?Cu¨¢les son los aspectos b¨¢sicos de la seguridad de red?
Los aspectos b¨¢sicos de la seguridad de red son los elementos importantes de la ciberseguridad o de la red. Deber¨ªan implementarse en todas las redes, incluidas las del hogar, la empresa e Internet. Una seguridad de la red efectiva necesita una protecci¨®n de redes cableadas o inal¨¢mbricas con firewalls, software anti-malware, sistemas de detecci¨®n de intrusiones, control de acceso y m¨¢s.
Aspectos b¨¢sicos de la seguridad de red
La seguridad de la red es un tema complejo en el que se ven envueltas muchas tecnolog¨ªas diferentes con configuraciones que, en muchas ocasiones, resultan complicadas.
El problema de seguridad que hay que abordar es la separaci¨®n entre lo que est¨¢ en la red y en los endpoints o los sistemas host que est¨¢n vinculados a ellos. Tanto la tecnolog¨ªa de la red como la de los endpoints incluye cifrado y control de acceso, pero en la red tambi¨¦n hay una seguridad de per¨ªmetro y segmentaci¨®n.
Seguridad de red vs. Seguridad de endpoint
La seguridad de red es solo una parte de la ecuaci¨®n de la seguridad y se suele tener en cuenta para aplicarla a los dispositivos que protegen la red. Un firewall puede ser un dispositivo independiente que complemente al equipamiento de las funciones de red como enrutadores, conmutadores o un software con la misma caja f¨ªsica que tambi¨¦n enrute y/o conmute. En la red hay firewalls, sistemas de detecci¨®n de intrusiones (IDS), sistemas de prevenci¨®n de intrusiones (IPS), aplicaciones de redes privadas virtuales (VPN), sistemas de prevenci¨®n de filtraci¨®n de datos (DLP), etc.
La red existe para conectar sistemas entre ellos. Eso es lo que le permite buscar en Amazon o comprar de forma online en su supermercado local. Pero los sistemas finales tambi¨¦n tienen que estar protegidos, a esto se le llama seguridad de endpoint. Estos dispositivos incluyen equipos port¨¢tiles, tabletas y tel¨¦fonos, pero tambi¨¦n los dispositivos del Internet de las cosas (IoT).
IoT incluye dispositivos como Smart Duvets, bombas de piscina, bombillas, seguros de puertas, refrigeradores, c¨¢maras y termostatos conectados. Estos dispositivos tambi¨¦n necesitan controles de seguridad, pero no todos los dispositivos son los suficientemente sofisticados como para contener algo como un firewall basado en host o un agente anti-malware. Si el endpoint es una bombilla, probablemente conf¨ªe en la seguridad de la red para su protecci¨®n.
Control de acceso
Hay que empezar con el control de acceso. Las empresas normalmente lo llaman Administraci¨®n de identidades (IAM). El control de acceso no es algo nuevo. Los humanos han controlado el acceso a los edificios desde que el primer cerrojo se instal¨® en una puerta hace m¨¢s de seis mil a?os.?Ahora, el control de acceso se realiza en redes, equipos, tel¨¦fonos, aplicaciones, sitios web y archivos.
El control de acceso se descompone principalmente en IAAR:
- La Identificaci¨®n es la afirmaci¨®n de un nombre de usuario o de una identificaci¨®n como un ID de usuario o una direcci¨®n de email.
- La Autenticaci¨®n proporciona una prueba de que el usuario es quien dice ser. Normalmente esto se lleva a cabo mediante contrase?as.
- La Autorizaci¨®n es la concesi¨®n o no de permisos al usuario. Podr¨ªa ser que el usuario no est¨¦ autorizado y que, por tanto, no tenga permisos o que al usuario le hayan concedido permisos para leer, escribir, control completo, etc.
- La Responsabilidad rastrea lo que ha ocurrido. El registro muestra si un usuario ha intentado acceder o ha accedido. El registro tambi¨¦n incluye todas las acciones que el usuario ha llevado a cabo.
?
Tipos de autenticaci¨®n
Dentro del IAAR, la autenticaci¨®n podr¨ªa ser la parte m¨¢s importante hoy en d¨ªa. Las contrase?as siguen siendo la autenticaci¨®n m¨¢s com¨²n en la mayor¨ªa de los sistemas. Aun as¨ª, no son demasiado seguras, ya que es muy f¨¢cil crackearlas.
Si una contrase?a es muy corta, el hacker no va a tener muchos problemas para averiguarla. Los hackers utilizan un ataque de predicci¨®n de contrase?as que conlleva el uso de la fuerza bruta, es decir, prueba todas las combinaciones posibles. El hacker tambi¨¦n podr¨ªa utilizar un ataque de descifrado de contrase?as en el cual utiliza un programa para recrear contrase?as que tienen el mismo valor hash.
Hay tres tipos o factores de autenticaci¨®n que se utilizan hoy en d¨ªa. Son:
- Algo que sabe: una serie de caracteres, n¨²meros o una combinaci¨®n de ambos que almacena en su cerebro. Hoy en d¨ªa deber¨ªa almacenarse en un gestor de contrase?as.
- Algo que tiene: un dispositivo o una pieza de software en un dispositivo que necesita tener para realizar la autenticaci¨®n. Esto incluye dispositivos como un token de RSA o el Google Authenticator en un tel¨¦fono inteligente.
- Algo que usted es: un aspecto de su persona. Esto ser¨ªa biom¨¦trico y podr¨ªa ser fisiol¨®gico como una huella dactilar o conductual como una huella de voz.
?
La mejor opci¨®n es la autenticaci¨®n de dos factores (2FA), la cual tambi¨¦n se llama autenticaci¨®n multifactor (MFA). Se lo recomendamos encarecidamente para sus cuentas personales de Amazon y Facebook.
Las aplicaciones como Google Authenticator son gratuitas y constituyen una mejor opci¨®n que la recepci¨®n de un mensaje o de un servicio de mensajes cortos (SMS) en su tel¨¦fono. El National Institute of Standards and Technology (NIST) de EE.?UU. recomienda no utilizar el SMS.
Tambi¨¦n recomendamos el 2FA para la oficina, pero decidir si es necesario o no, es una decisi¨®n a nivel de gesti¨®n o pol¨ªtica. Depende de muchos factores como los activos, su clasificaci¨®n de datos, los riesgos y las vulnerabilidades.
Segmentaci¨®n de la red
La segmentaci¨®n de la red mejora la seguridad al controlar el flujo de datos entre diferentes redes. Se suele conseguir mediante una red de ¨¢rea local virtual (VLAN, por sus siglas en ingl¨¦s). Hay muchas variantes como la LAN virtual privada (PVLAN), la LAN virtual extensible (VXLAN) y m¨¢s. Una VLAN existe a nivel de v¨ªnculo de datos: el nivel?2 del modelo de interconexi¨®n de sistemas abiertos (OSI, por sus siglas en ingl¨¦s). La mayor¨ªa de los administradores de red trazan una subred de protocolo de Internet (IP) en la VLAN.
Los enrutadores permiten que el tr¨¢fico pase entre las VLAN siguiendo la configuraci¨®n. Si quiere el control, la configuraci¨®n del enrutador es vital.??
Otra opci¨®n que encontramos en la nube es la nube privada virtual (VPC, por sus siglas en ingl¨¦s). El control del tr¨¢fico hacia y desde la VPC est¨¢ controlado por configuraciones.
Entender los requisitos de la empresa para el workload es esencial para configurar y controlar el acceso hacia o desde las VLAN y VPC.
Seguridad perimetral
La seguridad perimetral est¨¢ basada en la l¨®gica de que existe un l¨ªmite definido entre una red de confianza/interna y una red de no confianza/externa. Este es un dise?o de la red tradicional que viene de cuando la red y el datacenter estaban en un mismo edificio. En esta configuraci¨®n el enrutador conecta las redes internas y externas. Una configuraci¨®n b¨¢sica de una lista de control de acceso (ACL, por sus siglas en ingl¨¦s) en el enrutador controla el tr¨¢fico que puede atravesarlo.
Puede a?adir seguridad en el per¨ªmetro mediante firewalls, IDS e IPS.? Para obtener m¨¢s informaci¨®n dir¨ªjase a la p¨¢gina de Medidas de Network Security.
Cifrado
El cifrado es esencial para mantener las comunicaciones y datos confidenciales lejos de miradas curiosas. El cifrado protege los archivos del disco duro de su equipo, la sesi¨®n de la banca electr¨®nica, los datos almacenados en la nube, los emails confidenciales y una larga lista de otras aplicaciones. La criptograf¨ªa tambi¨¦n proporciona una verificaci¨®n de la integridad de los datos y una autenticaci¨®n de la fuente de los datos.?
El cifrado se compone de dos tipos b¨¢sicos de criptograf¨ªa: sim¨¦trica y asim¨¦trica.?
- La criptograf¨ªa sim¨¦trica tiene una sola clave que cifra y descifra?Como resultado, se tiene que compartir con alguien m¨¢s para completar la comunicaci¨®n cifrada.?Los algoritmos incluyen el est¨¢ndar de cifrado avanzado (AES), Blowfish, Triple DES (est¨¢ndar de cifrado de datos) y mucho m¨¢s.
- La criptograf¨ªa asim¨¦trica tiene dos claves diferentes, una p¨²blica y otra privada, que funcionan como un conjunto emparejado. El conjunto de claves pertenece a un usuario o servicio: por ejemplo, un servidor web. Una clave es para el cifrado y la otra es para el descifrado.?
- Si la clave p¨²blica cifra los datos, mantiene los datos confidenciales. Esto se debe a que el propietario de la clave privada es el ¨²nico que puede descifrarla.
- Si la clave privada cifra los datos, prueba la autenticidad de la fuente. Cuando se descifran los datos con ¨¦xito usando la clave p¨²blica, quiere decir que solo la clave privada podr¨ªa haberlos cifrado. La clave p¨²blica es realmente p¨²blica, accesible para todo el mundo.
?
El tercer tema es usar un hash. Aunque no sea un cifrado, es necesario que se incluya llegados a este punto del debate sobre seguridad. Un hash ejecuta un algoritmo contra un mensaje que calcula una respuesta resultante, que se llama hash y que est¨¢ basado en los bits de ese mensaje. Los bits pueden ser datos, voz o v¨ªdeo. Hacer un hash no cambia el valor de los datos de ninguna forma. Al contario que esto, el cifrado altera los datos en un estado en el que no se pueden leer.?
El hash demuestra que los bits de un mensaje no han cambiado. Asegura que los datos siguen teniendo la integridad que ten¨ªan en el formato original. Solo el hash se protege a los datos de cambios accidentales.
Si el hash se cifra con una clave privada asim¨¦trica, demuestra que un hacker no ha alterado los datos de forma maliciosa. Los cambios maliciosos no pueden suceder a menos que la clave privada se vea comprometida.
Si la clave no se ha visto comprometida, entonces sabe que la persona que tiene la clave privada debe ser la persona que ha calculado el hash. Esa clave podr¨ªa ser sim¨¦trica, tambi¨¦n conocida como clave privada o clave privada asim¨¦trica.
Seguridad inal¨¢mbrica
Es dif¨ªcil proteger los datos, las voces o los v¨ªdeos que se transmiten mediante una red inal¨¢mbrica. Las transmisiones inal¨¢mbricas est¨¢n creadas para que emitan una se?al, lo cual facilita capturar la transmisi¨®n a cualquier hacker que se encuentre en el rango. Hay est¨¢ndares de cifrado para las redes inal¨¢mbricas, pero la mayor¨ªa se han forzado de una forma u otra.
Los est¨¢ndares de cifrado incluyen WEP, WPA, WPA2 y ahora WPA3.
- La privacidad equivalente al cableado (WEP, por sus siglas en ingl¨¦s), utiliza el algoritmo sim¨¦trico RC4 para cifrar la transmisi¨®n inal¨¢mbrica. Los hackers la forzaban r¨¢pidamente y ahora existe una pr¨¢ctica herramienta de hackeo llamada WEP crack para ese fin.
- Acceso Wi-Fi protegido (WPA, por sus siglas en ingl¨¦s) ha reemplazado a la WEP, pero sigue utilizando el RC4. Los hackers modificaron el WEP crack para forzar el WPA.
- WPA2, la segunda versi¨®n del WPA, ten¨ªa dos opciones.
- WPA2-personal utiliza una clave compartida previamente llamada clave de seguridad. B¨¢sicamente es una contrase?a que se ha introducido en un dispositivo inal¨¢mbrico como equipo port¨¢til o un tel¨¦fono y en el punto de acceso inal¨¢mbrico (WAP). Los hackers encontraron la primera brecha en?2017, llamada?Key?Reinstallation?AttaCK?o KRACK (Ataque de Reinstalaci¨®n de Clave, en espa?ol).
- WPA2-enterprise utiliza una capa adicional de seguridad al autenticar al usuario en un servidor centralizado del servicio de autenticaci¨®n remota telef¨®nica de usuario (RADIUS). Tambi¨¦n utiliza el protocolo de autenticaci¨®n extensible (EAP, por sus siglas en ingl¨¦s) para superar la informaci¨®n de autenticaci¨®n en la conexi¨®n inal¨¢mbrica local. El uso de la combinaci¨®n de RADIUS y EAP como protocolo de seguridad se llama IEEE?802.1x.
Fuente:
- WPA3 tambi¨¦n tiene dos opciones.
- WPA3-personal les da a los usuarios un nivel m¨¢s alto de protecci¨®n mediante una clave de cifrado de 128?bits. Esto proporciona una autenticaci¨®n de contrase?a robusta incluso cuando las contrase?as son demasiado simples para la seguridad. WPA3-personal consigue esto mediante el uso de la autenticaci¨®n simult¨¢nea de iguales (SAE, por sus siglas en ingl¨¦s) en vez de la clave compartida previamente que ten¨ªa WPA2-personal.? ?
- WPA3-enterprise[SM2]?[TA(3]?[SM4]? utiliza una clave de cifrado de 192?bits para una mayor seguridad.?Es una mejora del WPA2 que aplica protocolos de seguridad de forma uniforme en toda la red de una organizaci¨®n.??
Certificaciones de seguridad
La seguridad de la red es compleja. Es una batalla interminable de ingenio contra los hackers. Dir¨ªjase a la p¨¢gina de Medidas de Network Security para obtener m¨¢s informaci¨®n.
Obtener certificaciones de seguridad siempre es una buena idea. Ya sea la certificaci¨®n o la certificaci¨®n System Security Certified Practitioner (, por sus siglas en ingl¨¦s), ambas son un buen punto de partida. Una certificaci¨®n de un nivel de gesti¨®n un poco m¨¢s avanzado, la cual incluye un poco de conocimiento t¨¦cnico, es la certificaci¨®n Certified Information System Security Professional (, por sus siglas en ingl¨¦s). Tambi¨¦n puede realizar ex¨¢menes espec¨ªficos para proveedores como los ex¨¢menes basados en la nube para , o .
Art¨ªculos relacionados