Por qué un cortafuegos personal ¿nunca? es efectivo contra el malware

octubre 12, 2011 § Deja un comentario

El cortafuegos personal es una de las medidas “estrella” recomendada desde hace muchos años para luchar contra todo tipo de males. La inercia de la recomendación ha seguido hasta nuestros días, donde un cortafuegos entrante tradicional, poco o nada puede hacer contra muchos de los ataques más sofisticados que se sufren hoy en día. Veamos por qué.

Instalar un cortafuegos personal era imprescindible hace diez años. Los sistemas operativos (por llamarlos de alguna forma) Windows 9X estaban conectados directamente a la red, con IP pública a través de módem. No contar con un firewall constituía un suicidio tecnológico. Después de Sasser y Blaster, XP SP2 se instauró con cortafuegos entrante integrado y activo. Las reglas del juego cambiaron por completo, pero parece que pocos se acordaron de actualizar las instrucciones. Los atacantes se adaptaron rápido, las víctimas… todavía no.

El cortafuegos entrante

Hoy en día un cortafuegos entrante no es útil contra el malware, han aprendido a sortearlo y es complicado encontrar troyanos “clásicos” que abran puertos en el sistema. Además, aunque lo consiguieran, no sería efectiva esta técnica: hoy también es mucho más habitual conectarse a la red de forma indirecta, anteponiendo un router. Estos routers suelen disponer de cortafuegos que protege del exterior y, aunque no lo tuvieran, un atacante tendría que realizar una traducción a direcciones y puertos internos para llegar al sistema que quiere atacar. Por tanto, el cortafuegos entrante en el sistema no está diseñado contra el malware de hoy. Sería una herramienta más útil contra otro tipo de ataques.

El cortafuegos saliente

¿Qué es efectivo entonces? El cortafuegos saliente. Ese que introdujo Vista en 2006… desactivado por defecto y por tanto, con nulo impacto real en la Red. Su ventaja es que detendría a una buena parte (me atrevería a decir que la inmensa mayoría) de los troyanos actuales, que depende de infraestructuras externas para salir a Internet e infectar el sistema.Su problema es que si bien no todas las aplicaciones legítimas reciben conexiones procedentes del exterior (no tienen que ser revisadas por el cortafuegos entrante), sí que casi todas hoy en día se comunican con el exterior, y tendrían por tanto que estar contempladas como excepción en el cortafuegos saliente. Es una tarea compleja, pero teniendo en cuenta lo bien que se las ha apañado Windows con Vista y 7 para diseñar un cortafuegos entrante que no “estorba” y es efectivo, sospecho que en el futuro podría tenerlo activo por defecto si trabajan ciertos aspectos.

Por ejemplo, podrían añadir ciertas funciones para hacer más cómodo un cortafuegos saliente. Estas son algunas ideas:

  • Que sólo las aplicaciones firmadas pudieran salir sin problema a Internet. Las no firmadas, pedirían confirmación.
  • Que sólo las aplicaciones alojadas en ciertas rutas (en las que el usuario no tiene permiso de escritura como tal, sólo como administrador) pudieran salir sin problemas.
  • Función para bloquear aplicaciones por hash,
  • Función para bloquear aplicaciones según el lugar de donde proviene (descargada desde alguna zona concreta de Internet Explorer…)

¿Filosofía AppLocker aplicada al cortafuegos?

Escribiendo estas recomendaciones, descubrimos rápidamente que en realidad son las mismas funciones y condiciones con las que permite jugar AppLocker y SRP (Software Restriction Policy), una tecnología ya activa desde hace años en Windows para bloquear la ejecución de programas bajo ciertas circunstancias. La idea para implementar un cortafuegos saliente efectivo sería trasladar este concepto a la “conexión”, en vez de a la “ejecución”.

Por supuesto que esto tendría problemas. Por ejemplo AppLocker y SRP son eludibles de diferentes maneras. Por supuesto que, aun con todas las barreras activas, un troyano puede inyectarse en el espacio de memoria de un proceso existente en el sistema y salir a Internet camuflado. O peor aún, alcanzar el ring0 y modificar el comportamiento de sistema donde ninguna regla tendría ya valor. Esto se sabe desde hace tiempo y es una técnica usada por troyanos sofisticados. Pero si al menos se implementara algo así, se estaría elevando un listón que, en este sentido, ahora mismo está abandonado en el suelo mientras el malware campa a sus anchas.

Fuente:: Hispasec

Firewall de Aplicación Web (WAF)

julio 27, 2011 § Deja un comentario

Se trata de IronBee, cortafuego de aplicación web (WAF) de fuente abierta. Llevado por el equipo que diseñó y construyó ModSecurity, el nuevo proyecto apunta a producir un cortafuegos de aplicación web que sea seguro, de alto rendimiento, portable, y libremente disponible incluso para el uso comercial.

Un WAF es típicamente una aplicación, un plugin del servidor, o un filtro basado en programas que aplica un sistema de reglas a una conversación del HTTP para supervisar y controlar el movimiento de datos, manteniéndolo seguro de posibles ataques. Modificando las reglas para requisitos particulares de un WAF, muchos ataques pueden ser identificados y bloqueados.
El uso cada vez mayor de aplicaciones web y de la transición a la computación en nube hace necesario desplegar tecnología WAF, para proteger datos y aplicar regulaciones tales como las impuestas por la industria de tarjeta de pago (PCI).

Entre las características de IronBee destaca:

  • Motor avanzado de la inspección de seguridad de uso, que proporciona las nuevas herramientas de proceso y el análisis para el tráfico HTTP.
  • Licencia v2, una licencia no-viral del software de Apache de fuente abierta que permite que participen igualmente los individuos y las organizaciones comerciales, creando una comunidad de usuarios, así como una comunidad de desarrollo.
  • La portabilidad, que le permite múltiples modos de trabajo tales como: pasivo, embebido, fuera del proceso y como proxy reverso.
  • Arquitectura modular, permitiendo a contribuidores ejecutar fácilmente sus propios módulos sin requerir la comprensión profunda de la arquitectura de IronBee, así como permitir el empaquetado directo de la información y de los módulos de configuración apropiados a las necesidades de cada usuario.
  • Esfuerzo de colaboración de la comunidad para capturar, centralizar y compartir la información necesaria para defender aplicaciones web.

Está cada vez más claro que no importa si somos buenos en programación segura (SDLC), y no importa si nuestras herramientas de la exploración de código y de análisis de vulnerabilidades son eficaces, ninguna de las dos cosas solventara nuestro problema de seguridad de aplicaciones web, la mejor técnica es tener una protección y un remiendo. Cuando descubrimos una nueva vulnerabilidad, nos blindamos con cortafuegos y otras técnicas de seguridad perimetral (protección), para después parchear la vulnerabilidad (remiendo) y poner solución problema.

Fuente: Gurú de la Informática

>NetFilter / IPTables

marzo 2, 2011 § Deja un comentario

>Los firewalls, son una parte fundamental de la seguridad, en los sistemas operativos de hoy en día, ya que las redes son parte fundamental de los sistemas computacionales.

En este caso revisaremos el caso de uno de los mejores firewalls por software existentes: NetFilter

NetFilter, es el sistema de filtrado de paquetes de los Kernels Linux de la rama 2.4 y 2.6, y para mucha más información, puedes pasar por www.netfilter.org.

Por que escribir un artículo mas sobre IP Tables?
Simplemente por que no encontré alguno que lo explique como a mi me hubiese gustado. Otra razón, es por que uno termina aprendiendo mucho mas. Para una guia mas rápida, con muchos ejemplos recomiendo el artículo de bulma
/* Para realizar pruebas de filtrado, podemos utilizar hping, te recomiendo estos tutos I y II */

Este sistema está basado en el manejos de tablas, el cual se administra desde la aplicación iptables.

Esta aplicación configura todas las reglas de filtrado, pero no es en si mismo el firewall, esto es importante de destacar, ya que no tenemos un proceso corriendo para administrar los paquetes, si no que iptables administra las reglas que el kernel maneja. Así, no corremos el peligro de que el programa si cuelgue o contenga un bug y termine por ser una puerta trasera, en lugar de ser una protección.

Es cierto que nada es perfecto, si embargo hasta el momento, no he escuchado de ninguna vulnerabilidad que haya puesto en vilo la seguridad de los servidores protegidos con Netfilter.

Vale recalcar, que Netfilter pertenece a la lista de 100 herramientas de seguridad mas importantes según Insecure.org.

Contenido completo en NetSecure

Eric Schmidt asegura que cada vez será más dificil censurar en China

noviembre 5, 2010 § Deja un comentario

Como todos sabemos Google y China tienen unas relaciones no muy buenas. Para ello tan sólo tenemos que recordar la historia que tuvimos hace tan sólo unos meses con la salida de Google del país asiático y su posterior vuelta pocos meses después con la renovación de su licencia. Así como otros sucesos como los ataques realizados desde China a los sistemas de Google, quienes siempre se han mostrado críticos con la política y la censura que ejerce el gobierno sobre el pueblo chino.

El CEO de Google, Eric Schmidt ha vuelto a hablar sobre la situación que se vive en China con el Gran Firewall y señala que cada vez será más difícil para el gobierno chino controlar todas las actividades que realicen sus habitantes. El motivo es muy claro y simple: a más número de usuarios navegando por la red de redes más complejo será censurar sus actividades.

Un aumento que es real ya que durante los últimos meses está habiendo una gran cantidad de aumento en el número de usuarios que hacen uso de Internet en China, especialmente si hablamos de acceso a la red mediante los dispositivos móviles.

Desde el gobierno chino aseguran que esa censura no es tal y que tan sólo se trata de un control de acceso para impedir el acceso a sitios considerados inapropiados. Pero a nadie se les escapa que tan sólo es una excusa barata para bloquear el acceso a sitios según los intereses del gobierno, es decir, a sitios inapropiados para ellos.

Mantener ese firewall en funcionamiento de forma efectiva es caro y como dice el ejecutivo de Google cada vez será más difícil controlar todo. De hecho siempre ha habido algunos resquicios para saltarse esta censura y parece que va habiendo más posibilidades con el paso del tiempo, el último ejemplo lo tenemos hace tan sólo unos días y protagonizada por el Kindle 3G, el cual se puede saltar el Gran Firewall de China usando una VPN.

Fuente: alt1040.com

IPTables básico

octubre 27, 2010 § Deja un comentario

En éste primer artículo de la serie, construiremos un script que creará un conjunto de reglas básicas apropiadas para todo equipo Linux, independientemente de la configuración de red del mismo, como ser cantidad o tipo de tarjetas de red, nombre de los dispositivos, direcciones IP, etc. Si bien hay muchos ejemplos de scripts IPTABLES por la red, lo interesante de éste es que se puede llevar a cualquier equipo sin cambiar nada, con lo que cubriremos lo básico con total facilidad.

Este script es apropiado para máquinas con “ip forwarding” deshabilitado. Esto quiere decir que aunque el equipo tenga más de una interfaz de red, sólo utilizará las mismas para enviar y recibir tráfico propio y no para enrutar tráfico de otros equipos entre redes distintas.

También mencionar que sólo se tratará el caso de IPv4, dejando IPv6 como ejercicio para el lector (siempre he querido decir eso)…

Para ejecutar IPTABLES o scripts que invoquen a IPTABLES debemos lanzar una shell como root o de lo contrario utilizar “sudo” delante de cada invocación.

Finalmente volver a mencionar que no se explicará aquí la sintaxis de IPTABLES. La misma se puede consultar aquí y está disponible en varios idiomas y formatos.

¿Qué es un Web Application Firewall (WAF)?

junio 27, 2010 § Deja un comentario

Los cortafuegos tradicionales trabajan en la capa de red y de transporte, pero al dejar el puerto 80 abierto no ofrecen ninguna clase de protección para la aplicación frente a estos ataques especializados en explotar vulnerabilidades web. Hasta la aparición de los cortafuegos de aplicaciones web (Web Application Firewall o WAF), este tipo de protección sólo se podía realizar manualmente mediante una auditoría técnica y posterior revisión del código de las aplicaciones examinadas.
Gracias a los WAF, este nivel de protección puede alcanzarse mediante un proceso automático y de mayor fiabilidad, sin necesidad de involucrar a los desarrolladores ni modificar las aplicaciones.

  • Appliance o Server Plugin que filtra o aplica reglas a una transacción HTTP.
  • Reglas basadas en ataques conocidos (ej: XSS o Inyecciones SQL)
  • Ofrece protección contra vulnerabilidades conocidas.
  • Ayuda con Sistemas Legacy y Productos de terceros (código no disponible)

Más…

Fuente: Cryptex

Flint – Escáner de reglas de cortafuegos basado en web

abril 2, 2010 § Deja un comentario

Flint examina los cortafuegos (firewalls), calcula rápidamente el efecto de todas las reglas configuradas, y luego señala los problemas de modo que uno pueda:

  • Limpiar configuraciones defectuosas que están contaminadas con reglas que no pueden coincidir con el tráfico.
  • Erradicar problemas de seguridad latentes que acechan en reglas excesivamente permisisvas.
  • Verificaciones de cambios razonables para ver si las nuevas reglas crean problemas.

Flint es absolutamente gratis. No hay trampas. Puede descargar el código fuente del repositorio git. Esta no es una versión casera; es su segundo producto, y quieren hacerlo open source.

Por que se necesita Flint
Uno tiene múltiples cortafuegos protegiendo redes internas de Internet y controlando el acceso a la información de clientes. Sus negocios cambian, y consecuentemente sus cortafuegos, y no siempre al mismo tiempo. Los cortafuegos pueden perder el paso con las políticas.

Todos cometemos errores. Para comprender una configuración de cortafuego, se tienen que leer cientos de lineas de configuración, y después se debe pensar como lo hace el cortafuegos. Las personas no somos buenas pensando como los cortafuegos. La mayoría de los cortafuegos están plagados de errores sutiles. Algunos de esos errores pueden resultar costosos:

  • Servicios inseguros pueden ser permitidos a través de un cortafuegos, impidiendo que este bloquee ataques.
  • Controles laxos en DMZ pueden exponer servidores de pruebas y otros de pre-producción.
  • Puertos de administración del cortafuegos pueden quedar expuestos a redes no confiables.
  • Reglas de cortafuegos redundantes puede esta complicando su configuración y provocando demoras.


Se puede descargar Flint aquí:
Máquina Virtual VMWare – FlintVM-current.zip
Máquina Virtual OVF – FlintVM-current.ovf.zip
Fuente – flint-current.tgz
O lea más sobre Flint aquí aquí.

Traducción: Raúl Batista – Segu-info
Fuente: Darknet.org.uk

¿Dónde estoy?

Actualmente estás explorando la categoría firewall en Seguridad Informática.