paquetes IP individuales. Los rastreadores funcionan de modo muy fructífero; es decir, están atentos a todos los paquetes del cable físico. Muchas aplicaciones, como Telnet, envían la información de nombre de usuario y contraseña en texto no cifrado que los productos de rastreo pueden mostrar. Esto significa que un intruso con un rastreador podría obtener acceso a muchas aplicaciones. Un servidor de seguridad no puede evitar el rastreo, ya que un rastreador no genera tráfico de red y muchos de los intrusos, rastreadores potenciales, serán los propios usuarios internos de un servidor de seguridad. Es posible descargar software de rastreo gratuito de Internet, que los usuarios pueden ejecutar en sus PCs para examinar paquetes a medida que pasan. Si ejecuta sistemas operativos Microsoft® Windows® en sus PC, normalmente los usuarios deben tener acceso de administrador para ejecutar un rastreador. De este modo, se limita el número de usuarios que pueden intentar un rastreo. Sin embargo, los usuarios administradores, que pueden ser numerosos, pueden ejecutarlo. Además de tener acceso a datos confidenciales, pueden ver contraseñas sin cifrar, como ya se ha mencionado. Dado que muchas personas utilizan la misma contraseña para todas las aplicaciones, los intrusos pueden deducir las contraseñas cifradas y obtener más accesos. Existen varias medidas para combatir el rastreo. La primera medida es el uso de contraseñas cifradas, pero este tema queda fuera del alcance de este módulo.
•	Suplantación de IP La suplantación de IP se produce cuando se cambia la dirección de origen de un paquete IP para ocultar la identidad del remitente. La función de enrutamiento de Internet sólo utiliza la dirección de destino para enviar un paquete por su camino e ignora la dirección de origen. Por lo tanto, un intruso puede enviar un paquete destructivo al sistema y disfrazar su origen para que no se sepa de dónde procede. La suplantación no es siempre destructiva, pero indica una intrusión cercana. La dirección puede ser externa (para ocultar la identidad del intruso) o una de las direcciones internas de confianza con acceso privilegiado. Normalmente, la imitación se utiliza para ataques de denegación de servicio (DoS), descritos más adelante en este módulo.
•	Ataques de denegación de servicio Los ataques DoS se encuentran entre los más difíciles de evitar. Se diferencian de otros tipos de ataques porque no causan daños permanentes en la red. En su lugar, intentan detener el funcionamiento de la red bombardeando un equipo particular (dispositivo de red o servidor) o reduciendo el rendimiento de los vínculos de la red hasta que el rendimiento es tan pésimo que provoca descontento en los clientes y pérdida de negocio para la organización. Un DoS distribuido (DDoS) es un ataque iniciado desde otros muchos equipos concentrado en el bombardeo del sistema. Los equipos atacantes no han iniciado el ataque por sí mismos, pero han permitido que se infiltren otras personas a causa de sus propios problemas de seguridad.
•	Ataques a aplicaciones Los ataques a aplicaciones suelen ser los más divulgados y, a menudo, aprovechan los puntos débiles conocidos de servidores Web y servidores de bases de datos. El problema, especialmente para los servidores Web, es que se han diseñado para ofrecer acceso a usuarios públicos desconocidos y no confiables. La mayoría de los ataques se dirige contra deficiencias conocidas del producto. Esto significa que, normalmente, la mejor defensa consiste en instalar las últimas actualizaciones de los fabricantes. El gusano del lenguaje de consulta estructurado (SQL) afectó a 35.000 sistemas en un corto espacio de tiempo desde su emisión en enero de 2003. Éste aprovechó un problema conocido de Microsoft® SQL Server™ 2000 para el que Microsoft había publicado una revisión en agosto de 2002. Este gusano explotó el hecho de que muchos administradores no habían aplicado la actualización recomendada y no tenían servidores de seguridad adecuados (que podrían haber rechazado los paquetes destinados al puerto que utilizaba el gusano). En estas situaciones, un servidor de seguridad sólo es un límite; los fabricantes recomiendan que se apliquen las actualizaciones a todos los productos, especialmente, para evitar ataques a aplicaciones.
•	Reconocimiento de redes El reconocimiento de redes consiste en explorar las redes para descubrir las direcciones IP válidas, los nombres del sistema de nombres de dominio (DNS) y los puertos IP antes de iniciar un ataque. El reconocimiento de redes no es dañino de por sí. Sin embargo, el descubrimiento de las direcciones que se utilizan puede ayudar a alguien a iniciar un ataque hostil. Si mira los registros de un servidor de seguridad, descubrirá que la mayor parte de intrusiones son de este tipo. Algunas búsquedas incluyen puertos del protocolo de control de transmisión (TCP) y el protocolo de datagramas de usuario (UDP), así como otros puertos de escucha conocidos como los que utiliza Microsoft SQL Server, el sistema básico de entrada y salida de red (NetBIOS), el protocolo de transferencia de hipertexto (HTTP) y el protocolo simple de transferencia de correo (SMTP). Todas estas sondas buscan una respuesta que informa al intruso de que el servidor existe y ejecuta uno de estos servicios. Un servidor de seguridad o enrutador de borde puede evitar muchas de estas búsquedas, pero la desconexión de algunos de estos servicios puede restringir la capacidad de diagnóstico de la red.

Principio de la página

Definición del dispositivo

Un servidor de seguridad es un mecanismo que sirve para controlar el flujo de tráfico IP entre dos redes. Los dispositivos de servidor de seguridad funcionan habitualmente en L3 (nivel 3) del modelo OSI, aunque algunos modelos también pueden funcionar a niveles superiores.

Generalmente, un servidor de seguridad interno proporciona las ventajas siguientes:

•	Defensa de servidores internos contra ataques de red.
•	Aplicación de directivas de uso y acceso a la red.
•	Supervisión de tráfico y generación de alertas en caso de detección de patrones sospechosos.

Es importante destacar que los servidores de seguridad mitigan sólo algunos tipos de peligros. Generalmente, un servidor de seguridad no evita el daño que se puede infligir a un servidor con un problema de seguridad de software. Los servidores de seguridad se deben implementar como parte de una arquitectura de seguridad completa de la organización.

Principio de la página

Características del servidor de seguridad

En función de las características que admita un servidor de seguridad, el tráfico se permite o bloquea mediante varias técnicas. Dichas técnicas ofrecen grados distintos de protección, según las capacidades del servidor de seguridad. Las características siguientes del servidor de seguridad se enumeran de menor a mayor complejidad:

•	Filtros de entrada del adaptador de red
•	Filtros de paquetes estáticos
•	Traducción de direcciones de red (NAT)
•	Inspección con estado
•	Inspección de circuitos
•	Filtrado de aplicaciones

En general, los servidores de seguridad que proporcionan características complejas también incluyen características más simples. Sin embargo, debe leer la información del proveedor con atención antes de elegir un servidor de seguridad, ya que pueden existir diferencias sutiles entre su funcionalidad implícita y su funcionalidad real. Normalmente, la selección de un servidor de seguridad implica la consulta de sus características y su prueba, para comprobar que funciona de acuerdo con las especificaciones.

Filtros de entrada del adaptador de red

El filtrado de entrada del adaptador de red examina las direcciones de origen o destino y otra información del paquete entrante y lo bloquea o lo deja pasar. Se aplica sólo al tráfico entrante y no puede controlar el tráfico de salida. Relaciona direcciones IP y números de puerto para UDP y TCP, así como para el protocolo de tráfico, TCP, UDP y encapsulación de ruta genérica (GRE). El filtrado de entrada del adaptador de red permite una denegación rápida y eficiente de los paquetes entrantes estándar que cumplan los criterios de las reglas configurados en el servidor de seguridad. Sin embargo, puede eludirse fácilmente, ya que sólo relaciona encabezados del tráfico IP y asume que el tráfico que se filtra sigue los estándares IP y no ha sido fabricado para eludir el filtrado.

Filtros de paquetes estáticos

Los filtros de paquetes estáticos son similares a los filtros de entrada del adaptador de red en cuanto a que simplemente comparan los encabezados IP para determinar si debe o no permitir que el tráfico pase por la interfaz. Sin embargo, los filtros de paquetes estáticos permiten el control sobre las comunicaciones entrantes y salientes de una interfaz. Además, los filtros de paquetes estáticos suelen permitir una función adicional sobre el filtrado del adaptador de red, que consiste en comprobar si se incluye el bit de reconocimiento en el encabezado IP. El bit ACK proporciona información acerca de si el paquete es una solicitud nueva o una solicitud devuelta de otra original. No verifica si el paquete se envió en un principio por la interfaz que lo recibe, sólo comprueba si el tráfico que entra en la interfaz parece tráfico de respuesta en función de las convenciones de los encabezados IP.

Esta técnica sólo se aplica al protocolo TCP y no al protocolo UDP. Al igual que el filtrado de entrada del adaptador de red, el filtrado de paquetes estático es muy rápido, pero sus capacidades son limitadas y el tráfico manipulado para eludirlo, lo consigue.

Traducción de direcciones de red

En el intervalo de direcciones IP de todo el mundo, algunos intervalos se designan como direcciones privadas. Estos intervalos se han creado para su utilización en la organización y no tienen ningún sentido en Internet. El tráfico con destino a estas direcciones IP no se puede enrutar a través de Internet, por lo que asignar una dirección privada a sus dispositivos internos puede proporcionarles cierta protección frente a los intrusos. Sin embargo, a menudo estos dispositivos internos necesitan tener acceso a Internet y la Traducción de direcciones de red (NAT) convierte la dirección privada en una dirección de Internet.

Aunque NAT no es estrictamente una tecnología de servidor de seguridad, al ocultar la dirección IP real de un servidor, se evita que algún atacante pueda obtener información valiosa sobre el servidor.

Inspección con estado

En la inspección con estado, todo el tráfico de salida se registra en una tabla de estado. Cuando el tráfico de conexión vuelve a la interfaz, se comprueba la tabla de estado para garantizar que el tráfico se ha originado en ésta. La inspección con estado es ligeramente más lenta que el filtrado de paquetes estático. Sin embargo, garantiza que el tráfico sólo pasa si coincide con las solicitudes de tráfico salientes. La tabla de estado contiene elementos como la dirección IP de destino, el paquete IP de origen, el puerto al que se llama y el host de origen.

Algunos servidores de seguridad almacenan más información (como los fragmentos IP enviados y recibidos) en la tabla de estado, mientras que otros almacenan menos. El servidor de seguridad puede comprobar que el tráfico se procesa cuando vuelve toda la información fragmentada o una parte de ésta. Los servidores de seguridad de distintos proveedores implantan la característica de inspección con estado de forma distinta, por lo que debe leer con atención la documentación del servidor de seguridad. La característica de inspección con estado ayuda a mitigar el peligro que supone el reconocimiento de redes y la suplantación de IP.

Inspección de circuitos

El filtrado de circuitos permite inspeccionar sesiones, en lugar de conexiones o paquetes. Una sesión puede incluir varias conexiones. Al igual que el filtrado de paquetes dinámico, las sesiones sólo se establecen como respuesta a la solicitud de un usuario. El filtrado de circuitos proporciona compatibilidad integrada para protocolos con conexiones secundarias, como FTP y multimedia de transmisión por secuencias. Normalmente, ayuda a mitigar el riesgo que suponen los ataques de reconocimiento de redes, DoS e imitación de IP.

Filtrado de aplicaciones

El nivel más sofisticado de inspección de tráfico del servidor de seguridad es el filtro de aplicaciones. Los buenos filtros de aplicación permiten analizar una secuencia de datos para una aplicación particular y proporcionan un procesamiento específico de aplicación. Este procesamiento incluye la inspección, el filtrado, el bloqueo, la redirección y la modificación de los datos a medida que pasan por el servidor de seguridad. Este mecanismo se utiliza para protegerse de comandos SMTP no seguros o ataques contra el sistema de nombres de dominio (DNS) interno, entre otros problemas. Normalmente, es posible agregar al servidor de seguridad herramientas de terceros para el filtrado de contenido, como detección de virus, análisis léxico y categorización de sitios.

Un servidor de seguridad de aplicaciones puede inspeccionar protocolos distintos en función del tráfico que pase por el mismo. Al contrario de lo que sucede con un servidor de seguridad proxy, que normalmente inspecciona el tráfico de Internet, como HTTP, descargas FTP y SSL, el servidor de seguridad de aplicaciones tiene un control mucho mayor sobre el tráfico que pasa por el mismo. Por ejemplo, un servidor de seguridad de aplicaciones sólo puede permitir el paso al tráfico UDP que se origina dentro de sus límites. Si un host de Internet examinase los puertos de un servidor de seguridad con estado para comprobar si permite el tráfico DNS en el entorno, probablemente el examen mostraría que el puerto conocido asociado con el DNS está abierto, pero una vez iniciado el ataque, el servidor de seguridad con estado rechazaría las solicitudes por no haberse originado internamente. Un servidor de seguridad de aplicaciones puede abrir puertos dinámicamente en función del origen del tráfico.

La característica de servidor de seguridad de aplicaciones ayuda a mitigar el riesgo que suponen los ataques de imitación de IP, DoS, ataques de aplicaciones, reconocimiento de redes y ataques de virus o caballos de Troya. Los inconvenientes de un servidor de seguridad de aplicaciones se refieren a que requiere mucha más potencia de procesamiento y, normalmente, es mucho más lento al pasar el tráfico que los servidores de seguridad con estado o filtrado estático. La consideración más importante a la hora de utilizar servidores de seguridad de aplicaciones consiste en determinar qué puede hacer.

El filtrado de aplicaciones se utiliza de forma generalizada para proteger servicios expuestos públicamente. Si su organización dispone de una tienda en línea que recopila números de tarjetas de crédito y otra información personal sobre los clientes, resulta prudente tomar el máximo nivel de precaución para proteger esta información. La característica de aplicaciones garantiza que el tráfico que pasa por un puerto es el apropiado. Al contrario de lo que sucede con los servidores de seguridad con filtros de paquetes o inspección con estado, que simplemente miran el puerto y la dirección IP de origen y destino, los servidores de seguridad que admiten la característica de filtrado de aplicaciones pueden inspeccionar los datos y comandos que entran y salen.

La mayoría de los servidores de seguridad que admite la característica de aplicaciones sólo dispone de filtrado de aplicaciones para tráfico de texto no cifrado, como un servicio de mensajería compatible con proxy, HTTP y FTP. Es importante tener en cuenta que un servidor de seguridad compatible con esta característica puede regir el tráfico que entra y sale del entorno. Otra ventaja de esta característica es la capacidad de inspeccionar el tráfico DNS para buscar comandos específicos de DNS a medida que pasan por el servidor de seguridad. Este nivel adicional de protección garantiza que usuarios o atacantes no podrán ocultar información en los tipos de tráfico admitidos.

Principio de la página

Clases de servidor de seguridad

En la sección siguiente se presentan varias clases de servidores de seguridad, con sus correspondientes características. Las clases de servidor de seguridad específicas pueden utilizarse para responder a requisitos específicos del diseño de una arquitectura de TI.

La agrupación de servidores de seguridad en clases permite la abstracción del hardware de los requisitos del servicio. A continuación, pueden hacerse coincidir los requisitos del servicio con las características de la clase. Siempre que un servidor de seguridad encaje en una clase específica, éste puede admitir todos los servicios que se requiere que admita la clase.

Las clases son las siguientes:

•	Clase 1: Servidores de seguridad personales
•	Clase 2: Servidores de seguridad de enrutador
•	Clase 3: Servidores de seguridad de hardware inferiores
•	Clase 4: Servidores de seguridad de hardware superiores
•	Clase 5: Servidores de seguridad de servidor superiores

Es importante comprender que algunas de estas clases se solapan. Esto se debe a su diseño, ya que la solapación permite a un tipo de solución de servidor de seguridad abarcar varias clases. También es posible que más de un modelo de hardware del mismo proveedor proporcione varias clases, lo que permite a la organización seleccionar un modelo que se adapte a sus requisitos presentes y futuros. Aparte del conjunto de precio y características, los servidores de seguridad se pueden clasificar según su rendimiento. Sin embargo, en la mayoría de los casos, los fabricantes no proporcionan cifras sobre el rendimiento. Cuando se proporcionan (normalmente, para dispositivos de sistemas de seguridad de hardware) no se sigue el proceso de medida estándar, lo que dificulta las comparaciones entre distintos fabricantes. Por ejemplo, una medida es el número de bits por segundo (bps), pero puesto que, en realidad, el servidor de seguridad transmite paquetes IP, esta medida no tiene sentido si no se incluye el tamaño del paquete utilizado al medir la velocidad.

En las subsecciones siguientes se definen las clases de servidores de seguridad más detalladamente.

Principio de la página

Clase 1: Servidor de seguridad personal

Un servidor de seguridad personal se define como un servicio de software que se ejecuta en un sistema operativo que proporciona una sencilla funcionalidad de servidor de seguridad para un equipo personal. Al crecer el número de conexiones permanentes a Internet (al contrario que las conexiones de acceso telefónico), ha aumentado el uso de servidores de seguridad personales.

Aunque se ha diseñado para proteger a un único equipo personal, un servidor de seguridad personal también puede proteger a una red pequeña si el equipo en el que se ha instalado comparte su conexión a Internet con otros equipos de la red interna. Sin embargo, un servidor de seguridad personal tiene un rendimiento limitado y reduce el rendimiento del equipo personal en el que está instalado. Los mecanismos de protección suelen ser menos efectivos que una solución de servidor de seguridad dedicada porque suelen estar restringidos al bloqueo de direcciones IP y de puertos aunque, en general, un equipo personal necesita un nivel de protección inferior.

Los servidores de seguridad personales pueden incluirse sin costo alguno con un sistema operativo o adquirirse a un precio muy bajo. Son adecuados para el fin con el que se han diseñado, pero no deben utilizarse en empresas, ni siquiera en pequeñas oficinas satélite, ya que su rendimiento y funcionalidad están muy limitados. Sin embargo, son particularmente adecuados para los usuarios móviles que utilizan equipos portátiles.

En la tabla siguiente se muestran las características disponibles en los servidores de seguridad personales. Existen grandes variaciones en su funcionalidad y precio. Sin embargo, puede que la falta de una característica específica, especialmente en un equipo portátil, no tenga demasiada importancia.

Tabla 1. Clase 1: Servidores de seguridad personales

Atributo del servidor de seguridad	Valor
Características básicas admitidas	La mayoría de los servidores de seguridad personales admiten filtros de paquetes estáticos, NAT e inspección con estado, mientras que otros admiten inspección de circuitos y/o filtrado de aplicaciones.
Configuración	Automática (opción manual también disponible)
Bloqueo o admisión de direcciones IP	Sí
Bloqueo o admisión de números de puerto o protocolo	Sí
Bloqueo o admisión de mensajes ICMP entrantes	Sí
Control del acceso de salida	Sí
Protección de aplicaciones	Posiblemente
Alertas audibles o visibles	Posiblemente
Archivo de registro de ataques	Posiblemente
Alertas en tiempo real	En función del producto
Compatibilidad con redes VPN	Normalmente, no
Administración remota	Normalmente, no
Soporte técnico del fabricante	Varía mucho (depende del producto)
Opción de alta disponibilidad	No
Número de sesiones simultáneas	De 1 a 10
Actualización modular (hardware o software)	De ninguna a limitada
Intervalo de precios	Bajo (gratuito en algunos casos)

Ventajas

Las ventajas de los servidores de seguridad personales incluyen:

•	Económicos Cuando se necesita sólo un número limitado de licencias, los servidores de seguridad personales son una opción económica. Las distintas versiones de Windows XP incluyen un servidor de seguridad personal. Encontrará productos adicionales disponibles que funcionan con otras versiones de Windows u otros sistemas operativos de forma gratuita o por un costo limitado.
•	Fáciles de configurar Los productos de servidores de seguridad personales suelen tener configuraciones básicas que funcionan tal cual con opciones de configuración directas.

Inconvenientes

Entre los inconvenientes de los servidores de seguridad personales se incluyen:

•	Difíciles de administrar de forma centralizada Los servidores de seguridad personales se deben configurar en cada cliente, lo que aumenta la carga de administración.
•	Sólo control básico La configuración suele ser sólo una combinación de filtrado de paquetes estático y bloqueo de aplicaciones basado en permisos.
•	Limitaciones de rendimiento Los servidores de seguridad personales están diseñados para proteger equipos personales individuales. Al utilizarlos en un equipo personal que funciona como enrutador para una pequeña red, el rendimiento se reduce.

Principio de la página

Clase 2: Servidor de seguridad de enrutador

Habitualmente, los enrutadores son compatibles con una o varias de las características de servidor de seguridad tratadas anteriormente, y se pueden subdividir en dispositivos inferiores diseñados para conexiones a Internet y enrutadores tradicionales superiores. Los enrutadores inferiores proporcionan características de servidor de seguridad básicas para bloquear y permitir direcciones IP y números de puerto específicos y utilizar NAT para ocultar direcciones IP internas. Suelen proporcionar la característica de servidor de seguridad como estándar, optimizada para bloquear intrusiones de Internet, y aunque no es necesario configurarlos, se pueden delimitar mejor con una configuración adicional.

Los enrutadores superiores se pueden configurar para restringir el acceso al impedir las intrusiones más obvias, por ejemplo pings, e implementar otras restricciones de direcciones IP y puertos a través del uso de listas ACL. Es posible adquirir características de servidor de seguridad adicionales que proporcionen filtrado de paquetes con estado en algunos enrutadores. En los enrutadores superiores, la funcionalidad del servidor de seguridad es similar a la de un dispositivo de hardware de servidor de seguridad, a un costo más bajo pero también con un rendimiento inferior.

Tabla 2. Clase 2: Servidor de seguridad de enrutador

Atributo del servidor de seguridad	Valor
Características básicas admitidas	La mayoría de los servidores de seguridad de enrutador admiten los filtros de paquetes estáticos. Normalmente, los enrutadores inferiores admiten NAT, mientras que los superiores pueden admitir la inspección con estado y/o el filtrado de aplicaciones.
Configuración	Generalmente, automática en los enrutadores inferiores (con opciones manuales). A menudo, manual en los enrutadores superiores.
Bloqueo o admisión de direcciones IP	Sí
Bloqueo o admisión de números de puerto o protocolo	Sí
Bloqueo o admisión de mensajes ICMP entrantes	Sí
Control del acceso de salida	Sí
Protección de aplicaciones	Posiblemente
Alertas audibles o visibles	Normalmente, sí
Archivo de registro de ataques	En muchos casos
Alertas en tiempo real	En muchos casos
Compatibilidad con redes VPN	Con frecuencia en enrutadores inferiores, no tan común en enrutadores superiores. Existen dispositivos o servidores dedicados disponibles para esta tarea.
Administración remota	Sí
Soporte técnico del fabricante	Normalmente, limitado en enrutadores inferiores y bueno en enrutadores superiores.
Opción de alta disponibilidad	Inferiores: no Superiores: sí
Número de sesiones simultáneas	10 – 1,000
Actualización modular (hardware o software)	Inferiores: no Superiores: limitada
Intervalo de precios	De bajo a alto

Ventajas

Entre las ventajas de los servidores de seguridad de enrutador se incluyen:

•	Solución de bajo costo Puede que la activación de un servidor de seguridad de enrutador existente no agregue ningún costo al precio del enrutador y, además, no requiere hardware adicional.
•	La configuración se puede consolidar La configuración del servidor de seguridad de enrutador se puede llevar a cabo cuando se configura el enrutador para su funcionamiento normal, por lo que reduce el trabajo de administración. Esta solución es particularmente adecuada para oficinas de sucursales satélite, puesto que se simplifica el hardware y la administración de la red.
•	Protección de la inversión El personal de operaciones está familiarizado con la configuración y administración del servidor de seguridad del enrutador, por lo que no se necesita formación adicional alguna. El cableado de red es más simple, ya que no se instala hardware adicional, lo que también simplifica la administración de la red.

Inconvenientes

Entre los inconvenientes de los servidores de seguridad del enrutador se incluyen:

•	Funcionalidad limitada En general, los enrutadores inferiores ofrecen sólo características básicas de servidor de seguridad. Por su parte, los enrutadores superiores suelen ofrecer características de servidor de seguridad de alto nivel, pero pueden requerir una configuración considerable. Gran parte de esta configuración se realiza mediante la incorporación de controles que se olvidan fácilmente, lo que dificulta una correcta configuración.
•	Sólo control básico La configuración suele ser sólo una combinación de filtrado de paquetes estático y bloqueo de aplicaciones basado en permisos.
•	Impacto de rendimiento Utilizar un enrutador como servidor de seguridad empeora el rendimiento del enrutador y ralentiza su función de enrutamiento, que es su tarea principal.
•	Rendimiento del archivo de registro La utilización de un archivo de registro para descubrir actividades inusuales puede reducir drásticamente el rendimiento del enrutador, especialmente cuando ya ha sido atacado.

Principio de la página

Clase 3: Servidor de seguridad de hardware inferior

En el mercado de servidores de seguridad de hardware inferiores existen unidades Plug and Play que requieren muy poca o ninguna configuración. A menudo, estos dispositivos incluyen la funcionalidad de conmutador y/o VPN. Los servidores de seguridad de hardware inferiores son adecuados para empresas pequeñas y para su uso interno en organizaciones más grandes. Generalmente, ofrecen capacidades de filtrado estático y funcionalidad de administración remota básica. Es posible que los dispositivos de los mayores fabricantes ejecuten el mismo software que sus homólogos superiores y dispongan de una revisión de actualización.

Tabla 3. Clase 3: Servidor de seguridad de hardware inferior

Atributo del servidor de seguridad	Valor
Características básicas admitidas	La mayoría de los servidores de seguridad de hardware inferiores admite filtros de paquetes estáticos y NAT. Además, es posible que también admitan inspección con estado o filtrado de aplicaciones.
Configuración	Automática (opción manual también disponible)
Bloqueo o admisión de direcciones IP	Sí
Bloqueo o admisión de números de puerto o protocolo	Sí
Bloqueo o admisión de mensajes ICMP entrantes	Sí
Control del acceso de salida	Sí
Protección de aplicaciones	Normalmente, no
Alertas audibles o visibles	Normalmente, no
Archivo de registro de ataques	Normalmente, no
Alertas en tiempo real	Normalmente, no
Compatibilidad con redes VPN	Algunas veces
Administración remota	Sí
Soporte técnico del fabricante	Limitada
Opción de alta disponibilidad	Normalmente, no
Número de sesiones simultáneas	> 10–7500
Actualización modular (hardware o software)	Limitada
Intervalo de precios	Bajo

Ventajas

Entre las ventajas de los servidores de seguridad de hardware inferiores se incluyen:

•	Bajo costo Los servidores de seguridad inferiores se pueden adquirir a un precio económico.
•	Configuración sencilla Casi no se necesita configuración alguna.

Inconvenientes

Entre los inconvenientes de los servidores de seguridad de hardware inferiores se incluyen:

•	Funcionalidad limitada En general, los servidores de seguridad de hardware inferiores ofrecen sólo funcionalidad básica de servidor de seguridad. No se pueden ejecutar en paralelo para la redundancia.
•	Rendimiento bajo Los servidores de seguridad de hardware inferiores no se han diseñado para administrar conexiones de alto rendimiento, lo que puede provocar cuellos de botella.
•	Soporte técnico limitado del fabricante Puesto que se trata de productos de bajo costo, el soporte técnico del fabricante se limita, habitualmente, al correo electrónico o a un sitio Web.
•	Capacidad de actualización limitada No suelen existir actualizaciones de hardware aunque, a menudo, hay actualizaciones de firmware periódicas disponibles.

Principio de la página

Clase 4: Servidor de seguridad de hardware superior

En el mercado de servidores de seguridad de hardware superiores existen productos de alto rendimiento y resistentes adecuados para las empresas o los proveedores de servicios. Normalmente, estos servidores de seguridad ofrecen la mejor protección sin reducir el rendimiento de la red.

La resistencia puede conseguirse agregando un segundo servidor de seguridad que se ejecute como unidad de espera activa que mantenga la tabla de conexiones actual mediante sincronización automática con estado.

Deben usarse servidores de seguridad en todas las redes conectadas a Internet, ya que se producen intrusiones constantemente, como los ataques DoS, los robos y la corrupción de datos. Las oficinas centrales o principales de una empresa deben considerar la implantación de unidades de servidor de seguridad de hardware superiores.

Tabla 4: Clase 4, Servidor de seguridad de hardware superior

Atributo del servidor de seguridad	Valor
Características básicas admitidas	La mayoría de los servidores de seguridad de hardware superiores admite filtros de paquetes estáticos y NAT. Además, es posible que también admitan inspección con estado o filtrado de aplicaciones.
Configuración	Normalmente, manual
Bloqueo o admisión de direcciones IP	Sí
Bloqueo o admisión de números de puerto o protocolo	Sí
Bloqueo o admisión de mensajes ICMP entrantes	Sí
Control del acceso de salida	Sí
Protección de aplicaciones	Potencialmente
Alertas audibles o visibles	Sí
Archivo de registro de ataques	Sí
Alertas en tiempo real	Sí
Compatibilidad con redes VPN	Potencialmente
Administración remota	Sí
Soporte técnico del fabricante	Bueno
Opción de alta disponibilidad	Sí
Número de sesiones simultáneas	> 7500–500,000
Actualización modular (hardware o software)	Sí
Intervalo de precios	Alto

Ventajas

Entre las ventajas de los servidores de seguridad de hardware superiores se incluyen:

•	Alto rendimiento Los productos de servidor de seguridad de hardware se han diseñado para un solo objetivo y proporcionan altos niveles de bloqueo de intrusiones junto con el menor grado de degradación del rendimiento.
•	Gran disponibilidad Los servidores de seguridad de hardware superiores pueden estar conectados entre ellos para conseguir una disponibilidad óptima y equilibrio de carga.
•	Sistemas modulares Tanto el hardware como el software se pueden actualizar para cumplir con los requisitos nuevos. Las actualizaciones de hardware pueden incluir puertos Ethernet adicionales, mientras que las actualizaciones de software pueden incluir la detección de nuevos métodos de intrusión.
•	Administración remota Los servidores de seguridad de hardware superiores ofrecen una mejor funcionalidad de administración remota que sus equivalentes inferiores.
•	Resistencia Los servidores de seguridad de hardware superiores pueden tener características de disponibilidad y resistencia, como la espera activa mediante una segunda unidad.
•	Filtrado de aplicaciones A diferencia de sus homólogos inferiores, que normalmente sólo filtran en el nivel 3 y tal vez 4 del modelo OSI, los servidores de seguridad de hardware superiores proporcionan filtrado en los niveles del 5 al 7 de aplicaciones conocidas.

Inconvenientes

Entre los inconvenientes de los servidores de seguridad de hardware superiores se incluyen:

•	Costo elevado Los servidores de seguridad de hardware superiores suelen ser caros. Aunque pueden adquirirse por tan poco como 100 dólares USA, el costo es mucho mayor para un servidor de seguridad empresarial y con frecuencia se basa en los requisitos de número de sesiones simultáneas, rendimiento y disponibilidad.
•	Configuración y administración complejas Dado que esta clase de servidores de seguridad tiene una funcionalidad mayor que la de los servidores de seguridad inferiores, también resultan más difíciles de configurar y administrar.

Principio de la página

Clase 5: Servidor de seguridad de servidor superior

Los servidores de seguridad de servidor proporcionan la funcionalidad de servidor de seguridad a servidores superiores, ofreciendo una protección sólida y rápida para sus sistemas estándar de hardware y software. La ventaja de este enfoque es el uso de hardware o software conocido. Esto proporciona un número reducido de artículos de inventario, una formación y administración simplificadas, así como confiabilidad y capacidad de expansión. Muchos de los productos de servidor de seguridad de hardware superiores se implantan en plataformas de hardware estándar con sistemas operativos estándar (pero ocultos a la vista) y, por lo tanto, se diferencian poco, a nivel de técnica y rendimiento, de un servidor de seguridad de servidor. Sin embargo, puesto que el sistema operativo sigue siendo visible, la característica de servidor de seguridad de servidor se puede actualizar y hacer más resistente mediante técnicas como el servicio de clúster.

Dado que el servidor de seguridad de servidor es un servidor que ejecuta un sistema operativo común, es posible agregarle software, características y funcionalidades adicionales de varios proveedores (y no de uno solo, como sucede con el servidor de seguridad de hardware). El hecho de estar familiarizado con el sistema operativo también puede llevar a una protección más eficaz, ya que algunas de las demás clases necesitan unos conocimientos técnicos considerables para una configuración completa y correcta.

Esta clase resulta adecuada en casos de una gran inversión en una plataforma de hardware o software particular, ya que la utilización de la misma plataforma para el servidor de seguridad facilita las tareas de administración. La capacidad de almacenamiento en caché de esta clase también puede ser muy eficaz.

Tabla 5: Clase 5, Servidor de seguridad de servidor superior

Atributo del servidor de seguridad	Valor
Características admitidas	La mayoría de los servidores de seguridad de servidor superiores admite filtros de paquetes estáticos y NAT. Además, es posible que también admitan inspección con estado o filtrado de aplicaciones.
Configuración	Normalmente, manual
Bloqueo o admisión de direcciones IP	Sí
Bloqueo o admisión de números de puerto o protocolo	Sí
Bloqueo o admisión de mensajes ICMP entrantes	Sí
Control del acceso de salida	Sí
Protección de aplicaciones	Potencialmente
Alertas audibles o visibles	Sí
Archivo de registro de ataques	Sí
Alertas en tiempo real	Sí
Compatibilidad con redes VPN	Potencialmente
Administración remota	Sí
Soporte técnico del fabricante	Bueno
Opción de alta disponibilidad	Sí
Número de sesiones simultáneas	>50.000 (a través de varios segmentos de red)
Actualización modular (hardware o software)	Sí
Otros	Sistema operativo común
Intervalo de precios	Alto

Ventajas

Entre las ventajas de los servidores de seguridad de servidor se incluyen:

•	Alto rendimiento Cuando se ejecutan en un servidor de tamaño adecuado, estos servidores de seguridad pueden ofrecer altos niveles de rendimiento.
•	Integración y consolidación de servicios Los servidores de seguridad de servidor pueden utilizar características del sistema operativo en el que se ejecutan. Por ejemplo, el software de un servidor de seguridad que se ejecute en el sistema operativo Windows Server™ 2003 puede aprovechar la funcionalidad de equilibrio de carga de red integrada en dicho sistema operativo. Además, el servidor de seguridad también puede utilizarse como servidor VPN, de nuevo gracias a la funcionalidad del sistema operativo Windows Server 2003.
•	Disponibilidad, resistencia y escalabilidad Puesto que este servidor de seguridad se ejecuta en el hardware estándar de un equipo, tiene todas las características de disponibilidad, resistencia y escalabilidad de la plataforma en la que se ejecuta.

Inconvenientes

Entre los inconvenientes de los servidores de seguridad de servidor se incluyen:

•

Requiere hardware superior
Para un óptimo rendimiento, la mayoría de los productos de servidor de seguridad de servidor requiere hardware superior en cuanto a unidad central de procesamiento (CPU), memoria e interfaces de red.

•

Susceptible a problemas de seguridad
Puesto que los productos de servidor de seguridad de servidor se ejecutan en sistemas operativos conocidos, son susceptibles a los problemas de seguridad presentes en el sistema operativo y en otro software que se ejecute en el servidor. Aunque se trata del mismo caso que en los servidores de seguridad de hardware, los sistemas operativos de estos no resultan tan familiares a los atacantes como la mayoría de los sistemas operativos de servidor.

Uso del servidor de seguridad interno

El objetivo de los servidores de seguridad internos es controlar el acceso a la red interna y desde la misma. Los tipos de usuario pueden ser:

•	De confianza Empleados de la organización, que pueden ser usuarios internos que se dirigen a la zona perimetral o Internet, usuarios externos, como trabajadores de oficinas sucursales, usuarios remotos o usuarios que trabajan desde casa.
•	De confianza media Socios comerciales de la organización, para quienes existe un nivel más alto de confianza que con los usuarios no confiables. Sin embargo, suele ser un nivel de confianza inferior que el de los empleados de la organización.
•	No confiables Por ejemplo, usuarios del sitio Web público de la organización.

Los usuarios no confiables de Internet, en teoría, sólo pueden tener acceso a los servidores Web en la zona perimetral. Si necesitan acceso a los servidores internos, por ejemplo, para comprobar los niveles de existencias, el servidor Web confiable realiza la consulta en su nombre, de modo que nunca se permite pasar a los usuarios no confiables por el servidor de seguridad interno.

A la hora de seleccionar la clase de servidor de seguridad que se utilizará en este recurso, hay que tener en cuenta una serie de elementos. En la tabla siguiente se describen estas cuestiones.

Tabla 6: Elementos para la elección de una clase de servidor de seguridad interno

Elemento	Características habituales de un servidor de seguridad implantado en este recurso
Características de servidor de seguridad necesarias, según especificaciones del administrador de seguridad	Se trata de un balance entre el grado de seguridad necesario y el costo de las características y la probable reducción del rendimiento que el aumento de la seguridad puede provocar. Mientras que muchas organizaciones desean la máxima seguridad para el servidor de seguridad que sirva a esta capacidad, algunas no están dispuestas a aceptar la reducción de rendimiento correspondiente. Para sitios Web de gran volumen que no son de comercio electrónico, por ejemplo, es posible que se permitan niveles de seguridad más bajos a causa del alto nivel de rendimiento que se obtiene al utilizar filtros de paquetes estáticos en lugar de filtrado de aplicaciones.
Si será un dispositivo físico dedicado, proporcionará funcionalidad adicional o será un servidor de seguridad lógico en un dispositivo físico	Esto depende del rendimiento requerido, la importancia de los datos y la frecuencia de solicitud de acceso desde la zona perimetral.
Requisitos de facilidad de administración para el dispositivo especificados por la arquitectura administrativa de la organización	Normalmente se utiliza algún tipo de registro y también suele requerirse un mecanismo de supervisión de sucesos. Es posible que no desee permitir la administración remota aquí para evitar que un usuario malintencionado pueda administrar el dispositivo de forma remota.
Los requisitos de rendimiento probablemente vendrán determinados por los administradores de servicio y de red dentro de la organización	Estos variarán para cada entorno, pero la potencia del hardware en el dispositivo o el servidor y las características del servidor de seguridad que se utilizan determinarán el rendimiento global disponible de la red.
Requisitos de disponibilidad	De nuevo, estos dependen de los requisitos de acceso de los servidores Web. Si su función principal consiste en tratar solicitudes de información satisfechas al proporcionar páginas Web, el flujo de las redes internas será bajo. Sin embargo, las situaciones de comercio electrónico requieren niveles altos de disponibilidad.

Reglas del servidor de seguridad interno

Los servidores de seguridad internos supervisan el tráfico entre la zona perimetral y las zonas internas de confianza. Los requisitos técnicos para los servidores de seguridad internos son considerablemente más complejos que los de los servidores de seguridad perimetrales, a causa de la complejidad de los flujos y tipos de tráfico entre estas redes.

En esta sección, se hace referencia a "hosts de bastión". Los hosts de bastión son servidores ubicados en la red perimetral que proporcionan servicios a usuarios internos y externos. Algunos ejemplos de hosts de bastión son los servidores Web y los servidores VPN. Normalmente, el servidor de seguridad interno necesitará tener implantadas las normas siguientes, de forma predeterminada o configuradas:

•	Bloquear todos los paquetes de forma predeterminada.
•	En la interfaz perimetral, bloquear paquetes entrantes que parezcan haberse originado desde una dirección IP interna para evitar la imitación de IP.
•	En la interfaz interna, bloquear paquetes salientes que parezcan haberse originado desde una dirección IP externa para restringir un ataque interno.
•	Permitir consultas basadas en UDP y respuestas de los servidores DNS al host de bastión de resolución de DNS.
•	Permitir consultas basadas en UDP y respuestas del host de bastión de resolución de DNS a los servidores DNS internos.
•	Permitir consultas basadas en TCP de los servidores DNS internos al host de bastión de resolución de DNS, incluidas las respuestas a las consultas.
•	Permitir consultas basadas en TCP del host de bastión de resolución de DNS a los servidores DNS internos, incluidas las respuestas a las consultas.
•	Permitir transferencias de zona entre el host de bastión de anuncio de DNS y los hosts servidores DNS internos.
•	Permitir correo saliente del servidor de correo SMTP interno al host de bastión SMTP de salida.
•	Permitir correo entrante del host de bastión SMTP de entrada al servidor de correo SMTP interno.
•	Permitir que el tráfico originado desde el servidor en servidores VPN llegue a los hosts internos y que las respuestas se devuelvan a los servidores VPN.
•	Permitir el tráfico de autenticación con servidores RADIUS en la red interna y la devolución de respuestas a los servidores VPN.
•	Todo el acceso Web de salida de los clientes internos pasa por un servidor proxy y las respuestas se les devuelven.
•	Admitir el tráfico de autenticación de dominios de Microsoft Windows 2000/2003 entre segmentos de red para el dominio perimetral y el dominio interno.
•	Admitir al menos cinco segmentos de red.
•	Realizar una inspección con estado de paquetes entre todos los segmentos de red que se unan (servidor de seguridad de circuitos, nivel 3 y nivel 4).
•	Admitir características de alta disponibilidad como conmutación por error con estado.
•	Enrutar el tráfico entre todos los segmentos de red conectados sin utilizar la Traducción de direcciones de red.

Principio de la página

Requisitos de hardware

Los requisitos de hardware para un servidor de seguridad son distintos para servidores de seguridad basados en software y servidores de seguridad basados en hardware, como se describe a continuación:

•

Servidor de seguridad basado en hardware
Estos dispositivos ejecutan, habitualmente, código especializado en una plataforma de hardware personalizada. Los servidores de seguridad suelen ajustarse (y valorarse económicamente) en función del número de conexiones que puedan admitir y la complejidad del software que se ejecutará.

•

Servidores de seguridad basados en software
Se configuran también según el número de conexiones simultáneas y la complejidad del software del servidor de seguridad. Existen calculadoras capaces de calcular la velocidad de procesador, el tamaño de la memoria y el espacio en disco que necesita un servidor en función del número de conexiones admitidas. También se debe tener en cuenta cualquier otro software que pueda ejecutarse en el servidor del servidor de seguridad, como software de equilibrio de carga y VPN. Asimismo, deberá tener en cuenta los métodos para escalar el servidor de seguridad de forma vertical u horizontal. Estos métodos incluyen el aumento de la potencia del sistema mediante procesadores, memoria y tarjetas de red adicionales, así como la utilización de varios sistemas de equilibrio de carga para repartir entre ellos las tareas del servidor de seguridad. Algunos productos aprovechan el multiprocesamiento simétrico (SMP) para aumentar el rendimiento. El servicio de equilibrio de carga de red de Windows Server 2003 puede ofrecer tolerancia a errores, alta disponibilidad, eficacia y mejoras de rendimiento para algunos productos de servidor de seguridad de software.

Principio de la página

Disponibilidad

Para aumentar la disponibilidad del servidor de seguridad, puede implantarse como un único dispositivo con o sin componentes redundantes o como un par de servidores de seguridad redundantes con algún tipo de mecanismo de equilibrio de carga y/o conmutación por error. Las ventajas e inconvenientes de estas opciones se describen en las subsecciones siguientes.

Servidor de seguridad único sin componentes redundantes

La ilustración siguiente representa un servidor de seguridad sin componentes redundantes:

Figura 2
Servidor de seguridad único sin componentes redundantes

Ventajas

Entre las ventajas de un servidor de seguridad único se incluyen:

•	Bajo costo Puesto que se trata de un solo servidor de seguridad, los costos de hardware y licencias son bajos.
•	Administración simplificada Se simplifica la administración, puesto que sólo hay un servidor de seguridad para el sitio o la empresa.
•	Origen de registro único El registro del tráfico está centralizado en un dispositivo.

Inconvenientes

Entre los inconvenientes de un único servidor de seguridad sin redundancia se incluyen:

•	Punto único de error Hay un solo punto de error para el acceso de entrada y salida.
•	Probable cuello de botella de tráfico Un único servidor de seguridad podría ser un cuello de botella de tráfico, según el número de conexiones y el rendimiento requerido.

Servidor de seguridad único con componentes redundantes

La ilustración siguiente representa un servidor de seguridad con componentes redundantes:

Figura 3
Servidor de seguridad único con componentes redundantes

Ventajas

Entre las ventajas de un servidor de seguridad único se incluyen:

•	Bajo costo Puesto que se trata de un solo servidor de seguridad, los costos de hardware y licencias son bajos. El costo de los componentes redundantes, como la fuente de alimentación, no es alto.
•	Administración simplificada Se simplifica la administración, puesto que sólo hay un servidor de seguridad para el sitio o la empresa.
•	Origen de registro único El registro del tráfico está centralizado en un dispositivo.

Inconvenientes

Entre los inconvenientes de un servidor de seguridad único se incluyen:

•	Punto único de error Según el número de componentes redundantes, es probable que siga habiendo un solo punto de error para el acceso de entrada y salida.
•	Costo El costo es más elevado que el de un servidor de seguridad sin redundancia y puede requerir también una clase superior de servidor de seguridad que pueda incorporar la redundancia.
•	Probable cuello de botella de tráfico Un único servidor de seguridad podría ser un cuello de botella de tráfico, según el número de conexiones y el rendimiento requerido.

Servidores de seguridad tolerante a errores

Un conjunto de servidor de seguridad tolerante a errores incluye un mecanismo para duplicar cada uno de los servidores de seguridad, como muestra la ilustración siguiente.

Figura 4
Servidores de seguridad tolerantes a errores

Ventajas

Entre las ventajas de un conjunto de servidor de seguridad tolerante a errores se incluyen:

•	Tolerancia a errores El uso de pares de servidores o dispositivos puede ayudar a proporcionar el nivel necesario de tolerancia a errores.
•	Registro central del tráfico El registro del tráfico es más confiable, ya que uno o ambos servidores de seguridad pueden registrar la actividad para el otro o para un servidor independiente.
•	Posible estado compartido En función del producto, los servidores de seguridad de este conjunto pueden ser capaces de compartir el estado de las sesiones.

Inconvenientes

Entre los inconvenientes de un conjunto de servidor de seguridad tolerante a errores se incluyen:

•	Mayor complejidad La configuración y compatibilidad con este tipo de solución es más compleja a causa de las múltiples rutas del tráfico de red.
•	Configuración compleja Los conjuntos separados de reglas del servidor de seguridad pueden provocar problemas de soporte técnico, así como agujeros de seguridad si no se configuran correctamente.
•	Mayor costo Dado que se requieren al menos dos servidores de seguridad, el costo aumenta respecto a un conjunto único.

Configuraciones del servidor de seguridad tolerante a errores

Al implementar un conjunto de servidor de seguridad tolerante a errores (también denominado clúster), existen dos enfoques principales, tal y como se describe en las secciones siguientes.

Conjunto de servidor de seguridad activo/pasivo tolerante a errores

En un conjunto de servidor de seguridad activo/pasivo tolerante a errores, un dispositivo (también llamado nodo activo) controla todo el tráfico mientras el otro (el nodo pasivo) no reenvía tráfico ni realiza filtraciones, sino que permanece activo supervisando el estado del nodo activo. Normalmente, cada nodo comunica su disponibilidad y/o el estado de su conexión a su nodo asociado. Esta comunicación se conoce como latido, que cada sistema envía al otro varias veces por segundo para asegurarse de que el nodo asociado está controlando las conexiones. Si el nodo pasivo no recibe un latido del nodo activo durante un período superior al definido por el usuario, esto significa que se ha producido un error en el nodo activo y el nodo pasivo asume la función activa. La ilustración siguiente representa un conjunto de servidor de seguridad activo/pasivo tolerante a errores.

Figura 5
Conjunto de servidor de seguridad activo/pasivo tolerante a errores

Ventajas

Entre las ventajas del conjunto de servidor de seguridad activo/pasivo tolerante a errores se incluyen:

•	Configuración sencilla Resulta más fácil configurar este conjunto y solucionar sus problemas que con la opción siguiente, activo/activo, ya que sólo hay una ruta de red activa a la vez.
•	Carga de conmutación por error predecible Dado que toda la carga de tráfico pasa al nodo pasivo en la conmutación por error, resulta fácil conocer el tráfico que deberá poder administrar el nodo pasivo.

Inconvenientes

Entre los inconvenientes del conjunto de servidor de seguridad activo/pasivo tolerante a errores se incluyen:

•	Utilización ineficaz El conjunto de servidor de seguridad activo/pasivo tolerante a errores resulta ineficaz porque el nodo pasivo no proporciona ninguna función útil a la red durante su funcionamiento normal y no aumenta el rendimiento.

Conjunto de servidor de seguridad activo/pasivo tolerante a errores

En un conjunto de servidor de seguridad activo/activo tolerante a errores, dos o más nodos escuchan activamente todas las solicitudes enviadas a una dirección IP virtual que todos los nodos comparten. La carga se distribuye entre los nodos mediante algoritmos exclusivos del mecanismo de tolerancia a errores que se utiliza o mediante una configuración estática basada en el usuario. Sea cual sea el método, el resultado es que cada nodo filtra activamente tráfico distinto. En el caso en que se produzca un error en un nodo, los nodos supervivientes distribuyen el procesamiento de la carga que éste había asumido anteriormente. La ilustración siguiente representa un conjunto de servidor de seguridad activo/activo tolerante a errores.

Figura 6
Conjunto de servidor de seguridad activo/activo tolerante a errores

Ventajas

Entre las ventajas del conjunto de servidor de seguridad activo/pasivo tolerante a errores se incluyen:

•	Mayor eficiencia Dado que todos los servidores de seguridad proporcionan un servicio a la red, su uso es más eficaz.
•	Mayor rendimiento Durante su funcionamiento normal, esta configuración puede controlar niveles mayores de tráfico en comparación con la configuración activo/pasivo, ya que todos los servidores de seguridad proporcionan servicio a la red de forma simultánea.

Inconvenientes

Entre los inconvenientes del conjunto de servidor de seguridad activo/pasivo tolerante a errores se incluyen:

•

Sujeto a sobrecarga potencial
Si se produce un error en un nodo, los recursos de hardware del nodo restante pueden no ser suficientes para administrar la necesidad total de rendimiento. Es importante planearlo en consecuencia y comprender que es probable que se produzca la degradación del rendimiento mientras los nodos supervivientes asuman la carga de trabajo adicional al producirse un error en un nodo.

•

Mayor complejidad
Dado que el tráfico de red puede pasar por varias rutas, la solución de problemas resulta más compleja.

Principio de la página

Seguridad

La seguridad de los productos de servidor de seguridad tiene una importancia capital. Aunque no hay estándares en la industria para la seguridad del servidor de seguridad, la asociación independiente de proveedores International Computer Security Association (ICSA) utiliza un programa de certificación destinado a comprobar la seguridad de los productos de este tipo disponibles en el mercado. ICSA somete a sus pruebas a un número significativo de los productos de servidor de seguridad disponibles actualmente en el mercado. Para obtener más información, consulte la dirección URL siguiente:

www.icsalabs.com

Se debe prestar atención para asegurar que un servidor de seguridad cumple los estándares de seguridad requeridos, y una forma de hacerlo consiste en seleccionar un servidor de seguridad con la certificación ICSA. Además, debe existir un registro de seguimiento para el servidor de seguridad que se elija. Existen varias bases de datos de problemas de seguridad en Internet. Resulta interesante consultarlas para obtener información sobre los problemas de seguridad del producto que tiene pensado adquirir. Desafortunadamente, todos los productos (basados en hardware y software) presentan problemas. Además de determinar el número y la gravedad de los errores que han afectado al producto que desea comprar, también es importante evaluar la respuesta del proveedor a los problemas de seguridad expuestos.

Principio de la página

Escalabilidad

En esta sección se trata el requisito de escalabilidad de una solución de servidor de seguridad. La escalabilidad de los servidores de seguridad viene determinada, en gran parte, por las características de rendimiento de los dispositivos que utiliza. Es recomendable seleccionar un tipo de servidor de seguridad escalable que pueda adaptarse a las situaciones a las que tendrá que enfrentarse en la práctica. Existen dos métodos básicos para conseguir escalabilidad:

•

Escalabilidad vertical
Tanto si el servidor de seguridad es un dispositivo de hardware o una solución de software que se ejecuta en un servidor, pueden conseguirse grados distintos de escalabilidad si se aumentan la memoria, la potencia de proceso de la CPU y el rendimiento de las interfaces de red. Sin embargo, todos los dispositivos o servidores tienen una capacidad finita con respecto al límite del ajuste de escalabilidad vertical. Por ejemplo, si adquiere un servidor con sockets para cuatro CPU y empieza con dos, sólo podrá agregar dos CPU más.

•

Escalabilidad horizontal
Una vez escalado verticalmente un servidor hasta su límite, la escalabilidad horizontal pasa a ser importante. La mayoría de los servidores de seguridad (basados en hardware y software) son escalables mediante el uso de alguna forma de equilibrio de carga. En estas situaciones, se organizan varios servidores en un clúster y se muestran como uno solo para los clientes de la red. Esta situación es básicamente la misma que la del clúster activo/activo descrita en la sección "Disponibilidad" de este módulo. Es posible que la tecnología utilizada para proporcionar esta funcionalidad no sea la misma que se ha descrito anteriormente, lo que dependerá del proveedor.

La escala de servidores de seguridad de hardware puede resultar difícil. Sin embargo, algunos fabricantes de servidores de seguridad de hardware ofrecen soluciones de escalabilidad horizontal que permiten que sus dispositivos se apilen para funcionar como una unidad única y equilibrada.

Algunos servidores de seguridad basados en software se han diseñado para la escalabilidad vertical mediante el uso de varios procesadores. El sistema operativo controla el multiprocesamiento y el software del servidor de seguridad no necesita conocer la existencia de procesadores adicionales. Sin embargo, no es posible sacar el máximo partido de los procesadores múltiples a menos que el software del servidor de seguridad pueda funcionar con varias tareas a la vez. Este enfoque permite la escala en dispositivos únicos o redundantes, a diferencia de los servidores de seguridad basados en hardware o de tipo dispositivo que, normalmente, están sujetos a las limitaciones de hardware de su fabricación. La mayoría de los servidores del tipo dispositivo se clasifica por el número de conexiones simultáneas que puede controlar. Los dispositivos de hardware deben reemplazarse con frecuencia si los requisitos de conexión superan la disponibilidad del modelo de escala fija del dispositivo.

Como ya se ha explicado, es posible que el sistema operativo de un servidor del servidor de seguridad incluya algún mecanismo de tolerancia a errores. En el caso de un servidor de seguridad de hardware, es probable que la tolerancia a errores suponga un costo adicional.

Principio de la página

Consolidación

Consolidación significa incorporar el servicio de servidor de seguridad en otro dispositivo o incorporar otros servicios en el servidor de seguridad. Entre las ventajas de la consolidación se incluyen:

•	Precio de adquisición bajo Al incorporar el servicio del servidor de seguridad en otro servicio, como un enrutador, el costo de un dispositivo de hardware se elimina, aunque debe adquirirse el software del servidor de seguridad. De la misma manera, si se incorporan otros servicios en el servidor de seguridad, se elimina el costo de hardware adicional.
•	Costos de administración e inventario reducidos La reducción del número de dispositivos de hardware conlleva unos costos de funcionamiento reducidos. Dado que se requieren menos actualizaciones de hardware, el cableado y la administración se simplifican.
•	Mayor rendimiento En función de la consolidación que se consiga, es posible que mejore el rendimiento. Por ejemplo, al incorporar almacenamiento en caché de servidor Web en el servidor de seguridad, es posible que se reduzcan los dispositivos adicionales y que los servicios se comuniquen a gran velocidad entre ellos en lugar de a través de un cable Ethernet.

Los ejemplos de consolidación incluyen:

•

Adición de servicios de servidor de seguridad al enrutador
La mayoría de los enrutadores pueden tener incorporado un servicio de servidor de seguridad. Probablemente, la funcionalidad de este servicio sea muy sencilla en enrutadores de bajo precio, pero los enrutadores superiores suelen incluir un servicio de servidor de seguridad muy eficaz. Probablemente, tendrá al menos un enrutador que vincule los segmentos Ethernet de la red interna. Si se incorpora el servidor de seguridad, se ahorrarán costos. Incluso si implanta dispositivos de servidor de seguridad específicos, la implantación de características de servidor de seguridad en los enrutadores puede contribuir a limitar las intrusiones internas.

•

Adición de servicios de servidor de seguridad al conmutador interno
En función del conmutador interno que utilice, es posible agregar el servidor de seguridad interno como complemento, con lo que se reducen los costos y se mejora el rendimiento.

Al considerar la consolidación de otros servicios en el mismo servidor o dispositivo que proporciona el servicio de servidor de seguridad, debe comprobar que el uso de un servicio concreto no ponga en peligro la disponibilidad, la seguridad ni la capacidad de administración del servidor de seguridad. Las consideraciones de rendimiento también son importantes, ya que la carga generada por los servicios adicionales degradará el rendimiento del servicio de servidor de seguridad.

Un enfoque adicional a la consolidación de servicios en el mismo dispositivo o el servidor que aloja el servicio del servidor de seguridad consiste en consolidar un dispositivo de hardware de servidor de seguridad como complemento en un conmutador. Normalmente, este enfoque cuesta menos que cualquier servidor independiente de cualquier tipo y puede utilizar las características de disponibilidad del conmutador, como los sistemas de alimentación duplicados. Esta configuración también resulta fácil de administrar, ya que no implica ningún dispositivo adicional. Además, esta solución suele ejecutarse más rápido porque utiliza el bus del conmutador, que resulta mucho más rápido que el cableado exterior.

Principio de la página

Estándares e instrucciones

La mayoría de los protocolos de Internet que utiliza la versión 4 del Protocolo de Internet (IPv4) puede protegerse con un servidor de seguridad. Esto incluye protocolos de bajo nivel, como TCP y UDP, y protocolos de alto nivel como HTTP, SMTP y FTP. Revise cualquier producto de servidor de seguridad que se pueda considerar para asegurar de que admite el tipo de tráfico necesario. Algunos servidores de seguridad también pueden interpretar el protocolo GRE, que es el de encapsulación para el protocolo de túnel punto a punto (PPTP) utilizado en algunas implementaciones de VPN.

Algunos servidores de seguridad han integrado filtros de aplicaciones para protocolos como HTTP, SSL, DNS, FTP, SOCKS v4, RPC, SMTP, H. 323 y el protocolo de oficina de correo (POP).

También debe considerar el futuro del protocolo TCP/IP e IPv6, y si éste debe ser un requisito obligatorio para cualquier servidor de seguridad, incluso si actualmente utiliza IPv4.

Principio de la página

Resumen

En este módulo se ha proporcionado un proceso práctico para la correcta selección de productos de servidor de seguridad. Este proceso trata todos los aspectos del diseño del servidor de seguridad, incluidos los distintos procesos de evaluación y clasificación necesarios para llegar a una solución.

No hay ningún servidor de seguridad 100% seguro. La única forma de asegurarse de que la red no puede atacarse electrónicamente desde fuera consiste en implantar una separación entre ésta y el resto de sistemas y redes. El resultado sería una red segura prácticamente imposible de utilizar. Los servidores de seguridad permiten implementar un nivel adecuado de protección de seguridad al conectar la red a una externa o al conectar dos redes internas.

Las estrategias y procesos de diseño de servidor de seguridad descritas en este módulo sólo deben considerarse como parte de una estrategia de seguridad global. Un servidor de seguridad sólido tiene un valor limitado si existen puntos débiles en otras partes de la red, por lo que deben aplicarse medidas de seguridad en todos los componentes de la red y debe definirse una directiva de seguridad que tenga en cuenta los riesgos inherentes del entorno para cada componente.

Principio de la página

Referencias

Para obtener más información sobre el diseño e implantación de servicios de servidor de seguridad, consulte las direcciones URL siguientes:

Para obtener información de seguridad detallada sobre Windows Server 2003, consulte el módulo "Windows Server 2003 Security Center" en la dirección URL siguiente: www.microsoft.com/technet/security/prodtech/windows/win2003/

Para obtener información sobre servidores de seguridad de Microsoft Internet Security & Acceleration Server y productos de caché Web, consulte la dirección URL siguiente: http://www.microsoft.com/latam/isaserver/

Para tener acceso al servicio gratuito de notificaciones por correo electrónico que utiliza Microsoft para enviar información a los suscriptores sobre la seguridad de los productos Microsoft, consulte el sitio Web del Servicio de notificación de seguridad de Microsoft en la dirección URL siguiente: http://www.microsoft.com/spain/technet/seguridad/boletines/notificacion.asp

Los recursos de seguridad del instituto SANS (administración de sistemas, auditoría, redes y seguridad) se encuentran disponibles en el sitio Web siguiente: www.sans.org

La organización CERT (equipo de respuesta a emergencias informáticas) registra y publica alertas de seguridad y dispone de un centro para expertos en seguridad en la dirección URL siguiente: www.cert.org

Principio de la página