Cómo funciona un cortafuegos

Vigilar las puertas

En el área de redes vimos que el tráfico entra y sale por puertas numeradas llamadas puertos. Las puertas se reparten por uso: una para la web, otra para el correo. Dejarlas todas abiertas es cómodo, pero entonces cualquiera puede entrar por cualquier puerta y tocar el programa que funciona detrás.
Por eso se pone un guardia delante de las puertas. Ese guardia, que mira cada pieza de tráfico y decide si la deja pasar o la bloquea, es el cortafuegos. Puede estar en la entrada de una red, como el router de una casa o de una oficina, y también puede vivir dentro de cada ordenador.

Toca para enviar tráfico entrante. El cortafuegos lo detiene en medio y lo revisa.

El tráfico que enviaste no entró directamente: se detuvo delante del cortafuegos. No dejar pasar sin más, sino detener primero para revisar: ese es el primer trabajo del guardia. Si todo entrara sin revisión, no tendría sentido tener un guardia.
Lo que mira el guardia se parece más al sobre pegado al tráfico: de dónde viene, adónde va y por qué puerta numerada quiere entrar. Entonces, mirando ese sobre, ¿con qué criterio decide entre dejar pasar y bloquear?

Las reglas deciden permitir y bloquear

El guardia tiene en la mano una lista de reglas. Las reglas dejan escrito qué tráfico permitir y qué tráfico bloquear. Un servidor web, por ejemplo, puede dejar abierta su puerta web y mantener cerradas las demás puertas que no usa. Las reglas también pueden incluir direcciones de origen o de destino, para aceptar solo el tráfico que viene de ciertos lugares.
Cuando llega el tráfico, el guardia repasa las reglas de arriba abajo y sigue la primera que encaja. Por eso, incluso con las mismas reglas, el orden en que están puede cambiar el resultado. Suena complicado, pero la idea central es sencilla: emparejar puertas con reglas para separar lo que pasa de lo que se bloquea.

Toca permitir o bloquear en cada puerta para fijar las reglas. El tráfico pasa o queda bloqueado tal como lo fijaste.

Al fijar las reglas, los resultados se separaron con claridad. El tráfico pasó tal cual por las puertas en permitir y quedó detenido en las puertas en bloquear. El mismo tráfico tuvo un destino distinto según la puerta a la que llegó y la regla de esa puerta.
Pero aquí surge una pregunta. Para ver un sitio web, la respuesta del sitio tiene que entrar, así que ¿qué pasa si el tráfico entrante está bloqueado? Los cortafuegos actuales recuerdan las conexiones iniciadas desde dentro y solo dejan entrar las respuestas a esas conexiones. Entonces, ¿cómo hay que tratar el tráfico que no encaja con ninguna regla?

Por defecto, bloquear lo que no conoces

Imagina que llega un tráfico desconocido que ninguna regla cubre. El guardia puede adoptar una de dos posturas. Una es permitir por defecto: dejar entrar primero y bloquear solo lo que parece sospechoso. La otra es bloquear por defecto: bloquear primero y dejar entrar solo lo que se ha permitido.
La más segura es bloquear por defecto. Si se permite por defecto, olvidar una sola cosa que había que bloquear deja un agujero; si se bloquea por defecto, una puerta que olvidaste poner en la lista permitida simplemente sigue cerrada. Es decir, los errores caen del lado cerrado, no del lado abierto.

Toca para cambiar la postura por defecto. Al bloquear por defecto, todo el tráfico desconocido que no está en la lista permitida queda bloqueado.

Cambiar la postura marcó una gran diferencia. Al permitir por defecto, el tráfico desconocido también se coló, pero al pasar a bloquear por defecto, solo pasó lo que estaba en la lista permitida y todo lo demás quedó bloqueado. Cerrar el paso de forma automática incluso al tráfico en el que nunca pensaste es la fuerza de bloquear por defecto.
Tiene un coste: cada vez que un programa nuevo necesita una puerta, hay que añadirle una regla de permiso. Aun así, esa molestia sale mucho más barata que un agujero que no conoces. Entonces, ¿cuantas menos puertas abiertas, más seguro?

Menos puertas abiertas, más seguridad

Todos los puntos que se pueden alcanzar desde fuera, juntos, se llaman superficie de ataque. Cada puerta abierta es uno de esos puntos, y detrás de cada puerta funciona un programa. Si ese programa tiene un fallo que nadie ha descubierto todavía, la puerta puede convertirse en una vía de entrada.
Por eso, cuantas más puertas abiertas, más ancha la superficie de ataque, y si dejas solo las puertas que necesitas y cierras el resto, se estrecha. No hay motivo para dejar abiertas puertas que ni siquiera usas. Solo con cerrar las puertas sin uso, la exposición baja mucho, y una superficie pequeña también es más fácil de defender.

Toca las puertas abiertas una a una para cerrarlas. Cuantas menos puertas abiertas, más corta la barra de la superficie de ataque.

Cada vez que se cerraba una puerta, la barra de la superficie de ataque se acortaba. Con muchas puertas abiertas la exposición era ancha, y al dejar solo las necesarias bajó de golpe. Eso es justo lo que significa reducir la superficie de ataque.
Claro que cerrar también las puertas que necesitas impediría trabajar, así que las que usas deben seguir abiertas. Y un cortafuegos no puede detener lo que entra por una puerta que permite. Un archivo malicioso que llega por la puerta web, o un enlace que alguien de dentro abre por su cuenta, es tráfico que las reglas permiten. Abre lo que usas y cierra lo que no, pero recuerda que las puertas por sí solas no lo protegen todo.

Resumen

Todo junto, queda así. Un cortafuegos es un guardia que revisa con reglas el tráfico que entra y sale. El tráfico pasa por puertas llamadas puertos, y el cortafuegos compara el origen, el destino y el número de puerta con reglas que dicen si permitir o bloquear. Recuerda las conexiones iniciadas desde dentro y deja entrar sus respuestas.
Lo básico es bloquear por defecto lo que no conoce, así que solo pasa lo permitido. Cuantas menos puertas abiertas, más estrecha la superficie de ataque y más seguridad. Lo que entra por puertas permitidas, y lo que una persona abre por su cuenta, no es tarea del cortafuegos.

Toca los cuatro puntos clave en orden para repasar: vigilar las puertas, las reglas de permitir y bloquear, bloquear por defecto y reducir la superficie de ataque.

Ahora sabes qué hace un cortafuegos. Es un guardia que vigila las puertas, revisa el tráfico con reglas, bloquea lo que no conoce y cierra las puertas sin uso. Pero este guardia solo mira el sobre; no puede impedir que una persona de dentro abra la puerta por sí misma.
Por eso, en lugar de derribar la puerta, los atacantes a veces engañan a la gente para que la abra. En la próxima lección veremos estos ataques que apuntan a la mente humana y no a la tecnología: la ingeniería social.