Test de bastionado - tercera evaluación

La defensa en profundidad horizontal consiste en...

• Segmentación de la red

• Proteger el software de comunicación según el modelo OSI

• Incluir medidas de protección alrededor del dato

• Instalar un sistema de gestión de eventos.

En un firewall tradicional...

• Actúa en la capa de red y de transporte

• Aplica perfiles de seguridad cuando la conexión está permitida

• Aplica perfiles de seguridad cuando la conexión está denegada

• Solamente se pueden utilizar dos interfaces de red.

En un firewall tradicional, cuando se cumple una condición...

• Se toma la decisión y no se continúa evaluando.

• Se toma la decisión y se aplican los perfiles de seguridad.

• Se toma la decisión y después se siguen evaluando el resto de condiciones.

• Se toma la decisión y siempre se registra en un LOG.

En cuanto al diseño de reglas de firewall tradicional...

• Primero se ponen las reglas más específicas.

• La última regla suele ser ACEPTAR.

• No es necesario añadir las reglas de administración del propio firewall.

• Siempre se debe dejar pasar el protocolo ICMP.

En esta arquitectura de red, el router de fibra del ISP abre el puerto 443 hacia el servidor www.

• La red está desprotegida.

• La red está protegida por el router.

• Si ponemos un IDS, la red está protegida.

• Si desactivamos el ICMP del interfaz WAN del router, la red está protegida.

En esta arquitectura de red, el router de fibra del ISP abre el puerto 443 hacia el servidor www. El firewall permite la conexión desde el router hacia el servidor www.

• La red está desprotegida.

• La red está protegida por el router.

• La red está protegida por el firewall.

• Se debe instalar un IDS obligatoriamente

En esta arquitectura de red, el router de fibra del ISP abre el puerto 443 hacia el servidor www. El firewall permite la conexión desde WAN hacia la zona DMZ

• La red local está protegida por el firewall.

• La red local está protegida por el router.

• La red está desprotegida.

• La red DMZ está protegida por el firewall.

En esta arquitectura de red, el router de fibra del ISP abre el puerto 443 hacia el servidor www. El firewall permite la conexión desde WAN hacia la zona DMZ

• Los firewall pueden ser de la misma marca

• Los firewall deben ser de distinta marca

• La red está desprotegida.

• La red DMZ está protegida por el firewall.

En esta arquitectura de red, el router de fibra del ISP hace NAT hacia Internet. Si queremos que funcione Internet...

• El firewall debe hacer NAT desde las redes internas hacia la red WAN

• El router de fibra debe añadir las rutas de las redes internas

• El firewall debe dejar pasar los puertos TCP 80, 443 y TCP/UDP 53 (salvo que también resuelva DNS).

• Todas son correctas (o NAT o rutas internas) y dejar pasar puertos.

Un paquete ICMP...

• Tiene tipo y código

• Tiene puerto origen y destino

• Tiene razón y código

• Tiene petición y respuesta.