Cómo funciona un cortafuegos

Vigilar las puertas

En el área anterior vimos el tráfico entrar y salir por puertas, es decir puertos.
Una computadora tiene varias de esas puertas.
Una puerta para la web, una para el correo, una por proposito.
Dejar cada puerta abierta de par en par es cómodo, claro.
Pero cualquiera puede entrar por cualquier puerta.
Por eso pones un guardia frente a las puertas.
Un guardia que mira cada pieza de tráfico
y decide si la deja pasar o la bloquea.
Este guardia es justamente el cortafuegos.
Lo que entra y lo que sale pasan por sus manos.

Toca para enviar el tráfico entrante. El guardia del cortafuegos lo detiene y lo revisa.

Cuando enviamos el tráfico, no entró directo.
El cortafuegos se puso en medio y lo detuvo.
Este es el primer trabajo del guardia.
No solo dejarlo pasar, sino primero detenerlo para revisarlo.
Si todo entrara sin revisión,
no tendría sentido tener un guardia.
Pero qué mira el guardia
para decidir si lo deja pasar o lo bloquea?
Desde luego no por capricho sin un criterio.
A continuación vemos ese criterio, es decir las reglas.

Permitir y bloquear, según reglas

El guardia lleva en la mano una lista de reglas.
Una regla fija, por puerta, si es permitir o bloquear.
Por ejemplo, decidir mantener abierta la puerta para la web
y mantener cerrada una puerta sin uso.
Cuando llega el tráfico, el guardia ve a qué puerta llega,
y si la regla de esa puerta es permitir, lo deja pasar.
Si es bloquear, se detiene en el acto.
Quién es el origen o el destino también se puede revisar.
Suena difícil, pero el núcleo es simple.
Emparejar puertas con reglas para separar el paso del bloqueo.

Toca permitir o bloquear por puerta para fijar la regla. El tráfico pasa o se bloquea como lo fijes.

Al fijar una regla por puerta, el resultado fue claro.
Una puerta fijada en permitir dejó pasar el tráfico,
y una fijada en bloquear lo detuvo.
El mismo tráfico, según qué puerta y qué regla,
tuvo un destino distinto.
Esta es la forma básica en que trabaja un cortafuegos.
Pero falta una cosa.
Cuando llega tráfico nuevo que ninguna regla menciona,
qué debería hacer el guardia?
A continuación vemos esa postura por defecto.

Lo predeterminado es bloquear lo desconocido

Digamos que llega tráfico desconocido que ninguna regla cubre.
El guardia tiene dos posibles posturas.
Una es dejarlo entrar primero y bloquearlo si parece sospechoso.
Una es bloquearlo primero y dejar entrar solo lo permitido.
El lado seguro es el segundo.
Dejar pasar solo lo permitido de forma explícita,
y bloquear sin excepción cualquier cosa desconocida.
A esto se le llama bloqueo por defecto.
Una puerta que olvidaste escribir queda cerrada automáticamente,
así que mengua el temor de una puerta dejada abierta por error.

Toca para cambiar la postura por defecto. Con bloqueo por defecto, todo tráfico no listado se bloquea.

Al cambiar la postura por defecto, la diferencia fue grande.
Con permitir por defecto, el tráfico desconocido también se colaba.
Al cambiar a bloqueo por defecto,
solo pasó lo que estaba en la lista permitida,
y todo lo demás se bloqueó.
Puertas olvidadas y tráfico que nunca pensaste
quedan cerrados automáticamente, ese es el poder del bloqueo por defecto.
La destreza básica de la seguridad es justo esta.
En la duda, bloquea primero.
Entonces, abrir menos puertas es más seguro? A continuación lo vemos.

Cuantas menos puertas abiertas, más seguro

La superficie visible desde fuera se llama superficie de ataque.
Cada puerta abierta es un punto al que se puede llegar desde fuera.
Cuantas más puertas abiertas, más lugares alcanzables.
Así que cuantas más puertas abiertas, más ancha la superficie de ataque.
A la inversa, deja solo las puertas que de verdad necesitas y cierra el resto,
y la superficie alcanzable desde fuera se estrecha.
No hay razón para dejar abierta una puerta que nunca usas.
En la práctica, solo con cerrar puertas sin uso
la exposición se reduce mucho.
Una superficie pequeña también es más fácil de defender.

Toca una puerta abierta para cerrarla. Compara cómo la barra de superficie de ataque se reduce con menos puertas abiertas.

Cada vez que cerrabamos una puerta, la barra de superficie de ataque se acortaba.
Con muchas puertas abiertas la exposición era ancha,
y dejar solo las puertas de verdad necesarias la recortó mucho.
Esto es lo que significa reducir la superficie de ataque.
Usa el cortafuegos para cerrar puertas sin uso
y hacer pequeña la superficie alcanzable desde fuera.
Claro que, si cierras también las puertas necesarias, el trabajo se para,
así que las puertas que debes usar deben quedar abiertas.
La clave es el equilibrio.
Abre lo que usas, cierra lo que no.

Resumamos

Reunido en una línea, es esto.
Un cortafuegos es un guardián que revisa el tráfico que pasa según reglas.
El tráfico entra y sale por puertas, es decir puertos,
y el cortafuegos fija por puerta si permitir o bloquear.
Lo predeterminado es bloquear lo desconocido, es decir bloqueo por defecto.
Solo lo permitido pasa y el resto se bloquea automáticamente.
Cuantas menos puertas abiertas, más estrecha la superficie de ataque, más seguro.
Por eso abre solo las puertas de verdad necesarias y mantén cerradas las demás.
Guardián, bloqueo por defecto, y una superficie de ataque pequeña.
Estos son los tres puntos clave del cortafuegos.

Toca los puntos clave en orden para repasar. (vigilar las puertas -> reglas de permitir y bloquear -> bloqueo por defecto -> reducir la superficie de ataque)

Ahora sabes qué hace un cortafuegos.
Vigila las puertas de entrada y salida, revisa según reglas,
bloquea lo desconocido y cierra puertas sin uso, un guardián.
Un cortafuegos revisa el tráfico, pero no lee cada detalle
del contenido para declarar con certeza quién es alguien.
Así que hace falta otra salvaguarda,
una que confirme que el otro lado de verdad es quien dice ser.
En una lección anterior oíste brevemente la palabra autenticación.
La próxima, veamos esa autenticación con más detalle
y veamos juntos cómo confirmar quién es alguien.