Cómo impedir la entrada a la red a través de

Cómo impedir la entrada
a la red a través de
vulnerabilidades en las
aplicaciones
Protección de servidores web y estrategias de seguridad
Angelo Comazzetto, director ejecutivo de productos de seguridad para redes
Las nuevas técnicas de ataque y vulnerabilidades que afectan a los servidores
web hacen que los cortafuegos tradicionales ya no sean suficientes para
proteger las redes actuales. Al incluir protección para los servidores web en
las infraestructuras de seguridad informática, se crean entornos más seguros.
Sin embargo, los cortafuegos de aplicaciones web suelen ser caros y difíciles
de administrar, por lo que no son una solución realista para la mayoría de
pymes. En este monográfico se describen las razones y los métodos de ataque
a servidores web, y cómo pueden utilizar las pymes la gestión unificada de
amenazas (UTM) para simplificar la gestión y el despliegue de cortafuegos de
aplicaciones web para proteger los servidores.
Cómo impedir la entrada a la red a través de vulnerabilidades en las aplicaciones Protección de servidores web y
estrategias de seguridad
Vulnerabilidades de los servidores web
Prácticamente todas las empresas, tanto las multinacionales como los negocios locales,
tienen un sitio web. Los sitios web son la cara pública de las empresas con la que se
relacionan los clientes potenciales y existentes. A través de estos, los clientes pueden
gestionar sus cuentas, encontrar información nueva o hacer pedidos. Por desgracia, algunas
pymes descuidan la protección de esta parte pública tan vulnerable de las redes.
En estos momentos, casi todas las empresas cuentan con cortafuegos y filtros de direcciones
web, además de programas antivirus y anti-spam. Pero las amenazas son cada vez más
sofisticadas y suelen proceder de Internet. De hecho, según un estudio reciente, el 80 % de
los ataques a redes tenía como objetivo sistemas web.1 Los cortafuegos de primera y segunda
generación pueden evitar la entrada de ciertas infecciones en la red, pero no son suficientes
para bloquear todos los programas maliciosos como, por ejemplo, los antivirus falsos o los
que piden rescates.
El uso exclusivo de cortafuegos es igual de efectivo que cerrar con llave la puerta principal
de nuestra casa y tapar la puerta de atrás con una cortina, esperando que nadie se de cuenta
de que está abierta. Los ciberdelincuentes abrirán la cortina sin ninguna dificultad para entrar
en la red. Las nuevas técnicas de ataque y vulnerabilidades que afectan a los servidores
web hacen que los cortafuegos tradicionales ya no sean suficientes para proteger las redes
actuales. Al integrar la protección para servidores web en las infraestructuras de seguridad
informática, se crean entornos más seguros.
Vulnerabilidades de las aplicaciones web
El 69 % de las aplicaciones
web contenía, por lo menos,
una vulnerabilidad de
inyección de SQL
El 42 % contenía
vulnerabilidades continuas
de secuencias de comandos
entre sitios
Durante el estudio de 236 aplicaciones web realizado por HP en 2011, se
detectaron vulnerabilidades muy importantes
Fuente: Hewlett-Packard Application Security Center, Web Security Research Group
1. Informe sobre los principales riesgos para la seguridad informática, HP TippingPoint DVLabs, SANS Institute y Qualys Research
Labs, septiembre de 2010
Monográficos de Sophos. Abril de 2012.
2
Cómo impedir la entrada a la red a través de vulnerabilidades en las aplicaciones Protección de servidores web y
estrategias de seguridad
Evolución de los cortafuegos
Los cortafuegos aparecieron a finales de los años 80, cuando Internet era una tecnología
nueva con conexiones y un uso global limitados. Los denominados cortafuegos de primera
generación utilizaban filtros para inspeccionar los paquetes transferidos entre los equipos en
Internet. Si algún paquete coincidía con el conjunto de reglas, el filtro lo eliminaba de forma
silenciosa o advirtiendo al origen mediante errores.
Los cortafuegos de segunda generación realizaban la misma labor que los anteriores pero
funcionaban hasta la capa 4 (la capa de transporte) del modelo OSI y examinaban tanto los
paquetes como su posición en el flujo de datos, técnica conocida como inspección dinámica de
paquetes. Los cortafuegos de segunda generación registraban todas las conexiones que los
atravesaban para comprobar si los paquetes iniciaban conexiones nuevas, formaban parte de
conexiones existentes o no estaban vinculados a ninguna conexión.
Hoy en día, los cortafuegos incluyen también filtrado a nivel de las aplicaciones y pueden
"comprender" ciertos protocolos y aplicaciones como, por ejemplo, FTP, DNS o de navegación
por Internet. Además, detectan la entrada furtiva de protocolos no deseados a través de
puertos no estándar o usos no autorizados.2
Vea cómo ha
evolucionado la
seguridad
de las redes.
Descargue el gráfico
informativo
Principales 10 riesgos para la seguridad
de las aplicaciones web según el proyecto
OWASP
1.Inyección
2. Secuencias de comandos entre sitios (XSS)
3. Pérdida de autenticación y gestión de sesiones
4. Referencias directas no seguras a objetos
5. Falsificación de peticiones entre sitios (CSRF)
6. Errores en la configuración de la seguridad
7. Almacenamiento criptográfico poco seguro
8. Falta de restricción del acceso a direcciones web
9. Protección insuficiente de la capa de transporte
10. Redirecciones y desvíos no validados
Copyright © 2003-2010 The OWASP Foundation3
2. Wikipedia: Cortafuegos (informática): http://es.wikipedia.org/wiki/Cortafuegos_(inform%C3%A1tica)
3. El proyecto OWASP (The Open Web Application Security Project) es una organización especializada en fomentar la transparencia y
la concienciación sobre la seguridad de las aplicaciones web. Consulte los diez puntos principales de OWASP para 2010, https://www.
owasp.org/index.php/OWASP_Top_10
Monográficos de Sophos. Abril de 2012.
3
Cómo impedir la entrada a la red a través de vulnerabilidades en las aplicaciones Protección de servidores web y
estrategias de seguridad
Ciberdelincuencia y pequeñas empresas
Algunas pymes creen que, por su tamaño, no corren tanto peligro. Pero, para muchos
ciberdelincuentes, el tamaño es irrelevante porque no suelen atacar empresas o sitios
específicos. Su objetivo es conseguir la mayor cantidad de dinero posible con el mínimo
esfuerzo. Los ciberdelincuentes crean código para aprovechar tipos o clases específicos de
vulnerabilidades de los servidores web. Después, el código escanea cientos de miles de sitios
web en busca de vulnerabilidades. Al detectar alguna, se despliega el código para secuestrar
el sitio web.
Cómo funciona la ciberdelincuencia
Los ciberdelincuentes
crean código
u
El código escanea
miles de sitios
u
Se secuestran los
sitios vulnerables
El tamaño de la empresa o la cantidad de información que un ciberdelincuente puede robar
en un solo servidor no importan. Los resultados obtenidos con cada programa malicioso son
acumulativos, por lo que el ciberdelincuente aumenta sus ganancias independientemente del
tamaño de la empresa. Las pymes suelen carecer de una protección sólida en los servidores
web lo que, en realidad, las hace más susceptibles a sufrir filtraciones que las empresas más
grandes y más conocidas. Pero, cuando se produce alguna filtración en una empresa más
pequeña, no suele salir en las noticias, de ahí la tendencia a pensar que corren menos peligro.
Las pymes suelen renunciar a desplegar cortafuegos de aplicaciones web por lo costoso de su
administración y lo complicado que resulta instalarlos. En su lugar, dependen de cortafuegos
tradicionales u otros dispositivos de seguridad de red para proteger los servidores web, lo cual
no supondría un problema de no ser porque las empresas necesitan permitir que los usuarios
externos envíen información a los servidores web para realizar pedidos, acceder a sus cuentas
o modificar información personal.
Como consecuencia, al crear por ejemplo un foro, la empresa debe proteger o eliminar las
herramientas de administración utilizadas para configurarlo (por ejemplo, www.midominio.
com/admin.php) para que no sea posible acceder a ellas o verlas desde fuera de la empresa.
La omisión de este paso puede facilitar la entrada de los ciberdelincuentes a la red. Una vez
dentro, pueden encontrar cualquier dato almacenado en los servidores, como información de
tarjetas de crédito o direcciones de correo electrónico.
Monográficos de Sophos. Abril de 2012.
4
Cómo impedir la entrada a la red a través de vulnerabilidades en las aplicaciones Protección de servidores web y
estrategias de seguridad
En muchos países, las empresas que procesan datos de tarjetas de crédito están obligadas
a cumplir una serie de requisitos mínimos de seguridad. Según el Consorcio de Protección
de Aplicaciones Web, el 99 % de las aplicaciones web no cumplen el Estándar de Seguridad
de Datos PCI (Industria de Tarjetas de Pago).4 El uso de cortafuegos de aplicaciones web o
la revisión del código pueden ayudar a las empresas que realizan transacciones comerciales
electrónicas a evitar ataques habituales y a cumplir las normativas gubernamentales y del
sector.
Al igual que las pymes, las autoridades locales también ofrecen servicios por Internet. En los
portales de autoservicio, los vecinos pueden actualizar permisos de conducir, inscribir a sus
mascotas, pagar impuestos o facturas, rellenar formularios del censo o inscribirse para votar.
A pesar de las comodidades que ofrecen, muchas instituciones no cuentan con expertos en
seguridad. Sin una solución de protección de servidores web de administración sencilla, las
facilidades ofrecidas a los vecinos propician en cambio, que los ciberdelincuentes roben sus
datos.
Cómo impedir la entrada a la red
Si todas las empresas que disponen de sitios web pueden sufrir ataques contra los servidores
web, ¿cómo pueden impedir las pymes la entrada a la red?
Aquí tiene siete consejos para proteger los servidores web.
1. Conozca la red y cómo la ven los demás
Las pymes deben saber a qué información podrían tener acceso los delincuentes. Cuanta
menos información que no se pretenda compartir esté disponible, mejor. Empiece por
examinar los registros públicos del DNS para asegurarse de que solo contienen información
válida de la empresa y no información personal de los empleados. Los delincuentes pueden
utilizar información pública de las empresas y de sus empleados para atacar.
Después, revise las respuestas del servidor web para comprobar que no ofrece información
sobre los sistemas operativos ni las aplicaciones. Por último, analice las páginas de error para
asegurarse de que no revelan información como el nombre del equipo local o la estructura de
directorios.
2. Limite las respuestas a sondeos y errores
En lugar de responder a las solicitudes “malformadas” (por ejemplo, aquellas que el servidor
web es incapaz de entender o procesar), debe limitarse a eliminarlas. De esta forma, se
reduce la cantidad de información proporcionada y se evita la saturación de los registros, que
puede provocar problemas en los recursos o fallos en los servidores.
4. Estadísticas sobre la seguridad de las aplicaciones web de 2008, Consorcio de Protección de Aplicaciones Web, http://projects.webappsec.org/w/page/13246989/Web%20Application%20Security%20Statistics
Monográficos de Sophos. Abril de 2012.
5
Cómo impedir la entrada a la red a través de vulnerabilidades en las aplicaciones Protección de servidores web y
estrategias de seguridad
3. Manténgase alerta
Los administradores informáticos deben vigilar los registros y los informes para detectar
anomalías, ataques y vulnerabilidades. Es importante estar al tanto de las actividades
de los usuarios para disponer de las defensas necesarias. Además, puede ayudar a los
administradores a encontrar agujeros pasados por alto durante la revisión de la red.
4. Realice una revisión activa
NMAP (Network Mapper) y otras herramientas permiten asegurarse de que solo los puertos
permitidos están disponibles para el público. Manténgase al tanto de los puertos que están
abiertos en los servidores web y de las direcciones IP visibles en Internet. Preferiblemente, las
empresas deberían prohibir todo el tráfico y permitir el uso exclusivo de determinados puertos
y aplicaciones en los servidores.
5. Utilice un nombre auxiliar o señuelo
El uso de información o nombres de señuelo en los registros públicos y mensajes de error
puede ayudar a las empresas a detectar intentos de ataque. Si alguien intenta ponerse en
contacto con el señuelo o lanzar un ataque basado en la información falsa, es muy probable
que esté tanteando las defensas.
6. No dependa de una sola capa de protección
Los cortafuegos y los sistemas de prevención de intrusiones (IPS) pueden evitar ataques
sencillos de denegación de servicio o aprovechamientos de vulnerabilidades, pero no impiden
los ataques contra los servidores web (por ejemplo, de inyección de SQL o secuencias de
comandos entre sitios). Para proteger correctamente los valiosos servidores web, es necesario
utilizar un cortafuegos de aplicaciones web.
La mayoría sirven también como servidores proxy inversos. En lugar de pasar el tráfico de
Internet al servidor, los cortafuegos de aplicaciones web establecen una conexión adicional
propia. Además, ofrecen funciones avanzadas de detección de programas maliciosos o
descarga de SSL, entre otras.
7. Separe los recursos para reducir las consecuencias de una posible filtración
Instale un cortafuegos de aplicaciones web en una zona protegida sin acceso a la red local ni a
los usuarios internos. De esta forma, si se produce un ataque, la empresa no estará expuesta
en su totalidad a las amenazas.
Monográficos de Sophos. Abril de 2012.
6
Cómo impedir la entrada a la red a través de vulnerabilidades en las aplicaciones Protección de servidores web y
estrategias de seguridad
Limitaciones de la protección exclusiva de la red
con cortafuegos
Como ya hemos visto, la protección tradicional de la red depende de dispositivos independientes
que protejan el entorno. Estos productos de software independientes suelen desplegarse en
ordenadores personales o dispositivos, y ofrecen funciones de red específicas, por ejemplo,
cortafuegos. Normalmente, los cortafuegos protegen la red interna contra ataques externos
e impiden el acceso de la red interna a fuentes externas. Pero, por sí solos, los cortafuegos
son incapaces de proporcionar a las pymes la seguridad, la flexibilidad de despliegue y el
rendimiento que necesitan para protegerse contra las sofisticadas amenazas informáticas
actuales en constante aumento.
Los productos independientes de seguridad para redes (como los cortafuegos) presentan
serios problemas:
1. Las amenazas informáticas actuales evolucionan a gran velocidad, son más sofisticadas
y pueden eludir más de una tecnología independiente. Es más fácil atacar un dispositivo
independiente que permita acceder directamente a la red.
2. Administrar y mantener redes cada vez más diseminadas sin perímetros definidos resulta
caro y complicado. No solo se crean agujeros en la seguridad sino que, además, se
sobrecargan los recursos de por sí ya saturados.
3. Es difícil conseguir la capacidad de rendimiento y procesamiento necesaria para proporcionar
total seguridad a nivel del contenido sin componentes de hardware especiales.5
Ventajas de la protección de la red basada en la
gestión unificada de las amenazas (UTM)
El método más eficaz para hacer frente a la gran diversidad de amenazas asociadas al acceso a
Internet es la consolidación de la seguridad en una solución todo-en-uno basada en la puerta de
enlace que funcione con el cortafuegos existente. El administrador informático puede controlar
el tráfico web entrante y saliente, y seleccionar los filtros, los monitores y las restricciones que
desea instalar para regularlo de forma segura y ordenada en todo el sistema.
La gestión unificada de amenazas (UTM) podría considerarse como un dispositivo tradicional de
cortafuegos que además realiza tareas propias de otros sistemas, como filtrar el contenido o el
correo no deseado, y detectar intrusiones y virus. Las soluciones de UTM están diseñadas para
combatir todos los niveles de actividades maliciosas en las redes informáticas.
Las soluciones de UTM eficaces ofrecen seguridad y funciones de redes sólidas y totalmente
integradas como, por ejemplo, detección y prevención de intrusiones, cortafuegos de red y
antivirus en la puerta de enlace. También permiten gestionar la seguridad y las políticas por
grupos y usuarios. Las soluciones de UTM ofrecen protección contra las amenazas a nivel de las
aplicaciones y funciones de administración centralizada desde una misma consola sin afectar al
rendimiento de la red.
5. Network security: Using unified threat management, SearchNetworking, TechTarget, http://searchnetworking.techtarget.
com/tip/Network-security-Using-unified-threat-management-UTM
Monográficos de Sophos. Abril de 2012.
7
Cómo impedir la entrada a la red a través de vulnerabilidades en las aplicaciones Protección de servidores web y
estrategias de seguridad
Las soluciones de seguridad web todo en uno ofrecen a las empresas ventajas significativas en
comparación con otras soluciones exclusivamente de filtrado web más costosas y complejas.
El control del acceso y del uso de Internet desde un solo punto aporta una serie de ventajas:
• Protección contra programas maliciosos: las amenazas de programas maliciosos y espía,
virus, gusanos y otros ataques pueden mitigarse mediante una primera línea sólida de
defensa.
• Reducción de los costes: los dispositivos de seguridad web administrados de forma
centralizada reducen las tareas de gestión informática y simplifican las actualizaciones y el
mantenimiento rutinario.
• Cumplimiento de normativas: las empresas pueden bloquear el acceso a contenido web ilegal
o inadecuado para cumplir las políticas internas y las leyes.
• Aumento de la productividad: los empleados dejan de visitar sitios no relacionados con el
trabajo durante las horas laborales, lo que reduce los riesgos de infecciones con programas
maliciosos presentes en sitios de poca confianza.
Además, se pueden eliminar actividades que afectan al rendimiento de la red como las
descargas.
Conclusión
Sobre todo para las pymes, los dispositivos de seguridad web en las puertas de enlace ofrecen
controles del uso de la red, así como protección rentable y fácil de desplegar con una solución
administrada de forma centralizada. Dichas soluciones mejoran las medidas de seguridad
tradicionales, a la vez que protegen a las empresas contra amenazas nuevas como los ataques
web que aprovechan vulnerabilidades tanto en los equipos de los usuarios como en los
servidores.
Las soluciones de protección web todo en uno simplifican las tareas de administración, ofrecen
protección uniforme en toda la red, permiten controlar el uso de aplicaciones web en la empresa
y limitan la exposición a las amenazas procedentes de Internet.
Siga los consejos proporcionados en este monográfico y utilice la protección de servidores web
de Sophos UTM para impedir las entradas furtivas a la red.
Sophos Webserver Protection, parte de Sophos UTM
La configuración de cortafuegos de aplicaciones web puede resultar difícil y cara. Los dispositivos
de UTM están diseñados especialmente para las pymes y permiten administrar gran cantidad de
funciones de seguridad desde una misma consola. Al desplegarse en la puerta de enlace de la
red, los dispositivos de UTM se encuentran en la posición ideal para proteger los servidores web.
Sophos Webserver Protection está disponible como suscripción adicional a la consola de Sophos
UTM, se administra desde la interfaz WebAdmin de Sophos UTM y ofrece a las pymes un método
sencillo para administrar la seguridad de las aplicaciones web junto con el resto de funciones de
protección de la empresa.
Monográficos de Sophos. Abril de 2012.
8
Cómo impedir la entrada a la red a través de vulnerabilidades en las aplicaciones Protección de servidores web y
estrategias de seguridad
Para que las pymes puedan proteger aplicaciones como Outlook Web Access (OWA) a la vez
que evitan ataques de inyección de SQL, secuencias de comandos entre sitios, etc., Sophos
Webserver Protection ofrece las funciones siguientes:
Cortafuegos de aplicaciones web: los ciberdelincuentes buscan agujeros en la seguridad
de los sitios y las aplicaciones de forma silenciosa hasta que detectan un punto débil. El
cortafuegos de aplicaciones web de la suscripción de Sophos Webserver Protection vigila las
actividades y utiliza patrones para la identificación de sondeos y ataques con el fin de impedir
que los delincuentes utilicen inyecciones de SQL o XSS.
Refuerzo de formularios: la exclusiva tecnología de refuerzo de formularios de Sophos
inspecciona y valida la información que envían los visitantes a través de los formularios de
los sitios web. De esta forma, se impide que los usuarios con malas intenciones utilicen los
formularios para transferir datos no válidos que pueden dañar los servidores o aprovechar las
vulnerabilidades.
Servidor proxy inverso: Sophos UTM protege los servidores web y Outlook Web Access. Los
administradores pueden analizar todas las transacciones entrantes y salientes en tiempo real
y, al mismo tiempo, utilizar varias funciones de seguridad para vigilar las interacciones de los
visitantes con los servidores a través de conexiones HTTP convencionales y HTTPS cifradas.
Antivirus: la suscripción de Sophos Webserver Protection ofrece dos motores de escaneado
independientes que funcionan en paralelo para evitar infecciones y mantener protegidos tanto
a los usuarios como los servidores. El contenido se analiza y se bloquea en un punto central,
antes de que se le permita acceder a o salir de la red.
Refuerzo de direcciones web: la función de refuerzo de direcciones web de Sophos impide
que los usuarios que visitan los sitios web accedan al contenido que no deberían ver. Al
forzarles a interactuar con los servidores de la forma correcta, esta función evita que los
delincuentes más creativos realicen operaciones inesperadas para provocar daños.
Protección de cookies: impide las manipulaciones de los paquetes de información habituales
que entregan los servidores web a los usuarios que visitan los sitios (o cookies). Mediante la
firma digital de cada cookie, la función verifica la integridad de la información devuelta por el
usuario.
Sophos Web Security
Consiga una prueba gratuita de 30 días
Ventas en el Reino Unido:
Teléfono: +44 8447 671131
Correo electrónico: [email protected]
Ventas en España:
Teléfono: (+34) 913 756 756
Correo electrónico: [email protected]
Boston (EE. UU.) | Oxford (Reino Unido)
© Copyright 2012. Sophos Ltd. Todos los derechos reservados.
Todas las marcas registradas pertenecen a sus respectivos propietarios.
Monográficos de Sophos 4.12v1.dNA