El guardian de la puerta, el cortafuegos

Vigilar las puertas

En el area anterior vimos el trafico entrar y salir por puertas, es decir puertos.
Un ordenador tiene varias de esas puertas.
Una puerta para la web, una para el correo, una por proposito.
Dejar cada puerta abierta de par en par es comodo, claro.
Pero cualquiera puede entrar por cualquier puerta.
Por eso pones un guardia frente a las puertas.
Un guardia que mira cada pieza de trafico
y decide si la deja pasar o la bloquea.
Este guardia es justamente el cortafuegos.
Lo que entra y lo que sale pasan por sus manos.

Toca para enviar el trafico entrante. El guardia del cortafuegos lo detiene y lo revisa.

Cuando enviamos el trafico, no entro directo.
El cortafuegos se puso en medio y lo detuvo.
Este es el primer trabajo del guardia.
No solo dejarlo pasar, sino primero detenerlo para revisarlo.
Si todo entrara sin revision,
no tendria sentido tener un guardia.
Pero que mira el guardia
para decidir si lo deja pasar o lo bloquea?
Desde luego no por capricho sin un criterio.
A continuacion vemos ese criterio, es decir las reglas.

Permitir y bloquear, segun reglas

El guardia lleva en la mano una lista de reglas.
Una regla fija, por puerta, si es permitir o bloquear.
Por ejemplo, decidir mantener abierta la puerta para la web
y mantener cerrada una puerta sin uso.
Cuando llega el trafico, el guardia ve a que puerta llega,
y si la regla de esa puerta es permitir, lo deja pasar.
Si es bloquear, se detiene en el acto.
Quien es el origen o el destino tambien se puede revisar.
Suena dificil, pero el nucleo es simple.
Emparejar puertas con reglas para separar el paso del bloqueo.

Toca permitir o bloquear por puerta para fijar la regla. El trafico pasa o se bloquea como lo fijes.

Al fijar una regla por puerta, el resultado fue claro.
Una puerta fijada en permitir dejo pasar el trafico,
y una fijada en bloquear lo detuvo.
El mismo trafico, segun que puerta y que regla,
tuvo un destino distinto.
Esta es la forma basica en que trabaja un cortafuegos.
Pero falta una cosa.
Cuando llega trafico nuevo que ninguna regla menciona,
que deberia hacer el guardia?
A continuacion vemos esa postura por defecto.

Lo predeterminado es bloquear lo desconocido

Digamos que llega trafico desconocido que ninguna regla cubre.
El guardia tiene dos posibles posturas.
Una es dejarlo entrar primero y bloquearlo si parece sospechoso.
Una es bloquearlo primero y dejar entrar solo lo permitido.
El lado seguro es el segundo.
Dejar pasar solo lo permitido de forma explicita,
y bloquear sin excepcion cualquier cosa desconocida.
A esto se le llama bloqueo por defecto.
Una puerta que olvidaste escribir queda cerrada automaticamente,
asi que mengua el temor de una puerta dejada abierta por error.

Toca para cambiar la postura por defecto. Con bloqueo por defecto, todo trafico no listado se bloquea.

Al cambiar la postura por defecto, la diferencia fue grande.
Con permitir por defecto, el trafico desconocido tambien se colaba.
Al cambiar a bloqueo por defecto,
solo paso lo que estaba en la lista permitida,
y todo lo demas se bloqueo.
Puertas olvidadas y trafico que nunca pensaste
quedan cerrados automaticamente, ese es el poder del bloqueo por defecto.
La destreza basica de la seguridad es justo esta.
En la duda, bloquea primero.
Entonces, abrir menos puertas es mas seguro? A continuacion lo vemos.

Cuantas menos puertas abiertas, mas seguro

La superficie visible desde fuera se llama superficie de ataque.
Cada puerta abierta es un punto al que se puede llegar desde fuera.
Cuantas mas puertas abiertas, mas lugares alcanzables.
Asi que cuantas mas puertas abiertas, mas ancha la superficie de ataque.
A la inversa, deja solo las puertas que de verdad necesitas y cierra el resto,
y la superficie alcanzable desde fuera se estrecha.
No hay razon para dejar abierta una puerta que nunca usas.
En la practica, solo con cerrar puertas sin uso
la exposicion se reduce mucho.
Una superficie pequena tambien es mas facil de defender.

Toca una puerta abierta para cerrarla. Compara como la barra de superficie de ataque se reduce con menos puertas abiertas.

Cada vez que cerrabamos una puerta, la barra de superficie de ataque se acortaba.
Con muchas puertas abiertas la exposicion era ancha,
y dejar solo las puertas de verdad necesarias la recorto mucho.
Esto es lo que significa reducir la superficie de ataque.
Usa el cortafuegos para cerrar puertas sin uso
y hacer pequena la superficie alcanzable desde fuera.
Claro que, si cierras tambien las puertas necesarias, el trabajo se para,
asi que las puertas que debes usar deben quedar abiertas.
La clave es el equilibrio.
Abre lo que usas, cierra lo que no.

Resumamos

Reunido en una linea, es esto.
Un cortafuegos es un guardian que revisa el trafico que pasa segun reglas.
El trafico entra y sale por puertas, es decir puertos,
y el cortafuegos fija por puerta si permitir o bloquear.
Lo predeterminado es bloquear lo desconocido, es decir bloqueo por defecto.
Solo lo permitido pasa y el resto se bloquea automaticamente.
Cuantas menos puertas abiertas, mas estrecha la superficie de ataque, mas seguro.
Por eso abre solo las puertas de verdad necesarias y manten cerradas las demas.
Guardian, bloqueo por defecto, y una superficie de ataque pequena.
Estos son los tres puntos clave del cortafuegos.

Toca los puntos clave en orden para repasar. (vigilar las puertas -> reglas de permitir y bloquear -> bloqueo por defecto -> reducir la superficie de ataque)

Ahora sabes que hace un cortafuegos.
Vigila las puertas de entrada y salida, revisa segun reglas,
bloquea lo desconocido y cierra puertas sin uso, un guardian.
Un cortafuegos revisa el trafico, pero no lee cada detalle
del contenido para declarar con certeza quien es alguien.
Asi que hace falta otra salvaguarda,
una que confirme que el otro lado de verdad es quien dice ser.
En una leccion anterior oiste brevemente la palabra autenticacion.
La proxima, veamos esa autenticacion con mas detalle
y veamos juntos como confirmar quien es alguien.