Un firewall o cortafuegos es uno de los elementos primordiales para proteger cualquier red de comunicaciones de ataques. En este artículo, analizaremos qué es exactamente un firewall, qué tipos hay, cómo nos protege y dónde están sus limitaciones. Veremos cómo una red doméstica y una profesional se diferencian en el tipo de firewall usado, pero que todas utilizan este componente. ¡Comenzamos!
Índice de contenidos
Un firewall es un sistema (que puede ser solo un software, o también un equipo hardware) que implanta una política de control de accesos entre dos redes, para proteger a una red interna privada frente a a la recepción de un paquete malicioso que intenta entrar en la red interna, o para evitar que salga al exterior aquello que no debe.
El firewall analiza cada paquete que intenta entrar o salir de la red interna (intranet): comprueba su procedencia, su destino, su contenido y todos sus detalles para decidir si se permite el paso o no.
En definitiva, el cortafuegos nos da protecciones contra situaciones tales como:
Como acabamos de indicar, un firewall no es un «sistema infalible» que convierta nuestra red en segura de manera instantánea. Hay una serie de limitaciones importantes que debemos tener en cuenta. Vamos a analizarlas, sobre todo desde el punto de vista de una empresa:
Entonces, si solo permitimos la entrada de paquetes desde una IP concreta «X», un paquete desde una IP «Y» al que se le hace spoofing puede hacerse pasar por «X» y pasar por el firewall sin problemas. Es por eso que hay que utilizar protocolos como IPSec.
Hay distintas formas posibles de clasificar los firewalls. En este caso, hablaremos de los tipos de cortafuegos según su tecnología, mientras que después los clasificaremos según el tipo de dispositivo usado.
Un firewall de filtrado de paquetes estático es lo que en general entendemos como lo normal o estándar. Estos se basan simplemente en inspeccionar los paquetes que entran y salen para aceptarlos o rechazarlos a base de unas reglas establecidas, y según las características de la cabecera del paquete.
En cualquier caso, podemos definir tres acciones posibles en una regla:
Si se hace DROP, quien hace la comunicación esperará un tiempo fijo (timeout) hasta que expire.
La diferencia entre denegar y descartar es importante. Puede que queramos que el origen sepa que su paquete ha sido rechazado, pero por ejemplo si estamos ante un posible intento de acceso malicioso nos interesa más hacer perder el tiempo al atacante. Con una acción DROP, el origen estará esperando una respuesta hasta que pase un tiempo de expiración, mientras que con REJECT recibirá el aviso de rechazo automáticamente.
Otro tipo de firewall de filtrado de paquetes es el que hace uso de un filtrado dinámico. Estos cortafuegos cuentan con un estado, es decir, toman decisiones en función de los paquetes que ya habían pasado con anterioridad.
Con un firewall dinámico puede abrir una sesión y permitir todos los paquetes de esa sesión, y luego cerrarla
Es decir, un cortafuegos de filtrado estático «tradicional» evalúa independientemente cada paquete, sin importar lo que haya pasado antes. En cambio, aquí hay una monitorización dinámica del intercambio de paquetes que se está dando en la red. Es muy interesante para mantener sesiones de comunicación en las que se permite el paso de paquetes, y cuando se cierra la sesión se deja de permitir.
Lo bueno de este tipo de firewall es que la definición de reglas es más inteligente y segura. Pero también son más complejos de manejar, y sobre todo hay un reto para las grandes redes profesionales: el de compartir el estado entre el cortafuegos principal y uno secundario.
Vamos con otro tipo de firewall muy importante, el de capa de aplicación. En este caso, el filtrado es capaz de llegar hasta la capa de aplicación del modelo OSI. Es decir, las reglas pueden llegar hasta el propio contenido de los paquetes. Esto es muy útil porque permite, por ejemplo, filtrar correos electrónicos según su contenido, de forma que no permita pasar a aquellos que se consideren maliciosos.
De aquí surgen los firewalls de nueva generación, o next-gen firewalls, que combinan el modelo de firewall tradicional con los cortafuegos de aplicación, y otras características como inspección profunda de paquetes (DPI), sistemas de prevención de intrusiones (IPS), filtrado de sitios web, QoS, inspección antivirus, manejo de identidades de aplicaciones de terceros, paneles de control avanzados, etc.
¿Cuál es la diferencia entre un firewall básico de un hogar y uno localizado en una red de una empresa o un centro de datos? En un caso doméstico, dispondremos de firewall como un programa de nuestro ordenador, y también como una funcionalidad básica de nuestro router. Pero en las redes empresariales se usan aparatos dedicados con la única función de servir como cortafuegos de la red.
A día de hoy, las empresas usan firewalls de nueva generación.
Los firewalls de alto rendimiento que se utilizan en esas redes cuestan miles de euros, incluyen múltiples características y un sistema operativo propio con una gran cantidad de funcionalidades, al tratarse de firewalls de nueva generación. La tranquilidad que proporcionan los firewalls a los administradores de sistemas, expertos en ciberseguridad y los propios clientes no tiene precio. Es por ello que se combina el uso de estos carísimos equipos y una configuración extremadamente cuidadosa.
Si tan importante es un firewall, ¿necesito uno? La realidad es que los usuarios domésticos nos podemos conformar con algo sencillo, y ya estamos cubiertos. Por una parte, los routers que instalan las compañías y los que compramos integran un firewall básico, y luego tenemos también el Firewall de Windows en nuestro ordenador.
Además, la protección se complementa con lo bien que funciona Windows Defender en general. Sin embargo, si realmente quieres una capa de protección diferente, puedes probar alguno de los mejores antivirus del mercado, que normalmente incluyen un firewall.
En dispositivos Linux, uno de los firewalls fundamentales es iptables (más bien es su herramienta de configuración, como parte del proyecto Netfilter). Este es un software con el que podemos definir todo tipo de políticas de filtrado tal y como las explicamos antes, en base a tablas de reglas. Podemos establecer las políticas básicas, por ejemplo estas reglas bloquean con DROP todos los paquetes entrantes, salientes y redirigidos de la red:
iptables -P INPUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP
Para la definición de reglas más complejas, pasaríamos a comandos bastante más largos y liosos, que hacen de iptables un quebradero de cabeza para cualquiera que no esté familiarizado con este software. Es por eso que hay interfaces gráficas para configurar iptables, y también generadores de reglas para ahorrarnos un poco de tiempo.
Algunos ejemplos de comandos con iptables:
iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT
Limita las conexiones posibles a 25 por minuto en el puerto 80, tras las primeras 100 conexiones.
iptables -A INPUT -s 88.88.88.88 -j DROP
Bloquea la entrada de comunicaciones con la IP 88.88.88.88 (inventada)
Como hemos visto, el firewall es una pieza indispensable de cualquier red, y sobre todo aquellas que se comuniquen con Internet. Nos permite establecer una política de control de accesos en la que aceptaremos o rechazaremos los paquetes que entren y salgan de nuestra red interna, según un conjunto de reglas.
Estas reglas pueden ser más o menos complejas, gracias a algunos tipos de firewall como los de filtrado dinámico o los de capa de aplicación, pero en general la idea es la misma.
Te recomendamos la lectura de los mejores routers del mercado.
Además, un firewall profesional no tiene absolutamente nada que ver con los que usamos de manera doméstica en nuestras casas. En entornos empresariales y centros de datos, la exposición a intentos de ataques y suplantaciones externas es abrumadora, por lo que se usan aparatos dedicados a funcionar como firewall que son carísimos e incluyen funciones muy complejas.
¡Esperamos haberte ayudado a entender este concepto que tanto influye en mantener nuestra seguridad en Internet!
