|
por Alfon
¿QUE ES UN CORTAFUEGOS DE ESTADO?
[¿Qué es un cortafuegos de estado? Extraído de un post de Idoru. Foros de
Softonic.]
"Los cortafuegos de estado surgen por la necesidad de establecer un compromiso entre seguridad y
rendimiento. Usan unas tablas de estado en las que van almacenando información de la
conexión a medida que va pasando de capa a capa en el modelo TCP/IP.
La información que se almacena en la tabla de estado varía entre los fabricantes pero puede
ser de estos tipos:
-
IPs origen y destino
-
Puertos origen y destino
-
Flags TCP
-
Protocolo
-
Número de secuencia TCP
Un cortafuegos de estado filtra atendiendo no sólo a la información que tiene del
paquete en cuestión (la contenida en sus cabeceras) si no también según la
información que tiene de los paquetes anteriores pertenecientes a esa conexión,
asegurándose de que el paquete que llega es el siguiente que se espera. Esto, normalmente se aplica
a protocolos orientados a conexión (TCP), pero algunos fabricantes tambien guardan información
en una tabla de estado de las conexiones UDP en las que se establece un diálogo.
Esto acelera considerablemente la inspeccion de los paquetes con
conexiones ya establecidas mejorando el rendimiento del cortafuegos y pudiéndose aprovechar el tiempo que sobra
para comprobar la integridad del paquete o filtrar según el contenido de los datos de éste.
Actualmente, todos los fabricantes de cortafuegos incorporan esta tecnología, aunque las
diferencias en las formas de implementarlas son considerables:
-
En los cortafuegos de empresa la inspección de estado se realiza antes que nada
para poder incrementar la velocidad de proceso
-
En los cortafuegos personales se implementa después, por lo que hace
inútil esta tecnología para acelerar la inspección.
Todos los cortafuegos personales incluyen un módulo de inspección de estado, pero me
quedó claro después de hablar con los programadores que no saben muy bien para
qué sirve ni cómo hacerlo.
Un cortafuegos que implenta correctamente la inspección de estado para windows es
Vinestic Firewall, de Deerfield.
Artículos relacionados:
IMAGENES extraídas del Taller del SNORT (aconsejable la lectura del primer capítulo, donde son comentadas; el 4º está en cocina).
por maty
El cortafuegos VINESTIC es un tanto limitado en otras cuestiones, de ahí que no lo hayamos
analizado. Tal vez haya mejorado. Debiera echarse un nuevo vistazo.
Algún día escribiremos un artículo introductorio a los modelos TCP/IP y OSI, al
ser conocimientos indispensables para comprender muchos de los nuevos artículos que están apareciendo en esta
segunda etapa de NAUTOPIA, centrada básicamente en:
*En SAULO.net hay disponible un manual
en castellano sobre el TCP/IP altamente recomendable.
- Artículos Varios -
|
