Implementación de Redes
Privadas Virtuales (VPN) utilizando el protocolo IPSec
Curso de Especialista
Universitario en
Seguridad Informática y
Servicios Electrónicos.
Trabajo final.
Implementación de Redes
Privadas Virtuales (VPN) utilizando el protocolo IPSec
Curso de Especialista
Universitario en
Seguridad Informática y
Servicios Electrónicos.
Trabajo final.
|
En la actualidad, las
organizaciones son cada vez más dependientes de sus redes informáticas y un
problema que las afecte, por mínimo que sea, puede llegar a comprometer la
continuidad de las operaciones.
La falta de
medidas de seguridad en las redes es un problema que está en crecimiento. Cada
vez es mayor el número de atacantes y cada vez están más organizados, por lo
que van adquiriendo día a día habilidades más especializadas que les permiten
obtener mayores beneficios. Tampoco deben subestimarse las fallas de seguridad
provenientes del interior mismo de la organización.
La propia complejidad de la
red es una dificultad para la detección y corrección de los múltiples y
variados problemas de seguridad que van apareciendo. En medio de esta variedad,
han ido aumentando las acciones poco respetuosas de la privacidad y de la
propiedad de recursos y sistemas. “Hackers”, “crakers”, entre otros, han hecho
aparición en el vocabulario ordinario de los usuarios y de los administradores
de las redes.
Además de las técnicas y
herramientas criptográficas, es importante recalcar que un componente muy
importante para la protección de los sistemas consiste en la atención y
vigilancia continua y sistemática por parte de los responsables de la red. A la
hora de plantearse en qué elementos del sistema se deben de ubicar los
servicios de seguridad podrían distinguirse dos tendencias principales:
Protección de los sistemas de
transferencia o transporte. En
este caso, el administrador de un servicio asume la responsabilidad de
garantizar la transferencia segura al usuario final de la información de forma
lo más transparente posible. Ejemplos de este tipo de planteamientos serían el
establecimiento de un nivel de transporte seguro, de un servicio de mensajería
con MTAs (Mail Transport Agents) seguras, o la instalación de un firewall, que
defiende el acceso a una parte protegida de una red.
Aplicaciones seguras extremo a extremo. Si
pensamos, por ejemplo, en el correo electrónico, consistiría en construir un
mensaje en el cual el contenido ha sido asegurado mediante un procedimiento de
encapsulado previo al envío. De esta forma, el mensaje puede atravesar sistemas
heterogéneos y poco fiables sin por ello perder la validez de los servicios de
seguridad provistos. Aunque el acto de asegurar el mensaje cae bajo la
responsabilidad del usuario final, es razonable pensar que dicho usuario deberá
usar una herramienta amigable proporcionada por el responsable de seguridad de
su organización. Esta misma operatoria, puede usarse para abordar el problema
de la seguridad en otras aplicaciones tales como videoconferencia, acceso a
bases de datos, etc.
En
ambos casos, un problema de capital importancia es la gestión de passwords.
Este problema es inherente al uso de la criptografía y debe estar resuelto
antes de que el usuario esté en condiciones de enviar un solo bit seguro. Otro
no menos importante es el nivel de implicación de los usuarios con respecto a
la seguridad de los datos que están manejando, que en la mayoría de los casos
suele ser nulo.
Aunque
en nuestro trabajo nos vamos a centrar en la seguridad en redes de
comunicaciones, a continuación destacamos las principales áreas que un sistema
de seguridad completo debería contemplar:
o
La autentificación,
para comprobar que tanto el usuario del servicio y el prestador del servicio
son realmente quienes dicen ser.
o
La confidencialidad
para garantizar que los datos que se envían sólo serán conocidos por usuario y
servidor; que nadie, en un paso intermedio podrá tener acceso a dicha
información.
o
La integridad
de los datos enviados. El servidor ha de estar seguro de que los datos
recibidos son idénticos a los enviados, es decir, que no han sido modificados
por el camino.
Así pues un sistema de seguridad
completo debe contar con la selección y diseño previo de las herramientas
adecuadas. Lo que se pretende es tener un nivel de seguridad que sea capaz de
responder favorablemente ante posibles negligencias de los usuarios, ataques
malintencionados, y posibles catástrofes naturales.
Para esta labor es necesario que
la organización que desee implantar un sistema de seguridad deberá seguir
metodología y contar con un grupo de trabajo formada tanto por personal interno
de la organización, como externo si así fuese requerido o la empresa no cuenta
con personal cualificado.
La metodología para implantar el
plan de seguridad debería desarrollar en profundidad los siguientes puntos:
·
Comité de seguridad y gestión de red.
·
Evaluación de la red
·
Administración de la red y métodos de control de
acceso
·
Sistemas de control de acceso.
·
Análisis del tráfico de la red
·
Seguridad en las aplicaciones informáticas
·
Auditoría de seguridad y detección de intrusiones
·
Política de seguridad de red
·
Política de control de virus
·
Plan de contingencia y recuperación ante
catástrofes
Comité de seguridad y gestión de
red:
Una primera reunión es necesaria
para establecer tareas, actividades y responsabilidades. El propósito es formar
un equipo que se encargue de definir los objetivos. Debería incluir
representantes de cada área funcional de la organización.
Evaluación de la red.
Arquitectura:
Es el proceso de identificar y
documentar toda la red, su topología, elementos y recursos. Este proceso
generará las herramientas necesarias para establecer una política de seguridad
efectiva.
Administración de la red y
métodos de control de acceso:
En este punto se pretende
verificar como son tratadas las cuentas de usuarios y sus permisos. Esto nos
revelará no sólo como están configurados los permisos de acceso, sino también saber
si hay uno o varios administradores para cada tarea en particular. También es
necesario conocer como trabajan los controles de acceso desde los sistemas del
usuario, incluyendo que servicios se han activado después de identificarse en
la red.
Sistemas de control de acceso:
Una vez introducidos en la red
Firewalls, dispositivos de control de acceso, sistemas de detección de
intrusos... es necesario validar su configuración y funcionalidad. Las
diferentes configuraciones y mecanismos de los sistemas de control de acceso
forman la base de la seguridad de la red.
Análisis del tráfico de la red:
Un analizador de redes nos
revelará que tipo de tráfico hay en nuestra red. Esto nos puede indicar, no
sólo si las contraseñas pueden ser fácilmente robadas, sino que también nos
ayudará a conocer el rendimiento y comportamiento de la red.
Debemos saber exactamente cuales
son las aplicaciones informáticas utilizadas en la organización y las
vulnerabilidades de cada una de ellas.
Auditoría de seguridad y
detección de intrusiones:
Una auditoría de seguridad junto
con los sistemas de detección de intrusos nos permitirá identificar
vulnerabilidades en nuestros sistemas. En este punto nos podemos encontrar con
diversas maneras en las que nuestros datos confidenciales podrían ser
sustraídos. También se pueden detectar posibles errores de diseño de la red.
Para esto se deben usar las últimas herramientas de análisis de
vulnerabilidades, cuyos resultados deberán tenerse en cuenta a la hora de
reestructurar la red.
La política de seguridad nos
ayudará a saber como de preocupada e interesada está la organización acerca de
la seguridad e integridad de sus datos. También puede clarificar objetivos
organizacionales. Deberá ser la base para implementar los controles de
seguridad que reduzcan las vulnerabilidades y riesgos. Nosotros la estamos
desarrollando en paralelo con el resto de actividades.
Una política antivirus ayudará a
prevenir perdida de datos como consecuencia de infecciones de virus
informáticos.
Bien redactados y con los pasos
y actuaciones bien claros, un Plan de Recuperación de datos minimizará el
tiempo de malfuncionamiento de la red en caso de caida de los servidores, caída
de la pasarela a Internet u otros dispositivos críticos.
Nuestro trabajo es un punto concreto de un dispositivo de
seguridad que se empezó a desarrollar en Septiembre de 2.001 y que forma parte
de un proyecto de red en el que se pretende comunicar de manera segura
diferentes sedes de una misma organización, separadas geográficamente.
Este sistema consiste en diseñar
una máquina cortafuegos, que permita de manera sencilla filtrar paquetes
tomando como referencia las direcciones y puertos IP origen y destino y otras
opciones de filtrado avanzadas. Además del filtrado, incluye, para el adecuado
nivel de seguridad y comprensión del comportamiento de la red, una herramienta
que nos permita analizar el tráfico de la red, analizador de protocolos y
sistema de detección de intrusiones.
La máquina diseñada deberá ser
el bastión de seguridad de la red, y por ella circulará todo el tráfico entre
la organización e Internet. Por este motivo es imprescindible que proporcione
un rendimiento óptimo y que en ningún caso ralentice las comunicaciones. Así
pues se debería auditar periódicamente su comportamiento conforme vaya
creciendo el tráfico extranet y si se da el caso, liberar a la máquina de
ciertas tareas.
Además el proyecto de red que se
está implementando exige seguridad en la transmisión de los datos, puesto que
estos se transmiten sobre una red IP inherentemente insegura. Así, otra
herramienta que se incluye en el sistema, y que es el punto que vamos a
desarrollar en este trabajo, es la de cifrado de los datos sobre IPSec para la
comunicación entre las distintas sedes, y para el acceso a la red corporativa
de usuarios remotos, de manera que tengan acceso seguro a los recursos de la
organización a través de Internet (IP-VPN).
2. VPN o Redes Privadas Virtuales
Es de noche.
La calle está llena de gente. Estamos esperando a cruzar la acera, cuando de
repente vemos pasar una limusina. Tiene los cristales tintados, que reflejan
las luces del neón, pero no podemos ver quién hay dentro ni lo que está
haciendo. Estamos acostumbrado a ver otro tipo de coches, así que nos
preguntamos ¿quién viajará ahí dentro? ¿Un político? ¿un actor?. De repente las
luces del semáforo cambian y nos vemos arrastrados por la multitud al otro lado
de la calle. La limusina se desvanece en la noche, dejando atrás todas nuestras
especulaciones.
Si trasladamos esta experiencia al mundo IP , nos daremos
cuenta de las ventajas de las VPN (Virtual
Private Network). La analogía reside en que al igual que la limusina viaja
por la calle sin mostrar que ocurre en su interior, la comunicación en una VPN
viaja a través de Internet, pero está encapsulada y encriptada por lo que su
contenido es secreto. Sólo el emisor y el receptor legítimo del mensaje pueden
verla en su estado normal. Así el camino de un mensaje a través de una VPN
tiene luz en los extremos, y oscuridad entre ellos, por lo que también se le
llama, metafóricamente hablando, un túnel VPN.
Hablando en un lenguaje algo más técnico,
básicamente una VPN es una unión de
redes dispersas en Internet con una relación de confianza (configurable) entre
las mismas, y niveles de autenticación y cifrado. Como indica su nombre, es una
red privada, puesto que brinda autenticación y cifrado (privacidad en
definitiva) y virtual porque se implementa sobre las redes públicas existentes
y que no tienen los niveles de seguridad adecuados.
A pesar del retroceso que atraviesan las inversiones en
tecnología, el mundo empresarial continúa viendo a Internet una manera de hacer
negocios. La tecnología VPN está pasando de ser una nueva palabra de moda, a
ser esencial para las empresas que quieren estar intercomunicadas. De hecho,
mientras que las redes privadas están únicamente al alcance de grandes corporaciones
que pueden costear su propia red, la tecnología VPN permite prácticamente a
cualquier persona que tenga un ordenador y una línea telefónica usar datos de
manera confidencial.
A continuación vamos a ver escenarios típicos de
una VPN, que objetivos se persiguen al implantarla, y la tecnología más
adecuada a la hora de implementarla.
Hay algunos modelos de empresa en los que la
tecnología VPN proporciona notables beneficios.
Branch offices o delegaciones.