¿Qué es un Firewall por hardware?

Los co­r­ta­fue­gos o firewall están in­te­rio­ri­za­dos dentro del vo­ca­bu­la­rio de los adeptos a la in­fo­r­má­ti­ca y son, también, un concepto clave de seguridad, pero ¿qué es exac­ta­me­n­te un co­r­ta­fue­gos? La primera respuesta surge rá­pi­da­me­n­te: un firewall es un sistema de defensa que protege a un ordenador o a la totalidad de una red in­fo­r­má­ti­ca de accesos externos in­de­sea­dos.

Na­tu­ra­l­me­n­te, si se quiere describir y entender en pro­fu­n­di­dad las ca­ra­c­te­rí­s­ti­cas de estos sistemas de seguridad no vale quedarse aquí. Los sistemas de co­r­ta­fue­gos están basados en un co­m­po­ne­n­te de software, cuyo lugar de in­s­ta­la­ción revela si se trata de un firewall personal o de hardware. El primero, también conocido como co­r­ta­fue­gos de es­cri­to­rio, es la he­rra­mie­n­ta de defensa más conocida en los or­de­na­do­res privados, mientras que el segundo es el encargado de la seguridad de las redes in­fo­r­má­ti­cas. A co­n­ti­nua­ción, te ex­pli­ca­mos cuáles son sus di­fe­re­n­cias y cuáles son los métodos de seguridad uti­li­za­dos para la pro­te­c­ción de los sistemas in­fo­r­má­ti­cos.

La principal di­fe­re­n­cia entre las dos opciones de firewall son los co­m­po­ne­n­tes uti­li­za­dos: un co­r­ta­fue­gos personal es una solución de software que se instala en el equipo al que tiene que proteger y se encarga de controlar el tráfico entre el ordenador y su red. En algunos sistemas ope­ra­ti­vos, como Windows, están incluidos por defecto.

Por el contrario, el hardware para firewall o co­r­ta­fue­gos externo hace re­fe­re­n­cia a una co­m­bi­na­ción de co­m­po­ne­n­tes de software y hardware lo­ca­li­za­da entre di­fe­re­n­tes redes de or­de­na­do­res y que supervisa el tráfico de datos entre estas (por esto se suele hablar de firewall por hardware o de red). En otras palabras, un co­r­ta­fue­gos por hardware es un di­s­po­si­ti­vo autónomo que conecta di­fe­re­n­tes redes gracias a una interfaz de red integrada. Este di­s­po­si­ti­vo tiene instalado un software que le permite controlar el tráfico y, en algunos casos, un sistema operativo.

Los firewall por hardware son mucho más complejos que los co­r­ta­fue­gos pe­r­so­na­les. Esto los convierte en una solución de seguridad más cara, pero también, mucho más estable. Debido a que el software no se ejecuta dentro del sistema que protege, no puede ser ma­ni­pu­la­do fá­ci­l­me­n­te. Cuando un co­r­ta­fue­gos personal es in­ha­bi­li­ta­do o des­ac­ti­va­do, el sistema queda indefenso, muy a menudo sin que el usuario se dé cuenta. Un ataque similar a un co­r­ta­fue­gos por hardware produce au­to­má­ti­ca­me­n­te una caída total en el di­s­po­si­ti­vo, lo que bloquea au­to­má­ti­ca­me­n­te el tráfico entrante y saliente hasta que sea re­ini­cia­do.

El aumento en la seguridad es la razón principal por la que los firewall por hardware son la solución preferida e idónea para grandes centros de datos y sistemas in­fo­r­má­ti­cos que requieren una pro­te­c­ción integral. Como co­n­se­cue­n­cia, no es raro que el tráfico de datos sensibles de, por ejemplo, bancos y redes co­r­po­ra­ti­vas (con o sin servidor) sea su­pe­r­vi­sa­do por robustos y pro­fe­sio­na­les co­r­ta­fue­gos por hardware. Por otro lado, instalar un co­r­ta­fue­gos de es­cri­to­rio en cada uno de los or­de­na­do­res de una red au­me­n­ta­ría el riesgo de accesos y ma­ni­pu­la­cio­nes externas, y tendría además, un coste más elevado, re­qui­rie­n­do la in­s­ta­la­ción, co­n­fi­gu­ra­ción y ad­qui­si­ción de licencias in­di­vi­dua­les para cada equipo.

Los co­r­ta­fue­gos pe­r­so­na­les son ideales para el uso privado en el ordenador de casa, pues pueden in­s­ta­lar­se económica y rá­pi­da­me­n­te y ser co­n­fi­gu­ra­dos por usuarios sin ex­pe­rie­n­cia en general. Las ne­ce­si­da­des de las empresas más pequeñas con redes de co­mpu­tado­ras en un número manejable pueden ser cubiertas con la im­ple­me­n­ta­ción de co­r­ta­fue­gos de es­cri­to­rio siempre y cuando sean co­n­fi­gu­ra­dos co­rre­c­ta­me­n­te. Ló­gi­ca­me­n­te nunca está de más prevenir. Los co­r­ta­fue­gos pe­r­so­na­les son un co­m­ple­me­n­to adicional muy útil para los firewall por hardware, por lo que si se cuenta con el pre­su­pue­s­to y el capital ne­ce­sa­rios, deberían ser igua­l­me­n­te im­ple­me­n­ta­dos. Los co­r­ta­fue­gos por hardware resultan de gran utilidad en aquellos entornos de in­te­r­ca­m­bio de datos sensibles. Por lo general, protegen una red conectada a Internet o una red privada cuya ma­ni­pu­la­ción por parte de terceros sea po­te­n­cia­l­me­n­te peligrosa. La co­n­fi­gu­ra­ción personal de un firewall por hardware solo requiere instalar el software co­rre­s­po­n­die­n­te en el di­s­po­si­ti­vo, con lo que se reforzará la pro­te­c­ción del sistema operativo ha­cié­n­do­lo casi in­vu­l­ne­ra­ble a ataques externos. La in­vu­l­ne­ra­bi­li­dad del sistema se logra en la medida en que solo se utilizan los programas es­tri­c­ta­me­n­te ne­ce­sa­rios para el sistema operativo. Sin embargo, resulta más sencillo utilizar un sistema combinado de hardware, un sistema operativo reforzado y un software de co­r­ta­fue­gos. Entre estas co­m­bi­na­cio­nes se di­s­ti­n­guen los si­guie­n­tes tres tipos:

• Bridging firewall: en este modelo, dos segmentos de red fí­si­ca­me­n­te separados se conectan entre sí en la capa de enlace de datos (capa 2) del modelo OSI, lo que hace que el co­r­ta­fue­gos sea casi invisible e intocable. Los datos entrantes y salientes solo se trasmiten cuando se en­cue­n­tran en esta misma capa. A di­fe­re­n­cia del típico modelo de puente, el bridging firewall puede acceder a capas su­pe­rio­res del protocolo para filtrar di­re­c­cio­nes IP y puertos.

• Routing firewall: los co­r­ta­fue­gos del enrutador son el tipo más común de co­r­ta­fue­gos de hardware y se utilizan en casi todos los di­s­po­si­ti­vos para el uso privado, como por ejemplo routers DSL. En co­m­pa­ra­ción con el bridging, este modelo de co­r­ta­fue­gos trabaja di­re­c­ta­me­n­te en la capa de red (capa 3) o en alguna superior, por lo que filtra las di­re­c­cio­nes IP y los puertos di­re­c­ta­me­n­te. Como co­n­se­cue­n­cia, es más visible dentro de la red, lo que facilita posibles ataques externos.

• Proxy firewall: aquí, el firewall actúa como un proxy entre la red de origen y de destino. Los sistemas no se conectan di­re­c­ta­me­n­te entre sí y, por lo tanto, no reciben ningún paquete creado desde el sistema de destino. Con este tipo de modelo es muy difícil que un atacante encuentre, por ejemplo, la red co­r­po­ra­ti­va protegida. Debido a que los co­r­ta­fue­gos de apli­ca­ción, como también son conocidos, operan en la capa de apli­ca­ción (capa 7), pueden tomar de­ci­sio­nes de seguridad mucho más es­pe­cí­fi­cas que los modelos an­te­rio­res. Sin embargo, su uso implica sa­cri­fi­car el re­n­di­mie­n­to y su co­n­fi­gu­ra­ción requiere mucha ex­pe­rie­n­cia.

El filtrado de paquetes juega un papel fu­n­da­me­n­tal dentro de la operación de cada uno de los co­r­ta­fue­gos de hardware. Para ello, el firewall se configura ma­nua­l­me­n­te de acuerdo a unas normas para saber qué paquetes debe dejar pasar y cuáles no. El filtrado tiene lugar en las capas OSI 3 y 4, es decir, la capa de red y la capa de tra­n­s­po­r­te, donde comprueba las pro­pie­da­des de los paquetes al tomar el en­ca­be­za­do de cada protocolo. De­pe­n­die­n­do de las normas, las di­re­c­cio­nes IP o los puertos exactos, por ejemplo, serán pe­r­mi­ti­dos o blo­quea­dos.

Con el modelo de puente an­te­rio­r­me­n­te me­n­cio­na­do o con un co­n­mu­ta­dor, que re­pre­se­n­ta una extensión del primero, el filtrado de paquetes se puede realizar en la capa de enlace de datos, es decir, la segunda capa del modelo OSI. Con este, el filtrado de paquetes no se basa en di­re­c­cio­nes IP, sino en di­re­c­cio­nes MAC, que se utilizan para el di­re­c­cio­na­mie­n­to del hardware.

Por extensión, los co­r­ta­fue­gos también pueden realizar filtrado de paquetes con métodos de ve­ri­fi­ca­ción basados en se­gui­mie­n­to de estado (Stateful Packet In­s­pe­c­tion, SPI). Para ello, el proceso de filtrado tiene lugar en la capa 3 y 4, así como en la capa de apli­ca­ción (capa 7), in­clu­ye­n­do los datos in­te­r­ca­m­bia­dos. A di­fe­re­n­cia de los proxy firewall, que también tienen acceso a la séptima capa de apli­ca­ción, la técnica SPI no permite modificar estos datos.