Proxy de la aplicación de puerta de enlace y servidores de seguridad

Tipos de Firewall

Hay dos tipos básicos de servidores de seguridad: Proxy de la aplicación y Gateway. Gateways se dividen en filtros de paquetes y firewalls.These inspección de estado difieren en función y diseño y tienen diferentes usos en la arquitectura de red. Nunca trate de tener un tipo de servidor de seguridad no el deber de otro tipo. Es mejor tener una buena carrera y cortafuegos configurado de forma segura haciendo su trabajo previsto, para tener algo que hacer un trabajo para el que no se designed.This es una invitación al desastre. Echemos un vistazo a estos servidores de seguridad y cómo deben utilizarse.

Proxy de la aplicación

Un firewall proxy de aplicación se aparte cada paquete que entra, la examina para ver si cumple con los criterios establecidos, vuelve a escribir, y lo envía en su representación way.The termina la conexión de una fuente exterior y comienza una nueva conexión desde el servidor proxy a la destination.This ofrece una gran protección a los servidores, porque no hay interacción directa entre la fuente y el destino. Además, el proxy es muy insensible a los ataques y tiene una superficie de ataque muy pequeña. Es muy difícil que un hacker tome el control de un firewall proxy de aplicación. Estos cortafuegos son muy específicos y un proxy debe ser escrita para cada uno de ventaja aplicación.No apoyo a esto es que va a tener las necesidades exactas de su aplicación en particular dirigida; Sin embargo, está a merced de los proveedores debe haber una actualización de su solicitud de que el firewall no es compatible. Pueden producirse retrasos en la modernización de su aplicación hasta que el proveedor del firewall alcanza. Proxies de aplicación son generalmente "invisibles" en la red. A menudo, no tienen dirección IP de sí mismos, o, si lo hacen, a veces se disfrazan como la server.Thus destino, proxies de aplicación no puede hacer la traducción de direcciones.

Gateway

Por el momento, el servidor de seguridad de implantación más común es el firewall gateway.This examina las direcciones de origen y destino y los puertos, y determina si el paquete cumple con las normas designadas a pasar por el cortafuegos a la servers.There varios niveles de pasarelas. Algunos son extremadamente simplista y filtrar paquetes sólo por el puerto, los demás pueden filtrar por dirección IP y puerto, y otros realizan diversos controles sobre la legitimidad de algunas o todas las direcciones IPs. Gateways son de dos tipos: filtros de paquetes y pasarelas de inspección de estado. Vamos a examinar uno por uno. Filtros de paquetes Estos son los cortafuegos básico con muy poca flexibilidad o la funcionalidad. A menudo, estos están integrados en sistemas operativos, como Mac OS X, para proporcionar una protección rudimentaria de la workstation.Windows individuales y Linux tienen los cortafuegos más avanzados construido adentro firewall de Windows tiene algunas funcionalidades de inspección de estado, mientras que Linux se ha ipchains, que puede ser utilizarse como un servidor de seguridad plenas funciones (explorado en el próximo artículo.) filtros de paquetes también tienen su lugar en la arquitectura de red. Routers de red funcionará como filtros de paquetes.

Descripción técnica

En su forma más básica, un filtro de paquetes toma decisiones acerca de la posibilidad de presentar un paquete basado sólo en la información encontrada en la IP o TCP / UDP capas (transporte y capas de red, respectivamente, en Interconexión de Sistemas Abiertos (OSI). En efecto, un filtro de paquetes es un router con algunos inteligencia. Sin embargo, un filtro de paquetes solo maneja paquetes individuales, no hace un seguimiento de las sesiones TCP. Por lo tanto, está mal equipado para detectar los paquetes falsificados que entran en el exterior a través de un interface.These específicamente diseñado paquetes se pretende ser parte de un período de sesiones de tráfico existentes estableciendo el indicador ACK en la cabecera TCP. filtros de paquetes están configurados para permitir o bloquear la función de la fuente y las direcciones IP de destino, puertos de origen y destino, y el tipo de protocolo (TCP, UDP, (Internet Control Message Protocol [ICMP ], y así sucesivamente). Si bien rudimentaria, los filtros de paquetes pueden proporcionar una barrera efectiva que reduce su la superficie de ataque. Una superficie de ataque, en la red de hablar, se refiere al número de puertos que tiene disponible para que alguien trate de explotar. Un servidor Web, que sólo está sirviendo páginas sin encriptar, sólo requiere el puerto 80 abierto a Internet. Usando un filtro de paquetes, puede bloquear todo el tráfico entrante, excepto los destinados al puerto 80.

Usted acaba de reducir su superficie de ataque de 65535 puertos a 1. Mientras que cualquier hacker digno de su sal encontrará su único puerto abierto, se han reducido considerablemente su conjunto de herramientas para romper en su máquina. Además, si hay vulnerabilidad, incluso una vulnerabilidad de día cero, en uno de los otros puertos, será imposible llegar a un desde el exterior. Otro ejemplo de uso de filtrado de paquetes consiste en limitar las direcciones IP que permite la comunicación con un servidor. Supongamos que usted tiene un negocio que tiene una subred específica, 192.168.50.x.Your servidor de aplicaciones financieras sólo deben prestar servicios a esta subred. Basta con bloquear todo el tráfico de otros. Ahora, la única manera de que alguien pueda llegar a su servidor de aplicaciones es estar en la subred específica. Los filtros de paquetes suelen tener su propia dirección y traducción de direcciones. Algunas de las técnicas específicas mencionadas en los artículos siguientes se pueden aplicar a los filtros de paquetes, acaba de ser conscientes de sus limitaciones y vulnerabilidades potenciales. El último ejemplo de un puerto simple filtro de paquetes sólo es el antiguo Microsoft Windows filtro TCP / IP disponible en avanzada properties.This red es tan simplista, que sólo vale la pena utilizar en algunos casos. En este caso, el router bloquea selectivamente ciertos protocolos que están decididos a ser peligroso, y el resto de tráfico está permitido. En este caso, los protocolos de bloqueo no son seguros porque transmiten los nombres de usuario y contraseñas en texto claro, o pueden ser utilizados por los hackers para obtener el control de las máquinas. Simple Network Management Protocol (SNMP) puede transferir varios comandos para los comandos de devices.These van desde la recopilación de información para el control real de los dispositivos. El IRC es un protocolo común utilizado por los hackers para comunicarse con los zombis. El bloqueo de este en la frontera, tanto entrantes como salientes, se elimina un canal de control para los hackers deben ser dentro de una máquina comprometida.

Telnet y FTP son protocolos que transmiten los datos y las credenciales de autenticación en text.Telnet claro es un comando a distancia en línea y de protocolo FTP se utiliza para transferir archivos desde y hacia los servidores. Las mejores opciones son Secure Shell (SSH) y Secure File Transfer Protocol (SFTP), ambos de los cuales cifrar los datos y la autenticación. Simple Message Block (SMB) de intercambio de archivos, aunque no de inseguridad en sí mismo, se ha encontrado que numerosas vulnerabilidades en la la aplicación en Windows y mayores vulnerabilidades system.These Linux se puede utilizar para comprometer las máquinas, y por lo tanto debe ser bloqueado en el router frontera. También tenga en cuenta el Peer-to-Peer (P2P) para compartir archivos, que no es infrecuente en el ámbito académico y se debe tomar en cuenta al diseñar la seguridad de la red. Pros filtros de paquetes son muy útiles en determinadas situaciones. Principalmente deben ser desplegadas en el perímetro de su organización en la que las partículas gruesas es la mejor opción.

Velocidad

Los filtros de paquetes son extremadamente rápidos. Puesto que sólo examinar el puerto de destino y / o de la fuente o la dirección IP de destino, tienen muy poco trabajo que hacer. Filtros de paquetes simples son una excelente opción si usted tiene una fuente de tráfico muy alta que debe procesar los paquetes y salían muy quickly.A de alto tráfico del sitio Web es una aplicación ideal para una filter.You paquete también puede lanzar un filtro de paquetes a su corporativa la frontera. Tal vez usted sólo necesita puertos como SSH (22) o Remote Desktop Protocol (RDP) (3365) abierto para la administración remota y VPN para el acceso remoto de los usuarios. Perfecto. Ninguno de los contras a continuación se aplica a estos protocolos y que no es necesario ningún procedimiento especial para hacer el trabajo.

Implementación rápida

Rápido despliegue también es una ventaja importante para los filtros de paquetes. Mientras usted sabe los puertos necesarios y / o subredes, puede tener un filtro de paquetes creado en cuestión de minutos. No hay conjuntos de reglas complicadas y no hay protocolos adicionales a tratar. ¿Qué hacen los puertos deben estar abiertos y donde el tráfico puede venir de? Responder a estas dos preguntas y usted está en su camino. Mientras que los filtros de paquetes tienen la ventaja de rapidez y simplicidad, que sufren de problemas de seguridad y otras limitaciones que los cortafuegos más complicado, no.

Menos seguro

Debido a que los filtros de paquetes son básicos y no simple inspección de paquetes, es menos seguro que una solicitud proxy.They pasar por nada que llegan de una subred permite a un puerto permitido, sin hacer preguntas.

Limitaciones del puerto

Los filtros de paquetes no siguen la pista en un paquete entrante viene, o asegurar que el paquete de retorno va en la misma ubicación (ver "Stateful Inspection"). Esto también significa que la conversación no se pueden mover de puertos estática inferior a los puertos más dinámicos. Recuerde que los puertos de alta dinámica hemos comentado anteriormente? Muchas aplicaciones utilizan estos después de hacer el saludo inicial y las dos máquinas de acuerdo en cómo communicate.The aplicación solicitará una medida superior a los puertos para liberar los puertos de menor estática para handshakes.With inicial de otro, un filtro de paquetes, esto requiere la apertura de la mayoría, si no todos, de los puertos dinámicos, que, por supuesto, hace que el cortafuegos inútil. La aplicación de correo electrónico de Windows, Outlook y su servidor correspondiente, de intercambio, demuestran muy bien. Las comunicaciones iniciales se inició en el puerto TCP 135. Una vez establecida la conexión y autenticación, las solicitudes de cambio que la comunicación se trasladó hasta los puertos de todo 5000. De forma predeterminada, esto puede incluir cualquier número de puertos posibles que requieren demasiados agujeros en el filtro de paquetes. FTP, un "estándar" de protocolo, pueden comportarse de forma extraña con un filtro de paquetes. Puesto que la comunicación que sucede en el puerto 21, pero la transferencia de datos se conecta al puerto 20, los filtros de paquetes no llegan correctamente a pasar los paquetes de FTP, por lo tanto, la transferencia de archivos se interrumpe. Stateful Inspection La puerta de enlace Stateful Inspection es el tipo estándar del servidor de seguridad desplegadas para proteger los servidores y resources.There red muchas compañías que ofrecen este tipo de cortafuegos con distintos grados de características (explorado en el artículo 4). Por ahora, veamos cómo funcionan estos servidores de seguridad en general.

Descripción técnica

De inspección de estado es importante para la seguridad, ya que proporciona un mayor nivel de filtrado de listas de control de acceso (ACL) en routers, que sólo pueden filtrar en función de la información de encabezado. Los cortafuegos que realizan una inspección de estado analizar paquetes de datos individuales, ya que atravesar el firewall. Además de la cabecera del paquete, inspección de estado también evalúa la carga útil del paquete y mira el protocolo de aplicación. Se puede filtrar en función de la fuente, destino y servicio solicitado por el término packet.The "inspección de estado" se refiere a la capacidad del cortafuegos para recordar el estado de una conexión y así construir un contexto para cada flujo de datos en su memory.With esta información disponible, el servidor de seguridad es capaz de tomar decisiones políticas más informadas. SPI está varios pasos por debajo de un proxy de aplicación y mucho mejor que un paquete filtro. En este caso, el servidor de seguridad realiza un seguimiento de los TCP SYN / ACK que iniciar y continuar la conversación entre dos máquinas en una conexión mesa. UDP se controlan de forma similar, pero el cuadro es mucho menos completa, porque no hay información detallada. Cortafuegos de inspección de estado también manejan protocolos tales como la Ruta encapsulación genérico (GRE) y el Protocolo 47 utilizado en las comunicaciones de VPN, y ICMP. Todos estos tipos de firewalls tienen el concepto de "adentro" y el "afuera". Si bien puede haber varias interiores que tener varios niveles de seguridad (privada, los usuarios, DMZ, etc), sólo hay un afuera y es completamente de confianza. De forma predeterminada, no se permite cruzar el servidor de seguridad desde el exterior. Por el contrario, los dispositivos de una interfaz de mayor seguridad, como usuarios, se permite el acceso a una interfaz de menor seguridad, como zona de distensión o en el exterior. Todos estos parámetros pueden configurarse, sin embargo, antes de empezar a hablar de la configuración, vamos a tener una mejor comprensión de cómo un servidor de seguridad decide lo que puede y no puede pasar.

un artículo presentado por María T.

Descargo de responsabilidad:Nuestro sitio web no es responsable por el contenido de este artículo. Webarticles es un recurso de información gratuito.
Importante: Este artículo "Proxy de la aplicación de puerta de enlace y servidores de seguridad" fue traducida por un software automático. Sentimos pena por los errores de ortografía que pueda haber ocurrido. Gracias por su comprensión.