Seguridad: El principio de la zona desmilitarizada

20 Dic 2004 en Seguridad

Para muchos administradores o directores de IT responsables por la vida de grandes redes con cientos o miles de usuarios, el problema no es si su red está o no expuesta a las amenazas, sino ser capaz de controlar los daños si es que se producen.
Algunas redes están más expuestas que otras a los apetitos de los hackers y no por ello deben dejar de ofrecer la información que necesitan hacer pública a sus usuarios. Frente a estas situaciones, puede ser aconsejable utilizar una de las antiguas técnicas militares: la de la zona desmilitarizada.
Una zona desmilitarizada es una tierra de nadie que se establece para poder observar los movimientos del enemigo. En una empresa, la zona desmilitarizada es un área donde el público puede acceder a ciertos elementos de la red, siempre sin ninguna conexión con los sistemas back-end de misión crítica.
Mientras que los firewalls y la detección e impedimento de intrusiones son buenas estrategias para la detección de tráfico no deseados en una red, la desmilitarización es un buen borrador de plano para que todos estos recursos de seguridad se combinen dando la mayor protección posible. La zona desmilitarizada es una forma de pensar  respecto a cómo se tratarán los elementos expuestos a Internet y de tener un plan hacia un mundo no confiable.
Rick Fleming, CTO de la firma Digital Defense, nos dice que la zona desmilitarizada debe tener cosas que no ocasionen una catástrofe cuando son violadas. Respecto a los servidores Web, servidores de e-mail, y otros almacenes de información como los silos de archivos PDF, recomienda preguntarse: ¿Qué pasaría si alguien gana acceso de raíz a este servidor Web, cuál será el efecto en la red? “La respuesta debería ser que no hay ningún efecto negativo para poder estar en la zona desmilitarizada,” aclara Fleming.
Fleming se refiere a muchas compañías que quieren tener información para el público, tal como las instituciones financieras, que a menudo comenten el error de conectar a esas máquinas para el público con las redes privadas del backend. Hay casos en los que los bancos ofrecen formularios digitales que el público debe completar y están en servidores Web. “Un hacker puede acceder a información de un cliente en el back-end y base de datos SQL con simples consultas. Las máquinas en la zona desmilitarizada deben tener la menor conectividad que sea humanamente posible con las máquinas de la red confiable.”
Por ejemplo, un servidor de e-mail debe estar en la red privada, pero el smart host puede estar en la zona desmilitarizad para tomar y enviar mensajes. Microsoft Exchange Server no puede estar en la zona expuesta, ya que alguien puede encontrar una explotación en el código, copar el servidor y hacerse dueño de toda la red.
“La creación de esta zona debe limitar las conexiones salientes de alguna forma. Si alguien compromete un servidor, por ejemplo, éste no debe iniciar conexiones salientes, aunque mucha gente piense diferente.”
La zona desmilitarizada no debe ser explícita y nadie debe saber si está en el terreno real o no. Los usuarios normales deben encontrar lo que necesitan y los malintencionados deben salir frustrados. Para ello, conviene poner “cebos” que atraigan a los hackers y obtener así información sobre su presencia y actividad, herramientas que usan y blancos que persiguen.
Una de las contras de este esquema es la sobrecarga de tráfico, para lo que se recomienda tener el control de e-mails y virus en una caja y el filtrado de contenidos en otra, distribuyendo lo más posible para no recargar ninguna CPU. La demanda de mayor computación y almacenamiento de datos paralelo, es otro aspecto que puede impactar el costo en grandes empresas y por ello algunos prefieren enfrentar los inconvenientes de una falla defensiva.