¿Cuáles Son los Fundamentos de la Seguridad de Redes?
Los fundamentos de la seguridad de redes son los elementos críticos de la red o de la ciberseguridad. Deben de implementarse en todas las redes, incluyendo las domésticas, las de negocios y las conexiones a internet. Una seguridad efectiva de redes requiere de la protección de redes cableadas y wireless con firewalls, software anti-malware, sistemas de detección de intrusiones, control de accesos y más.
Fundamentos de la seguridad de redes
La seguridad de redes es un tema complejo que involucra muchas tecnologías diferentes con configuraciones que a veces son complicadas.
El tema de seguridad que se debe de abordar es la separación entre lo que está en la red y los endpoints o sistemas host que están acoplados a ella. La tecnología tanto para la red como para los endpoints incluye el control de accesos y la encripción, pero en la red también existe la segmentación y la seguridad perimetral.
Seguridad de redes vs. seguridad de endpoints
La seguridad de redes es solamente parte de la ecuación de la seguridad y usualmente se aplica a los dispositivos que protegen a la red misma. Un firewall puede ser un dispositivo independiente que se encuentra junto a los equipos de red como routers o switches, o software dentro de la misma caja física que también tiene routers o switches. En la red existen firewalls, intrusion detection systems (IDS), intrusion prevention systems (IPS), virtual private network (VPN) appliances, data leak prevention (DLP) systems, etc.
La red existe para conectar a los sistemas. Es lo que le permite comprar por Amazon o en la tienda en línea de su preferencia. Pero también se debe proteger a los sistemas finales; a esto se le llama seguridad de endpoints. Estos dispositivos incluyen laptops, tabletas, teléfonos y a los dispositivos IoT (internet of things).
Los dispositivos IoT incluyen termómetros, cámaras, refrigeradores, seguros, focos inteligentes, etc. Estos dispositivos requieren de controles de seguridad, pero no todos los dispositivos son lo suficientemente sofisticados para contener algo como un firewall basado en el host o un agente anti-malware. Si el endpoint es un foco, probablemente depende de la seguridad de la red para su protección.
Control de accesos
El lugar para empezar es con el control de accesos. Los negocios comúnmente se refieren a esto como Identity and Access Management (IAM). Controlar los accesos no es algo nuevo. Los humanos han controlado el acceso a edificaciones desde que se instaló el primer seguro en una puerta hace más de seis mil años. El control de accesos ahora se realiza en redes, computadoras, teléfonos, aplicaciones, sitios web y archivos.
Fundamentalmente, el control de accesos se divide en IAAA:
- La identificación es la afirmación del nombre o la identificación de un usuario como un ID de usuario o una dirección de correo electrónico.
- La autenticación brinda pruebas de que el usuario es quien dice ser. Esto se hace comúnmente con contraseñas.
- La autorización es el acto de darle permisos o no al usuario. Puede ser que el usuario no está autorizado, y por lo tanto no tiene permisos; o el usuario obtiene permisos de lectura, escritura, control total, etc.
- La contabilidad (o accountability) es el rastreo de lo que sucede. El log muestra que un usuario intentó acceder o logró el acceso. El log también podría incluir todas las acciones que toma el usuario.
Tipos de autenticación
En IAAA, la autenticación podría ser el tema más importante actualmente. Las contraseñas aún son el método de autenticación más común para la mayoría de los sistemas. Típicamente no son muy seguras, sin embargo, porque son fáciles de obtener.
Si una contraseña es lo suficientemente corta, el hacker no enfrenta muchos obstáculos para identificarla. Los hackers usan un ataque para adivinar contraseñas que involucra la “fuerza bruta” – es decir, intentan todas las combinaciones posibles. O el atacante podría usar un ataque que descifra una contraseña, el cual usa un programa para recrear contraseñas que hacen una función hash hacia el mismo valor.
Hay tres tipos o factores de autenticación en uso actualmente. Estos son:
- Algo que conoce – una secuencia de caracteres, números o una combinación de estos que ha guardado en su memoria. Hoy deberían de estar almacenados en un administrador de contraseñas.
- Algo que tiene – un dispositivo o pieza de software en un dispositivo que necesita para autenticar. Esto incluye dispositivos como un token RSA o Google Authenticator en un teléfono inteligente.
- Algo que es – un aspecto de su persona. Estos son los biométricos, ya sea fisiológicos como una huella dactilar o de comportamiento como una huella de voz.
La mejor elección es una autenticación de dos factores (2FA), a veces referida como multi-factor authentication (MFA). Lo recomendamos altamente para sus cuentas personales como Amazon o Facebook.
Las aplicaciones como Google Authenticator son gratuitas y una mucha mejor opción que recibir un mensaje de texto (o SMS) a su teléfono. El National Institute of Standards and Technology (NIST) recomienda no usar SMS.
También recomendamos 2FA para la oficina, pero la decisión de requerirlo o no se debe de tomar a nivel de política o de administración. Depende de muchos factores como el activo, la clasificación de sus datos, los riesgos y las vulnerabilidades.
Segmentación de redes
La segmentación de redes mejora la seguridad por medio del control del flujo de los datos entre redes diferentes. Esto se logra de forma más común con VLANs, o virtual local area networks. Hay muchas variaciones en este tema como PVLANs (private virtual LANs), VXLANs (virtual extensible LANs), etc. Un VLAN existe en la capa del data link – la capa 2 del modelo OSI (open system interconnect). La mayoría de los administradores de red mapean una subred IP (internet protocol) a un VLAN.
Los routers permiten que pase el tráfico entre VLANs de acuerdo con la configuración. Si quiere control, la configuración del router es crítica.
Otra opción que se encuentra dentro de la nube se llama virtual private cloud (VPC). El control del tráfico desde y hacia la VPC también se controla con configuraciones.
Entender los requerimientos de negocio para el workload es esencial para configurar y controlar los accesos desde o hacia VLANs y VPCs.
Seguridad perimetral
La seguridad perimetral se basa en la lógica de que existe un borde definido entre una red interna/confiable y una red externa/no confiable. Este es un diseño tradicional de redes que surge cuando la red y el data center estaban confinados al mismo edificio. En esta configuración, un router conecta a las redes internas y externas. La configuración básica de una ACL (access control list) dentro del router controla el tráfico que puede pasar a través de ella.
También puede agregar seguridad en el perímetro con firewalls, IDS y IPS. Para mayor información acerca de estos, revise la página de Medidas para la Seguridad de Redes.
Encripción
La encripción es esencial para ocultar datos y comunicaciones sensibles ante miradas no deseadas. La encripción protege a los archivos en el disco duro de su computadora, una sesión bancaria, datos almacenados en la nube, emails sensibles y una larga lista de otras aplicaciones. La criptografía también ofrece la verificación de la integridad de los datos y la autenticación de la fuente de los datos.
La encripción se clasifica en dos tipos básicos de criptografía: simétrica y asimétrica.
- La criptografía simétrica tiene una clave sencilla que encripta y descifra. Como resultado, debe compartirse con alguien más para completarse la comunicación encriptada. Algoritmos comunes incluyen Advanced Encryption Standard (AES), Blowfish, Triple-DES (Data Encryption Standard), y muchos más.
- La criptografía asimétrica cuenta con dos claves distintas, una pública y la otra privada, que funcionan como un conjunto. El conjunto de claves pertenece a un usuario o a un servicio: por ejemplo, un servidor web. Una clave es para encriptar y otra para descrifrar.
- Si la clave pública encripta los datos, los mantiene confidenciales. Esto es porque el dueño de la clave privada es el único que puede descifrarla.
- Si la clave privada encripta los datos, prueba la autenticidad de la fuente. Cuando los datos se descifran exitosamente con la clave pública, significa que solamente la clave privada pudo haberlos encriptado. La clave pública es verdaderamente pública, todos pueden acceder a ella.
El tercer tema es hashing. Aunque no se trata de encripción, necesita incluirse en este punto en las discusiones de seguridad. El hashing corre un algoritmo contra un mensaje que calcula una respuesta, llamada el hash, que se basa en los bits de ese mensaje. Los bits pueden ser datos, voz o video. El hashing no cambia el valor de los datos de ninguna manera. En contraste, la encripción altera los datos a un estado en el que no es posible leerlos.
El hashing prueba que los bits del mensaje no han cambiado. Asegura que los datos tienen integridad y que están en su formato original. Solamente el hashing protege a los datos contra cambios accidentales.
Si el hash se encripta con una clave privada asimétrica, prueba que un hacker no ha alterado los datos de forma maliciosa. No pueden ocurrir cambios maliciosos a menos de que se haya comprometido la clave privada.
Si no se ha comprometido la clave, entonces usted sabrá que la persona que tiene la clave privada debe ser la persona que calculó el hash. Esa clave podría ser una clave simétrica, a la cual se le refiere a veces como una clave privada, o la clave privada asimétrica.
Seguridad wireless
Es difícil proteger datos, voz o video transmitidos a través de una red wireless. Las transmisiones wireless tienen el propósito de emitir una seña, y esto hace más sencillo para un hacker capturar la transmisión. Hay estándares de encripción para wireless, pero la mayoría han sido comprometidos de una forma u otra.
Los estándares de encripción incluyen WEP, WPA, WPA2, y ahora WPA3.
- Wired Equivalente Privacy (WEP) usa el algoritmo simétrico RC4 para encriptar la transmisión wireless. Los hackers rápidamente lo comprometieron y ahora existe una herramienta de hackeo útil llamada WEP crack para ese propósito.
- Wi-Fi Protected Access (WPA) reemplazó a WEP pero continúo usando RC4. Los hackers modificaron el WEP crack para comprometer a WPA.
- WPA2, la segunda versión de WPA, tiene dos opciones.
- WPA2-personal usa una clave pre-compartida, a veces llamada una clave de seguridad. Es, esencialmente, una contraseña que se teclea en un dispositivo wireless como una laptop o un teléfono, y al punto de acceso wireless (WAP). Los hackers encontraron la primera falla en el 2017, llamada una Key Reinstallation AttaCK (KRACK).
- WPA2-enterprise usa una capa adicional de seguridad al autenticar al usuario en un servidor RADIUS (remote authentication dial-in user service) centralizado. También usa el EAP (extensible authentication protocol) para pasar la información de autenticación a la conexión wireless local. La combinación de RADIUS y EAP como protocolo de seguridad es conocido como IEEE 802.1x
- WPA3 también tiene dos opciones:
- WPA3-personal le da a los usuarios un mayor nivel de protección con una clave de encripción de 128-bits. Esto ofrece una autenticación robusta de contraseñas, incluso cuando las contraseñas del usuario sean demasiado simples para ser realmente seguras. WPA3-personal logra esto usando SAE (simultaneous authentication of equals) en lugar de la clave pre-compartida en el WPA2-personal
- WPA3-enterprise[SM2] [TA(3] [SM4] usa una clave de encripción de 192-bits para lograr una mayor seguridad. Es una versión mejorada de WPA2 que aplica protocolos de seguridad de forma consistente a lo largo de la red de una organización.
Certificaciones de seguridad
La seguridad de redes es compleja. Es una batalla sin fin contra los hackers. Vea la página de Medidas de Seguridad para Redes para obtener más información.
Siempre es una gran idea buscar las certificaciones de seguridad. Ya sea la certificación CompTIA Security+ o la certificación System Security Certified Practitioner ((ISC)2® SSCP) es un gran punto de inicio. Una certificación más avanzada y de nivel de gerencia, con un poco de conocimiento técnico, es la certificación Certified Information System Security Professional ((ISC)2® CISSP). También puede tomar exámenes para vendors específicos como los que están basados en la nube para AWS, GCP o Azure.
Artículos Relacionados