Seguridad en Granjas Web Defense in Depth

1. Seguridad en Granjas WebDefense in Depth Universidad de los AndesColombia 2002 Mario Enrique Santoyo Santoyo

2. Temario • Defense in Depth/Políticas de Seguridad • Políticas de Seguridad Física • Políticas de la Seguridad de la Red • Cuentas Administrativas y de Servicios • Como Fortificar un Servidor Windows 2000 • Best Practices • Como aplicar Politicas de Seguirdad en W2k (ejemplo) • El Template HISECWEB (ejemplo) • Filtros TCP/IP (ejemplos) • Configurar Filtros de Seguridad IP (ejemplos) • Arquitecturas Físicas • Topología Típica • Zonas Desmilitarizadas (DMZ) Típicas • DMZs de un solo Riel • DMZs de Doble Riel • Firewalls • Conceptos básicos de los Firewalls • Beneficios • Best Practices Wrap Up, Preguntas y Conclusiones Mario E. Santoyo | msantoyo@deremate.com

3. Defense in Depth / Políticas de Seguridad • Si todo lo que se encuentra entre su información mas sensible y un atacante es una sola capa de seguridad, el trabajo del atacante se hace sencillo. • Ninguna medida de seguridad; y en un concepto mas amplio, ninguna capa de seguridad, es infalible contra los ataques. Al agregar capas independientes a la arquitectura de seguridad se aumenta el tiempo que puede tomar el atacar un sitio, lo que permitiría en ultimas detectar las intrusiones y los ataques justo cuando estos ocurren. • La filosofía “Defense in Depth” significa para la seguridad de un ambiente Web lo mismo que significa para la seguridad de objetos fisicos: “los sistemas de seguridad de un sistema deben ser entedidos y contenidos dentro de capas, cada una independiente de la anterior de forma funcional y conceptual”. Mario E. Santoyo | msantoyo@deremate.com

4. Como Fortificar un Servidor Windows 2000 • Best Practices • Remover todas las cuentas y grupos innecesarios. • Renombrar las cuentas del Administrador y el Invitado (guest). • Remover todos los controladores de red innecesarios para el ambiente. • Remover o deshabilitar todos lo servicios que no se utilizaran en el sistema. • Implementar políticas de seguridad para simplificar y organizar el proceso de fortificación. • Hacer uso de filtros TCP/IP o políticas de IP Security. • Estar constantemente informado y al día acerca de nuevos fixes o bugs de seguridad referentes a la plataforma que se esta utilizando. Mario E. Santoyo | msantoyo@deremate.com

5. Arquitecturas Físicas Arquitectura de una Red sin DMZ • Los recursos de red se comparten entre la granja Web y los diferentes sistemas de computo pertenecientes a la red corporativa. • Asegurar los servidores en la granja no es una tarea sencilla y mucho menos rápida para llevar a cabo • Permitir conexiones a los servidores en la granja a través de la Internet es un riesgo para los sistemas corporativos. Mario E. Santoyo | msantoyo@deremate.com

6. El Firewall es el centro de “atencion” de esta arquitectura. Debe ser capaz de manejar el trafico correspondiente desde Y hacia los tres segmentos existentes. Puede llegar a ser un cuello de botella y un punto sensible si existen fallas. Hay que ser especialmente cuidadoso al seleccionar los Servidores que van a estar “publicados” en la DMZ. Si existiene una falla de seguridad, estos estarian expuestos de forma inmediata. El añadir servidores a la DMZ se vuelve una tarea complicada DMZ Tradicional Mario E. Santoyo | msantoyo@deremate.com

7. DMZs de un solo Riel • Efectuar ataques sobre los servidores conectados a Internet es muy sencillo • Acceder a los sistemas corporativos a través de un firewall puede ser un inconveniente. • Los sistemas de la granja Web que se encuentran en la red corporativa o en el caso, en la red compartida tienen los mismos inconvenientes que el modelo anterior. • Si un atacante logra obtener el control de un Web Server, la red corporativa estaría comprometida Mario E. Santoyo | msantoyo@deremate.com

8. Los puntos de acceso a los servidores del riel frontal son pocos y bien conocidos. Las redes son segmentos fisicamente separados, y no tienen ninguna de sus capas interconectadas entre si.Es mucho mas facil administrar y filtrar el trafico de cada uno de los segmentos. No todos los servidores del frente pueden acceder los servidores de Aplicaciones No todos los servidores del frente pueden acceder los servidores de Aplicaciones Estos a su vez, no tienen conexión directa a Internet por lo cual no serán nunca victimas de un ataque frontal.. No todos los servidores del frente pueden acceder los servidores de Aplicaciones No todos los servidores del frente pueden acceder los servidores de Aplicaciones DMZs de Doble Riel Mario E. Santoyo | msantoyo@deremate.com

9. Firewalls • Conceptos básicos de los Firewalls • Un firewall es un sistema diseñado para controlar el acceso tanto de usuarios como de “sistema” hacia y desde la sub red. • Estos dispositivos se encuentran localizados en las puertas de enlace entre las redes que “puentean”, y en si realizan tareas relacionas con la administracion de paquetes de red de las mismas. • Beneficios • Conservan los recursos de los Servidores • “Esconden” los servidores de otras redes. • Protegen los servidores de ataques conocidos (well-known) • Imposibilitan el obtener información de los servidores desde otras redes. • Alertan sobre posibles ataques. • Best Practices • Utilizar granularidad para controlar el flujo de trafico entre las redes. (Crear mas reglas especificas que muchas genéricas) • Denegar todos los servicios que no son explícitamente permitidos. (Close All - Open Singles) • Permitir que el trafico solamente fluya en la dirección necesaria. • Mantener una bitacora del trafico que no se permite o no se esperaba para un futuro análisis. Mario E. Santoyo | msantoyo@deremate.com

10. Seguridad en Granjas WebDefense in Depth Wrap Up | Preguntas | Conclusiones msantoyo@deremate.com