Firewall (Cortafuegos)

Un firewall aplica una regla sobre qué tráfico puede pasar. El firewall con estado trabaja en las capas de red y de transporte (a grandes rasgos, direcciones IP, puertos y protocolos) y sigue el estado de cada conexión, de modo que deja volver el tráfico de respuesta de un flujo que ya autorizó. Ese examen paquete a paquete es el filtrado de paquetes, y puede hacerse siguiendo el estado de la conexión o sin seguirlo.

El de nueva generación (NGFW) añade conocimiento de la aplicación y, cada vez más, de la identidad que hay detrás del flujo, así que una regla puede decir «este usuario llega a esta aplicación» en vez de «esta dirección llega a este puerto». El firewall de host corre en el propio equipo y filtra máquina a máquina. Y en el cloud el mismo trabajo lo hacen los grupos de seguridad y las políticas de red que cuelgan de cada carga, que es donde vive hoy buena parte del filtrado real. Un firewall no es un WAF: el WAF inspecciona el contenido de las peticiones HTTP.

El fallo que vemos es un parque de cortafuegos que controla la puerta de entrada y nada más. Las reglas del perímetro están apretadas, pero una vez dentro el atacante encuentra una red plana donde cualquier equipo llega a cualquier otro, porque el filtrado interno y la segmentación de red no se llegaron a aplicar. La salida es el otro punto ciego: sin filtrado de salida, un equipo comprometido alcanza sin estorbos el mando y control del atacante.

Desde la silla ofensiva, la pregunta interesante nunca es si el perímetro bloquea los escaneos que entran, que normalmente sí, sino si el movimiento interno y el tráfico de salida están limitados de alguna manera.

Los cortafuegos se prueban por lo que aplican, no por lo que dice el conjunto de reglas. Desde una posición interna se mapea qué segmentos alcanzan de verdad a cuáles, si los firewalls de host están encendidos y son coherentes entre sí, y si la salida está filtrada. En el cloud se revisan los grupos de seguridad y las políticas de red como la capa que de verdad decide, y se marcan las reglas demasiado amplias y los permisos de cualquiera a cualquiera. Los hallazgos se redactan contra el camino alcanzable, con el tráfico demostrado. Es parte de cómo comprobamos lo que tus cortafuegos aplican de verdad.