Guía Práctica de Fortificación de Sistemas y Redes: SSH, Switches, DMZ y Seguridad Inalámbrica

Fortificación (Hardening) de Sistemas y Redes

La fortificación (Hardening) se refiere a la configuración de hardware y software para mejorar la seguridad. Un aspecto crítico es la gestión de contraseñas seguras.

Medidas para Garantizar la Seguridad

• Cifrado de contraseñas.
• Longitud mínima de contraseñas.
• Disuasión de ataques de fuerza bruta.
• Deshabilitar el acceso después de un período de inactividad.

Protocolo SSH

SSH (Secure Shell) es un protocolo de nivel de aplicación utilizado para conectarse de forma remota a un equipo. Se basa en el modelo cliente-servidor y opera en el puerto 22 de TCP. Utiliza protocolos criptográficos para asegurar las comunicaciones, reemplazando a TELNET, que no cifra las comunicaciones.

Seguridad del Switch

Implica el apagado o aislamiento de puertos no utilizados en VLAN.

Filtrado MAC

Registra una lista de direcciones MAC permitidas para conectarse a un switch. El switch solo envía mensajes si la dirección MAC del dispositivo está en la lista. Una debilidad es que las direcciones MAC son fácilmente falsificables mediante la modificación del software de la red.

Autenticación en el Puerto (IEEE 802.1X)

El estándar IEEE 802.1X ofrece un mecanismo de autenticación para dispositivos que deseen unirse a un puerto de un switch. Utiliza tres términos: solicitante, servidor de autenticación y autenticador.

DHCP Spoofing

Permite el registro de la transferencia de datos y la obtención de información confidencial. La asignación incorrecta de direcciones puede causar un ataque de denegación de servicio (DoS). El switch crea una base de datos de servidores confiables y bloquea los mensajes DHCP ilegítimos. Se activa especificando como puerto seguro al conectar al servidor DHCP auténtico, bloqueando cualquier dispositivo que intente conectarse a través de otro puerto.

AAA (Autenticación, Autorización y Reporte)

• Autenticación: Identifica a los usuarios que pueden acceder al sistema.
• Autorización: Otorga permisos a los usuarios una vez dentro del sistema.
• Reporte (Accounting): Registra trazas de las acciones que llevan a cabo los usuarios dentro del sistema, permitiendo realizar auditorías de seguridad.

Red DMZ (Zona Desmilitarizada)

Una Red DMZ contiene recursos internos de la LAN expuestos a una red externa (WAN), añadiendo una capa de seguridad extra a la red local. Permite que los servidores proporcionen servicios a los hosts.

Host DMZ

Un Host DMZ es menos seguro que una DMZ tradicional, ya que el host está en la misma subred que la LAN.

Seguridad de Redes Inalámbricas

Representa el problema de seguridad ante casos no autorizados de equipos intrusos en la red. La forma de proteger el ingreso en una red wifi consiste en solicitar una contraseña. Se utiliza un protocolo de seguridad que cifre el intercambio de información. Se usa el protocolo WPA2 Personal.

WEP (Wired Equivalent Privacy)

Implementado en 1999 como parte del estándar IEEE 802.11, tenía un exceso de confianza en la seguridad. Utiliza cifrado RC4 con claves de 64 bits muy vulnerables y un método de integridad de la información llamado CRC.

WPA (Wi-Fi Protected Access)

Utiliza cifrado RC4 con clave de 128 bits. Implementa TKIP (Temporal Key Integrity Protocol), que evita los ataques estadísticos a los que es vulnerable WEP.

WPA2

Resuelve todos los defectos de WPA al utilizar el algoritmo de cifrado AES.

Versiones de WPA2

• WPA2 Personal: Solicita contraseña de red.
• WPA2 Empresarial: Solicita nombre de usuario y contraseña.

WPA3

Implementado en 2018, utiliza cifrado de 192 bits para paliar vulnerabilidades de WPA2.

Seguridad Inalámbrica y Usabilidad

Cuanta más seguridad se use en la red inalámbrica, más se limitará la posibilidad de conexión a los equipos inalámbricos más antiguos que no tienen instaladas estas características.

WPS (Wi-Fi Protected Setup)

Sistema para facilitar el ingreso en una red inalámbrica sin necesidad de contraseña. Es necesario pulsar un botón WPS en el punto de acceso.

WPS-PIN

Requiere que el usuario proporcione un PIN de 8 dígitos. Un problema es que un hacker puede averiguar este PIN más rápido que una contraseña WPA2.

Hotspots

Muestran un portal cautivo (página web por la que el usuario debe pasar antes de acceder a la red Wifi pública).