¿La seguridad está en el firewall?

Un firewall básicamente es un software capaz de permitir y denegar conexiones basándose en la dirección IP origen, destino y servicio. Inicialmente la mayoría de cortafuegos llegaban hasta la capa cuatro del modelo OSI, con el paso del tiempo y los avances tecnológicos han ido incorporándose nuevas funcionalidades como Stateful Inspection para tener en cuenta la capa cinco del modelo OSI y más tarde Deep Packet Inspection para analizar completamente los paquetes en busca de virus, spam o ataques. A partir de aquí surgió el término UTM o Gestión Unificada de Amenazas donde los cortafuegos incorporan sistemas IDS/IPS para detectar y mitigar ataques, además de filtrar contenidos web, realizar un control de aplicaciones o controlar la fuga de datos (DLP). Por último, podemos ver el control que hacen algunos firewall en la “capa ocho” que nos permiten aplicar políticas basadas en identidad, es decir, políticas por usuario, así ya no es necesario conocer desde qué equipo, sede o red está trabajando el usuario para permitirle o denegarle el acceso a cierto recursos.

Pero … ¿toda la seguridad debemos dejarla en manos del cortafuegos? ¿pensamos que con esto es suficiente? La instalación de un firewall tan solo debería ser el principio si el objetivo es protegernos de los ataques y del robo de la información, por tanto a continuación indicaré algunos controles que se deberían tener en cuenta si realmente nos preocupa la información de la organización:

• Primer punto a tener en cuenta es la elaboración de una política de seguridad. Muchas organizaciones aún no tienen definida la política de seguridad y cuando les pide la política de contraseñas o a qué web deben tener permiso de acceso los usuarios no saben qué responder.
• Hay que asignar roles y responsabilidades relativas a seguridad de la información de la organización para conocer qué funciones y obligaciones tiene cada persona.
• La identificación, clasificación y valoración de los activos es algo a tener en cuenta, además de mantener un inventario de activos actualizado. Es importante tenerlo desde el principio ya que cuando la organización crece es más difícil de realizar y luego no sabemos qué tenemos, quién es el responsable, quién tiene acceso o quién lo tiene.
• El eslabón más débil siempre está en las personas, por tanto no nos olvidemos de ellas y demos cursos de concienciación en seguridad para que sepan a qué riesgos están expuestos y conozcan los problemas de seguridad a los que se pueden enfrentar.
• Cada vez hay más medidores de temperaturas y sistemas contra incendios en los CPD, pero olvidamos cerrar las puertas de los rack, algo muy efectivo y útil cuando varios departamentos o empresas trabajan sobre el mismo CPD.
• La actualización de los sistemas operativos y el cifrado de la información es algo que no debemos olvidar, además hay que actualizar los antivirus y realizar análisis de vulnerabilidades periódicamente para conocer el riesgo al que está expuesto nuestros sistemas.
• Es importante controlar el acceso a la red mediante sistemas NAC, controlar el acceso a los sistemas operativos mediante sistemas de directorio, e incluso controlar los acceso remotos de los ordenadores portátiles y teletrabajadores. Además, es imprescindible tener un inventario de a qué tiene acceso cada persona, para ante una baja o cambio de puesto de trabajo sepamos qué permisos tenía el usuario, para revocarlos o cambiarlos.
• Exigir siempre a los proveedores de servicio que cumplan ciertos niveles de seguridad. También es aconsejable que un tercero realice auditorías de seguridad para contrastar que las cosas se están haciendo como se dice que se hacen.
• Gestionar adecuadamente cada incidente de seguridad, analizando e investigando por qué ha ocurrido e intentando establecer medidas para que no vuelva a ocurrir.
• La mayoría de organizaciones realizan copias de seguridad de sus datos, pero luego nunca comprueban que la restauración se realiza correctamente. Hay que tener presente la necesidad de dar disponibilidad a los servicios críticos para dar continuidad al negocio, y por tanto tener centros de respaldo y, redundancia en los equipos y los datos.
• Por último y no menos importante, conocer qué leyes debemos cumplir como la LOPD, LSSI, etc. Además de tener identificadas todas las licencias de software de la organización para poder renovarlas en tiempo y evitar sanciones o penalizaciones.

Como vemos está todo por hacer, no toda la seguridad de una organización debería recaer en el firewall, hay que tomar muchas más medidas que hoy por hoy muchos responsables aún no prestan atención. Luego siempre veremos casos como el robo de los 200.000 euros al Concello de Cerdedo o el robo de los 36 millones de euros por el troyano Eurograbber a la banca.