Control de acceso a/desde otros sistemas Francisco Javier Cervigon Ruckauer

Control de acceso a/desde otros sistemas

Finalmente, esta cuarta barrera preventiva es responsable de controlar las interacciones a través de la red que realiza cada sistema, tanto en el sentido de controlar el acceso desde otros sistemas a los servicios ofrecidos, como desde el punto de vista del acceso a servicios ofrecidos por otros sistemas.

Control del acceso desde otros sistemas

Este es el enfoque más tradicional, cuyo objetivo es garantizar que solamente los usuarios autorizados pueden usar los diferentes servicios, haciéndose efectivas las restricciones establecidas en la política de seguridad de la organización. El solamente hace referencia a garantizar que el sistema no es utilizado por usuarios no autorizados, ni para el acceso a los servicios o información del propio sistema ni como pasarela para atacar a otros sistemas (de la propia organización o de terceros).

Para conseguir que este control sea efectivo se trabaja a varios niveles:

• Limitar el acceso al sistema. Limitar las posibilidades de acceso al sistema a través de la red, tanto mediante herramientas de seguridad perimétrica (filtrado de paquetes, proxies) como de nodo (filtrado de paquetes, cortafuegos personales...). Esta primera capa de protección evita que los paquetes del atacante puedan siquiera llegar al sistema, limitando la posibilidad de explotar posibles vulnerabilidades.
• Limitar los servicios ofrecidos. En la misma línea de reducir la superficie de ataque, solamente deben ofrecerse aquellos servicios que realmente son imprescindibles y solamente desde donde sea necesaria su utilización. A esta segunda capa corresponde una configuración cuidadosa de los servicios y sus opciones, controlando el acceso bien mediante mecanismos propios del servicio, bien mediante programas especializados como los encapsuladores (por ejemplo, tcpwrappers o xinetd).
• Limitar la utilización de los servicios. Utilizar mecanismos de autenticación de usuarios apropiados para el acceso a través de la red, de forma que se puedan aplicar adecuadamente los controles de acceso a los recursos ya discutidos.

Control de acceso a otros sistemas

El enfoque complementario supone limitar, o controlar, el acceso desde el sistema a otros nodos, dificultando así que un sistema comprometido pueda ser usado para atacar a otros sistemas (propios o de terceros). A diferencia del caso anterior, en el que se trataba de evitar que un atacante pudiera comprometer el sistema, en este caso el objetivo es detectar el intento de acceso para evitar la propagación del ataque. En este sentido se pueden utilizar tanto herramientas perimetrales como mecanismos ofrecidos por el propio sistema, como filtrado de paquetes o limitación del acceso a Internet en base a perfiles de aplicaciones.

Francisco Javier Cervigon Ruckauer