Trabajando con servidores proxy y firewalls con nivel de aplicación

Introducción• Vamos hablar sobre la exploración y actuación en la parte de datos de un paquete IP

• La ley principal en nombre de recibir, reconstruir, y expedir la de salida peticiones - Los servicios de proxy - Puertas de enlace de nivel de aplicación - Proxies de aplicación

Cómo trabajan los servidores proxy• Funcionan como un que reenvía datos entre recursos internos y externos. - Pantalla todo el tráfico de entrada y salida con su puerto - Decide si se debe bloquear o permitir el tráfico basado en normas

•Añade tiempo a las comunicaciones, pero en cambio: - encubre clientes- traduce las direcciones- filtra el contenido

Pasos a seguir en una transacción proxy

1. Host interno hace la solicitud para acceder a un sitio web

2. Solicitud va al servidor proxy, que examina la cabecera y los datos del paquete contra la base de reglas

3. Servidor proxy recrea paquete en su totalidad con una dirección IP de origen diferente

Pasos a seguir en una transacción Proxy (continuación)

4. El servidor envía paquetes a destino; paquete parece provenir de un servidor proxy

5. Paquete devuelto se envía al servidor proxy, que lo inspecciona de nuevo y la compara con su base

6. Servidor proxy reconstruye los paquetes y los envía al equipo de origen; paquete parece provenir de host externo

Pasos a seguir en una transacción Proxy (continuación)

¿Cómo difieren los servidores proxy de filtro de paquetes?• Se usan juntos en un servidor de seguridad para proporcionar múltiples capas de seguridad

• Ambos funcionan en la capa de aplicación, pero inspeccionan diferentes partes de los paquetes IP y actuan en de diferentes maneras

¿Cómo difieren los servidores proxy de paquetes Filtros (continuación)• Parte de datos de toda la exploración de los paquetes IP y crean una lista más detallada de archivos de registro

• Reconstruye paquetes con información nueva IP de origen (guarda los usuarios internos de usuarios externos)

• Servidor en Internet y un host interno nunca están conectados directamente el uno al otro

• Más crítico para las comunicaciones de red

El uso de un Proxy Host base dual

El uso de un Proxy Host Proyectado

Objetivos de Servidores Proxy• Encubrir clientes internos

• Bloquer url

• Bloquear y filtrar el contenido

• Proteger el correo electrónico de proxy

• Mejorar el rendimiento

• Garantizar la seguridad

• Proporcionar autenticación de usuario

• Redireccionar URLs

Ocultando clientes internos• Red aparece como una sola máquina

• Si los usuarios externos no pueden detectar hosts en la red interna, que no pueden iniciar un ataque en contra de estos hosts

•El servidor proxy recibe las peticiones como si fueran el servidor de destino y luego completamente regenera una nueva solicitud, que se envía a su destino

Ocultando clientes internos (continuación)

El bloqueo de URLs• Un intento de evitar que los empleados visiten sitios Web inadecuados

• Una práctica poco fiable, los usuarios pueden utilizar la IP que corresponde a la dirección URL

El bloqueo de URLs (continuación)

El bloqueo y filtrado de contenidos• Se puede bloquear y despojar a los applets de Java o ActiveX

• Se puede eliminar archivos ejecutables adjuntos a los mensajes de correo electrónico

• Se puede filtrar los contenidos en función de las reglas que contiene una variedad de arámetros (por ejemplo, tiempo, IP dirección, número de puerto)

E-Mail Protection Proxy Los usuarios de correo electrónico externos no interactúan directamente con hosts internos

E-Mail Protection Proxy (continuación)

Mejora del rendimiento• Acelerar el acceso a los documentos que han sido solicitado en repetidas ocasiones

Garantizar la seguridad de los archivos de registro•Log File - Archivo de texto configurado para almacenar información sobre el acceso a los recursos en red - Puede garantizar la eficacia de firewall • Detecta las intrusiones • Descubre los puntos débiles • Proporciona la documentación

Garantizar la seguridad de los archivos de registro (continuación)

Autenticación de usuario• Mejora la seguridad

• La mayoría de los servidores proxy pueden solicitar a los usuarios nombre de usuario y contraseña

Redireccionar los URLs• El proxy puede ser configurado para reconocer dos tipos de contenidos y realizar URL de redirección para enviar a otros lugares

-Los archivos o directorios solicitados por el cliente

- Nombre del host con el que el cliente quiere comunicar (el más popular)

Configuración del servidor proxy Consideraciones• Problemas de escalabilidad

• Necesidad de configurar cada pieza de software de cliente que va a utilizar el servidor proxy

• Necesidad de contar con un servicio de proxy separada disponible para cada protocolo de red

•Necesidad de crear reglas de filtros de paquetes

• Vulnerabilidades de seguridad

• Punto único de error

• Desbordamiento de búfer

Proporcionar la escalabilidad• Se debe añadir varios servidores proxy para la misma red conexión

Trabajo con configuraciones de Cliente

Trabajo con configuraciones de Cliente (continuación)

Trabajo con configuraciones de servicio

Creación de reglas de filtro• Permite que determinados hosts no utilicen el proxy

• Filtra las URLs

• Permite a los usuarios internos enviar información saliente con solicitudes sólo en eterminados momentos

•Dar longitud de tiempo que una sesión puede durar

Las vulnerabilidades de seguridad: Punto único de fallo•Asegúrese de tener otros medios que permitan el tráfico a fluir con una cierta cantidad de protección (por ejemplo, filtrado de paquetes)

•Cree múltiples proxies que están en uso simultáneamente

Las vulnerabilidades de seguridad: Buffer Overflow•Debe ocurrir cuando el servidor proxy intenta almacenar más datos en una memoria intermedia que el búfer puede almacenar

• El programa no funcional

• Consulte el sitio Web del fabricante para los parchos de seguridad

La elección de un servidor proxy• Algunos son productos comerciales para el hogar y los usuarios de pequeñas empresas

• Algunos están diseñados para proteger a un tipo de servicio y servir páginas Web almacenadas en caché

• La mayoría son parte de un servidor de seguridad híbrida (combinación varias tecnologías de seguridad diferentes)

• Algunos son verdaderos servidores proxy independiente

Tipos de servidores proxy• Transparente

•No transparentes

• Basados en SOCKS

Proxies transparentes•Se puede configurar para ser totalmente invisible a un usuario externo

•Un individuo puede entrar a la red y no se entera que esta siendo interceptado

Proxies no trasparentes• Requiere software cliente para ser configurado para usar el servidor proxy

• Todo el tráfico de destino se remite al poder en una único puerto de destino (normalmente utilizan protocolo SOCKS )

• Más complicado de configurar, pero proporcionan una mayor seguridad

• También llamados proxies explícitos

Proxies no trasparentes( continuacion )

Proxies basados en SOCKS•Usa el protocolo SOCKS

• Permite la creación de delegación genérica en aplicaciones - Flexible - Normalmente se utiliza para dirigir todo el tráfico del cliente al proxy que utiliza un puerto de destino de TCP/1080

Características de los SOCKS•Ventajas relacionadas con la seguridad - Funciona como una puerta de entrada a nivel de circuito - Cifra los datos que pasan entre el cliente y el proxy - Utiliza un protocolo único tanto para transferir datos a través de TCP y UDP y para autenticar a los usuarios

•Desventaja - No examina parte de datos de un paquete

SocksCap

Los cortafuegos basados en servidor Proxy

• Ejemplos de cortafuegos basados en servidores proxy: - T.REX - Calamar - WinGate - Symantec Enterprise Firewall - Microsoft Internet Security y Acceleration Server

• Su elección depende de la plataforma y de la número de hosts y servicios que usted necesita proteger

Firewall T.REX Open-Source• Solución basada en UNIX ¨ gratuito

• Maneja el bloqueo de URL, cifrado y autenticación

• Configuración compleja, requiere habilidad con configuración de servidor proxy

Squid• De alto rendimiento, aplicación gratuita de código abierto

• Actúa como un servidor proxy y almacena en caché los archivos para la Web y servidores FTP

• No con todas las funciones - Realiza el control de acceso y filtrado - Rápidamente sirve archivos que se mantienen en caché

• Se ejecuta en sistemas basados en UNIX

• Popular; tiene plug-ins disponibles

• Económico

WinGate• Servidor proxy más popular para el hogar pequeños entornos empresariales

• Programa basado en Windows Bien documentado

• Ofrece atención al cliente y las actualizaciones frecuentes

Symantec Enterprise Firewall• Combina servicios proxy con cifrado, autenticación, balanceo de carga y paquetes filtración

• Se configura a través de un complemento a la MMC

• Un firewall comercial con servidores proxy integradas

• Tiene todas las funciones de WinGate

Microsoft Internet Security &Acceleration Server (ISA)• Complejo, con todas las funciones

• Incluye filtrado de paquetes de estado, los servicios de proxy, NAT, y de detección de intrusos

• Compite con firewalls de alto rendimiento

Dos ediciones de ISA• Standard Edition

-Independiente

- Soporta hasta cuatro procesadores

• Enterprise Edition - Producto multiservidor con gestión centralizada - No hay límite en el número de procesadores compatibles

proxies inversos• Monitorea el tráfico de entrada

• Evita el acceso directo, sin control al servidor del datos de fuera de la empresa

• Ventajas - Rendimiento - Privacidad

La representación inversa (continuación)

Cuando un servicio de proxy no es la correcta elección• Se puede ralentizar el tráfico en exceso

• La necesidad de autenticarse a través del servidor proxy puede hacer imposible la conexión

• Si no desea utilizar su propio servidor proxy: - Los usuarios externos pueden conectarse al servidor de seguridad directamente utilizando Secure Sockets Layer (SSL) - Usar servidor proxy de un ISP

Resumen• Visión general de servidores proxy y cómo funcionan

• Objetivos de servidores proxy

• Vulnerabilidades y otros inconvenientes ese proxy servidores de traer a una configuración de seguridad

• Tipos de servidores proxy

• Comparación de cortafuegos basados en proxy