blog

La virtualización, en lo más básico, es la capacidad de emular hardware utilizando software. Esto es valioso y útil pues permite utilizar múltiples tipos de sistemas operativos o múltiples versiones de un mismo tipo, para ser utilizado sin necesidad de configurar diferentes plataformas de hardware. La manera por la cual el software logra esto es mediante un hipervisor. En cualquier computadora, en lo más básico, un sistema operativo de algún tipo necesita iniciar en algún tipo de hardware físico. Este sistema operativo puede ser un sistema operativo completo, como Windows o GNU/Linux, o un sistema operativo simplificado, diseñado para iniciar y funcionar de manera proporcione virtualización. En ambos casos un sistema operativo es cargado, y posteriormente se carga el software para emulación. Este software de emulación es el hipervisor.

Dado el hipervisor es responsable de abstraer y emular componentes y configuraciones de hardware específicos, esto proporciona al software más flexibilidad para desacoplar el sistema operativo del hardware subyacente específico. Cuando una máquina virtual o sistema operativo invitado se inicia, el hardware detectado por el sistema operativo es el hardware simulado presentado por el hipervisor, no el hardware real. Este desacoplamiento añade una tremenda versatilidad y permite al hipervisor ejecutar múltiples entornos virtuales, cada uno de los cuales puede tener requisitos ligeramente diferentes de hardware.

Fuentes:

https://www.ibm.com/docs/en/power6?topic=virtualization-overview
 

Aunque el precio del hardware disminuye cada día, aún existen muchas razones por las cuales no se requiere comprar más. Además de hardware menos costoso, los procesadores son cada vez más poderosos y la memoria es menos costosa. Por lo tanto muchas compañías tienen servidores de alta gama y utilizan solo un pequeño porcentaje de sus capacidades de procesamiento. Ejecutar varios elementos de software virtualmente sobre el mismo hardware tiene numerosos beneficios.

La forma más común de máquina virtual es una máquina virtual de sistema operativo (SO). Esta máquina virtual permite múltiples sistemas operativos se ejecuten independiente sobre el mismo hardware. Se pueden utilizar máquinas virtuales en una laptop la cual necesite ejecutar diferentes sistemas operativos o como granjas de servidores de alta gama necesitando ejecutar muchas aplicaciones a un coste reducido de hardware. El primer uso es más una novedad y no supone un gran ahorro para una organización. Sin embargo sigue siendo una herramienta poderosa para un profesional en seguridad de redes, quien puede ejecutar herramientas Linux en un sistema Windows sin requerir reinstalar ningún componente. El profesional en ciberseguridad debe tener acceso hacia sistemas operativos Windows y Linux, pues algunas herramientas solo funcionan en un sistema operativo. Máquinas de arranque dual requieren reinstalación de componentes clave, Múltiples laptops requieren hardware adicional, y CDs o DVDs de arranque tienen capacidades limitadas de solo lectura. En algunos casos las unidades USB o discos duros de arranque pueden resolver esta necesidad, pero esto requeriría acceso hacia el hardware el cual no siempre está disponible. Las máquinas virtuales son una perfecta solución para resolver este problema.

Conforme las aplicaciones se tornan más potentes, los ciberatacantes toman ventaja del aumento de funcionalidades para encontrar vulnerabilidades en el software. Eliminar estas aplicaciones no siempre es una opción, pero son una fuente principal de código malicioso el cual puede infectar todo un sistema. Un exploit en un navegador web puede ser utilizado para comprometer todo el sistema. Una solución es ejecutar máquinas virtuales a nivel de aplicación. Ahora una aplicación se ejecuta en una máquina virtual independiente, por lo cual si se explota o compromete, el alcance del ciberatacante está limitada hacia un sistema separado y no puede comprometer el sistema operativo principal en el cual se ejecutan todas las otras aplicaciones. Cuando se habla de máquinas virtuales, es importante ser capaz de distinguir entre el sistema operativo principal y el software virtual. Debido una computadora necesita un sistema operativo para arrancar, se le denomina sistema operativo anfitrión. En el sistema operativo anfitrión se instala una aplicación de máquina virtual, como Vmware o VirtualBox. Este software de máquina virtual permite ejecutar múltiples sistemas operativos invitados, los cuales en realidad son aplicaciones ejecutándose sobre el sistema operativo anfitrión. Sin embargo el software de máquina virtual segmenta la memoria y el hardware para parezcan y funcionen como sistemas operativos independientes, aunque siempre exista un anfitrión y uno o más sistemas operativos invitados en un momento dado.

Conforme las personas reconocen los beneficios de las máquinas virtuales su popularidad sigue creciendo. Desde profesionales en ciberseguridad ejecutando múltiples sistemas operativos en una laptop hasta grandes corporaciones ahorrando millones de dólares en hardware, los beneficios son evidentes. Desde la perspectiva de la seguridad de red, es fundamental comprender el valor y las ventajas de las máquinas virtuales.

Fuentes:

https://www.vmware.com/topics/virtual-machine
https://www.virtualbox.org/manual/ch01.html
 

El reenvío de puertos es utilizado ampliamente para mantener tráfico no deseado fuera de las redes. El reenvío de puertos es el proceso de interceptar tráfico dirigido para una determinada combinación de dirección IP y puerto, para luego redireccionarlo hacia una dirección IP o número de puerto diferente. Esto oculta exactamente cuales servicios se ejecutan en la red, utilizando solo la dirección IP para realizar múltiples tareas y bloqueando todo el tráfico no relacionado en el firewall.

El reenvío de puertos se puede comparar con un padre en una casa grande quien intercepta todo el correo llegando a casa, para luego filtrarlo antes del resto de la familia lo vea. Esto permite al padre organizar el correo y los paquetes según su destinatario, incluso entregando el correo en sus respectivas habitaciones, mientras al mismo tiempo filtra los folletos y el correo basura dirigidos hacia el "residente" en lugar de un miembro específico de la familia.

Desde el exterior, el remitente de correo basura dirigido hacia el "residente" no sabe quien está en la casa ni quién recibió el mensaje. Si el remitente del correo basura fuera malintencionado, no se recibiría ninguna respuesta sobre si el intento tuvo éxito o no, y seguirían adelante.

Fuentes:

https://www.cisco.com/c/es_mx/support/docs/smb/routers/cisco-rv-series-…

La mayoría de los switches tienen funcionalidades para seguridad de puerto 802.1x, como la autenticación a nivel de red, la cual requiere el usuario conectándose se autentique antes de establecer la sesión con un servidor. Esto es similar a cuando un invitado llama al timbre y espera el propietario responda y lo invite a entrar, en lugar de simplemente entrar.

Los switches tienen otras funcionalidades de seguridad, como prevenir los puertos aprendan más de una dirección MAC y asignarles direcciones MAC hacia los puertos. Muchos puntos de acceso inalámbricos 802.1x pueden configurarse con una lista de direcciones MAC para permitir o bloquear. Dado las direcciones MAC se pueden falsificar, el estándar 802.1X cuenta con un marco para combinar el control de acceso a nivel de puerto con algún tipo de autenticación.

Fuentes:

https://www.cisco.com/en/US/docs/solutions/Enterprise/Mobility/emob30dg…
https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/sec_usr_8021x/configu…
 

Otro de los problemas actuales es una computadora portátil esté fuera de la oficina durante semanas mientras un empleado está de viaje. Esto significa la computadora portátil se conecta hacia muchas redes no confiables, y tiene una alta probabilidad de ser infectada con código malicioso. La computadora portátil infectada posteriormente se vuelve a conectar dentro de la red confiable e infecta varios hosts. El Control de Acceso a la Red (NAC) permite colocar los sistemas en VLANs aisladas hasta sean escaneadas y se parchen apropiadamente, limitando su exposición para infectar otros sistemas.

Un lema importante de la ciberseguridad versa sobre la prevención es lo ideal, pero la detección es imprescindible. No existe manera de prevenir por completo un ataque ocurra. Sin embargo si un solo sistema se infecta, se puede evitar se conecte hacia redes críticas a través de NAC, y detener se propague hacia un gran número de hosts a través de VLANs. Tanto NAC y VLAN tienen valor por si mismos, pero juntos proporcionan una sólida medida de protección para las redes.

Fuentes:

https://www.cisco.com/site/us/en/learn/topics/security/what-is-network-…
https://www.cisco.com/c/en_ca/products/security/what-is-network-access-…
 

Las redes continúan siendo una avenida la cual utiliza código malicioso para no solo atacar sistemas, sino también para propagarse a través de toda la red. Si bien muchos elementos de software pueden ser instalados sobre un host para protegerlo, las soluciones de hardware siguen siendo una de las mejores maneras para prevenir un ciberataque. Dos de los métodos más comunes para hacer esto es limitar el alcance de un sistema mediante LAN virtuales (VLAN), e impedir los sistemas se conecten hacia redes confiables mediante un Control de Acceso a la Red (NAC).

Una LAN virtual (VLAN) permite tomar un gran switch físico y sin importar donde los sistemas estén conectados, segmentarlos en diferentes redes según la función o el acceso requerido. Por ejemplo si 100 empleados y servidores están conectados hacia el mismo switch, se puede limitar el acceso o la visibilidad colocándolos sobre segmentos separados. El mínimo privilegio implica otorgar a cada usuario el acceso mínimo necesario para realizar su trabajo. Por ejemplo se pueden tomar todos los empleados de contabilidad y sus respectivos servidores para colocarlos en una VLAN separada.

Si 1,000 sistemas se conectan en un switch y los sistemas están en una red plana, cuando un sistema es comprometido, los demás 999 sistemas pueden potencialmente ser comprometidos. Sin embargo si se crean VLANs y se asignan 100 sistemas a 10 VLAN separadas, y se controla el tráfico entre las VLANs, cuando un sistema es comprometido solo se comprometen 100 sistemas, no 1,000. Las VLANs ayudan a controlar la visibilidad de los sistemas sobre una red.

Fuentes:

https://netcloudengineering.com/configuracion-vlan-cisco-switch/?lang=en
https://www.cisco.com/c/es_mx/support/docs/smb/switches/cisco-small-bus…

Aunque ayuda utilizar llaves previamente compartidas o certificados con SSH, aún existe un puerto abierto desde Internet. Un puerto abierto sigue siendo un riesgo para la seguridad, incluso si se implementan protecciones adicionales. La mejor opción es no tener puertos abiertos desde internet. La reacción inicial es cerrar todos los puertos abiertos, pero el router necesita ser accedible remotamente, y no puede accederse a este remotamente si no existe un puerto abierto. Esto en realidad no es cierto. El truco está en muchas organizaciones tienen un servidor VPN en una DMZ detrás del router. Por lo tanto la solución es acceder hacia la organización mediante una VPN, y luego desde la VPN conectarse hacia un puerto abierto en la interfaz interna del router. Esto proporciona una solución sencilla para los administradores y hace la vida más difícil para el ciberatacante.

El beneficio añadido es permite una detección temprana, pues la mayoría de los servidores VPN registran eventos, mientras la mayoría de routers no. Ahora si todo el acceso se realiza a través de un servidor VPN controlado con registro y vigilancia completo, incluso si un ciberatacante intenta acceder, existe mayor probabilidad de detección.

Fuentes:

https://www.cisco.com/c/en/us/support/docs/security-vpn/secure-shell-ss…
https://community.cisco.com/t5/routing/port-forward-ssh-to-internal-net…
 

Muchos routers típicamente se configuraron para permitir acceso remoto mediante Telnet. Telnet constantemente ha recibido críticas porque todo es enviado en texto plano. Por lo tanto si alguien ejecuta un sniffer y captura una petición de autenticación válida, un ciberatacante puede capturar la contraseña y acceder remotamente hacia el router. Basado sobre este riesgo, frecuentemente se recomienda utilizar SSH para acceder remotamente hacia los routers, porque toda la información está ahora encriptada. Esto presenta dos potenciales problemas y retos. Primero, para ejecutar SSH, librerías criptográficas deben ser instaladas y configuradas. Dado algunos routers pequeños tienen hardware y poder de cómputo limitado, esto presenta un reto en algunos casos. Ejecutar SSH no siempre es una opción sobre todos los routers.

El segundo problema es únicamente conmutar hacia SSH no resuelve el problema fundamental. El problema fundamental con acceder remotamente al router no es el ciberatacante pueda obtener la contraseña, sino un ciberatacante puede realizar fuerza bruta a la contraseña, pues las contraseñas no son frecuentemente muy complejas, no se cambian con frecuencia, no tienen bloqueo implementado, y son las mismas contraseñas utilizadas a través de toda la organización. Por lo tanto simplemente cambiar desde Telnet hacia SSH utilizando autenticación con contraseña proporciona a las organizaciones una falsa sensación de seguridad, pero no arregla el problema.

Para arreglar el problema de las contraseñas con SSH, se necesita utilizar certificados digitales o llaves previamente compartidas. El problema es esto añade recursos adicionales al router. Sin embargo en la mayoría de los casos, si un router admite e implementa SSH, puede generalmente soportar certificados o llaves previamente compartidas.

Fuentes:

https://www.cisco.com/c/en/us/td/docs/switches/datacenter/nexus9000/sw/…
https://www.cisco.com/c/es_mx/support/docs/ip/telnet/200718-Configure-T…

Cualquier dispositivo conectándose hacia una red típicamente tiene un sistema operativo controlando su funcionamiento. Para los dispositivos se comuniquen sobre una red, necesitan tener una dirección IP y puertos abiertos. Los puertos abiertos con una dirección IP visible se convierten en una avenida de ataque y potencial compromiso. Debido a la mayoría de los proveedores se enfocan sobre la funcionalidad, una instalación por defecto de un sistema es frecuentemente no muy seguro, porque tiene puertos externos abiertos y servicios en ejecución.

Los routers y switches no son diferentes de una computadora, y tienen un sistema operativo llamado  IOS. El IOS no únicamente permite el dispositivo realice su funcionalidad, sino frecuentemente también permite acceso remoto. Debido los routers conectan diferentes redes, muchas organizaciones tienen un router conectando la red de su organización hacia Internet. Para el acceso remoto con propósitos administrativos, los routers frecuentemente tienen direcciones IP públicas y puertos abiertos para conectividad. Esto proporciona una avenida de ataque para un adversario.

Aunque este acceso está frecuentemente basado en una contraseña, muchos routers no tienen controles robustos de contraseñas. Por ejemplo muchos routers no exigen la complejidad de contraseñas, expiración de contraseñas, o bloqueo de contraseñas. Además es común para una organización utilice la misma contraseña para múltiples routers y sitios. Además debido muchos routers carecen o no tienen un sistema robusto para loggins, las organizaciones típicamente tienen mínima o ninguna visibilidad sobre si alguien intentando comprometer un router.

Fuentes:

https://www.cisco.com/c/en/us/support/docs/ip/access-lists/13608-21.html

La difusión dirigida por IP ayuda a implementar tareas para administración remota, como copias de seguridad o respaldo, y tareas de aplicaciones Wake-on-LAN (WOL), mediante el envío de paquetes de difusión dirigidos hacia los hosts de una subred de destino específica. Los paquetes de difusión dirigida por IP recorren la red de la misma manera lo hacen los paquetes IP unidifusión hasta alcancen la subred de destino.

Cuando alcanzan la subred de destino y la difusión dirigida por IP está habilitada en el switch receptor, el switch traduce (expande) el paquete de difusión dirigida por IP en una difusión la cual inunda la subred de destino con el paquete. Todos los hosts sobre la subred de destino reciben el paquete de difusión dirigida por IP.

Las transmisiones dirigidas rara vez son necesarias con los protocolos modernos.

Sin embargo muchos ataques DoS históricos los utilizan y algunos aún son viables.

Si se necesitan difusiones dirigidas, estas deben ser estrictamente restringidas.

Fuentes:

https://www.juniper.net/documentation/us/en/software/junos/interfaces-e…
https://www.cisco.com/c/en/us/td/docs/routers/sdwan/configuration/syste…