¿Qué es una DMZ en seguridad informática?

La DMZ o zona desmilitarizada es una zona de la red donde se alojan aplicaciones y servidores que están disponibles desde el exterior. Se sitúa entre la red externa y la red interna.

¿Qué función cumple el NAT?

El NAT permite enmascarar las direcciones privadas de una subred detrás de una dirección IP pública. Así facilita la conectividad saliente y la conservación de direcciones IPv4 públicas.

Seguridad perimetral: cortafuegos, DMZ, NAT y arquitecturas de red

Q: ¿Qué es un bastión?

Un bastión es una máquina dotada de un sistema de seguridad, pero vulnerable a ataques por estar abierta a Internet.

Resumen

El documento explica los conceptos básicos de la seguridad perimetral de una red: qué es un cortafuegos, sus servicios y tipos, las reglas de filtrado y el papel de la DMZ. También recoge la función del NAT, los criterios para elegir un cortafuegos, las principales arquitecturas de red con cortafuegos y las herramientas de monitorización y registro de eventos.

Puntos clave

Un cortafuegos audita y evita conexiones no deseadas en ambos sentidos, filtrando paquetes según unas reglas.
La DMZ (zona desmilitarizada) aloja aplicaciones accesibles desde el exterior, situadas entre la red externa y la interna.
Según su tecnología, los cortafuegos pueden ser a nivel de paquete, de circuito, pasarela de aplicación o transparentes.
Las reglas de filtrado se clasifican en reglas de autoprotección, de entrada (ingress) y de salida (egress).
NAT enmascara las direcciones privadas tras una IP pública, facilitando la salida a Internet y la conservación de IPv4 públicas.
Las arquitecturas principales son Dual-Homed Host, Screened Host, Screened Subnet (DMZ) y Screened Router.

Resumen generado con IA a partir del documento. Ponte a prueba

Conceptos clave

DMZ: Zona desmilitarizada; posee aplicaciones disponibles desde el exterior.

Bastión: Máquina dotada de un sistema de seguridad pero vulnerable a ataques por estar abierta a Internet.

Cortafuegos

Un cortafuegos es un sistema que audita y evita los intentos de conexión no deseados tanto desde los equipos hacia la red como de la red hacia los equipos. Se encarga de filtrar los paquetes a partir de unas reglas.

Servicios

Bloqueo de tráfico no autorizado.
Ocultación de equipos en la LAN.
Registro del tráfico (logs).
Redirección de tráfico entrante.
Limitación de ancho de banda.
Seguimiento de tráfico y monitorización de ataques.

Tipos de cortafuegos

Cortafuegos personales: los que se instalan en nuestros domicilios para permitirnos conectarnos a Internet (ejemplo: ZoneAlarm).
Cortafuegos de subredes: agrupan el sistema en zonas de seguridad y se ubican en las interfaces entre zonas. Sus principales funciones son:
- Autorización de servicios.
- Control de acceso basándose en la identidad del usuario.
- Registro y monitorización de accesos a la red.

Según su tecnología

Cortafuegos a nivel de paquete: inspeccionan direcciones de origen y destino y los puertos utilizados.
Cortafuegos a nivel de circuito: pueden prevenir ataques como el robo de sesión.
Cortafuegos como pasarela de aplicación (application gateway): analizan en profundidad todos los paquetes de una aplicación concreta.
Cortafuegos transparentes: actúan a nivel de enlace y no tienen dirección IP propia.

Reglas de filtrado

Ejemplos y recomendaciones de reglas:

Bloquear todas las conexiones externas, excepto las conexiones SMTP necesarias para correo electrónico.
Bloquear las conexiones de sistemas considerados no seguros.
Permitir servicios necesarios como correo electrónico y FTP, pero bloquear otros servicios peligrosos (por ejemplo, TFTP).

Tipos de regla

Autoprotección del cortafuegos.
Reglas de salida (egress).
Reglas de entrada (ingress).

NAT (Network Address Translation)

NAT: Permite enmascarar las direcciones privadas de una subred detrás de una dirección IP pública, facilitando la conectividad saliente y la conservación de direcciones IPv4 públicas.

Criterios para elegir un cortafuegos

Política de seguridad del sistema o de la empresa.
Nivel de monitorización y control requerido.
Coste y viabilidad económica.
Localización y elementos físicos de la red.
Sistema operativo y compatibilidad con la infraestructura existente.

Arquitecturas de red con cortafuegos

Dual-Homed Host: se basa en el uso de equipos con dos o más tarjetas de red; una se conecta a la red interna y otra a la externa.
Screened Host: combina el uso del router con un bastión.
Screened Subnet (DMZ): el bastión se sitúa entre la red externa y la red interna, en una zona DMZ donde se alojan servidores accesibles desde el exterior.
Screened Router: utiliza un router filtrador como cortafuegos; puede coexistir con servidores accesibles desde el exterior.

Monitorización

Al monitorizar la red es necesario informar a los usuarios de que se realiza dicha actividad. Herramientas y registros habituales:

Visor de sucesos: por ejemplo gnome-system-log en entornos GNU/Linux y los visores gráficos correspondientes.
Archivos de registro: /var/log en sistemas Unix-like.
Registro de Windows: muestra información de errores, advertencias e información del sistema operativo.
Registro de aplicaciones y servicios: registros independientes para los programas que se ejecutan.
Los cortafuegos incorporan sus propios registros (logs) para eventos de red y de seguridad.

Nota: Mantener una política de registro y retención de logs adecuada facilita la detección y respuesta ante incidentes, así como el cumplimiento normativo.