Política por zonas, aplicaciones y usuarios

Un cortafuegos clásico escribe sus reglas con cinco datos: origen, destino, protocolo y puertos. El de nueva generación añade tres que acercan la regla a lo que el negocio quiere decir:

• Zona: el conjunto de interfaces o redes con el mismo nivel de confianza (Usuarios, Servidores, DMZ, Internet). La regla se escribe de una zona a otra y no por cada subred.
• Aplicación: el equipo reconoce el tráfico por su contenido y su comportamiento, no solo por el puerto. Un escritorio remoto que se mueve a otro puerto sigue siendo escritorio remoto para la regla.
• Usuario o grupo: si el equipo está integrado con el directorio, la regla puede decir «el grupo de TI» en vez de una lista de direcciones que cambia cada semana.

En esta ruta usamos los nombres zona_origen, aplicacion y usuarios; en la documentación de cada fabricante los verás con otros, y algunos tienen matices propios.

Cuando la regla pide un grupo, el equipo cruza la dirección de origen con el directorio y solo deja pasar a quien pertenece a él. Cuando dice cualquiera, la identidad ya no cuenta: cualquier puesto de la zona de origen, con cualquier cuenta, entra.

Abre la consola y consulta reglas filtrando por la aplicación de escritorio remoto. Aparecen dos reglas con la misma zona de origen, la misma de destino y la misma aplicación: se distinguen por la columna usuarios.

Un perfil de inspección es el paquete de comprobaciones que se aplica al tráfico que una regla deja pasar: detección de intrusiones, antivirus, filtrado de direcciones web, análisis de archivos. Cada fabricante los llama distinto y los agrupa a su manera. Si la regla permite pero su perfil es ninguno, el tráfico pasa solo con la decisión de la regla: nadie lo mira por dentro.

No siempre es un error (una copia de respaldo interna masiva puede justificarlo), pero es una decisión que debe tener un porqué escrito. Consulta reglas por el perfil ninguno y cuenta solo las que permiten: la regla final de negar no se cuenta, porque negar no necesita inspección.

El registro de tráfico es la evidencia con la que se investiga después. Una regla que no registra deja un hueco: si algo pasa por ella, no hay rastro. La columna registro dice cuándo se escribe la entrada: en muchos equipos, al cerrar la sesión; algunos permiten también al abrirla. Ese momento es configurable y varía por fabricante.

Consulta las reglas sin registro. Fíjate en lo que protege la regla que aparece: no es poca cosa que su tráfico no deje huella.

Un hallazgo de política se escribe con la regla, el dato que la hace débil y lo que se propone, sin tocar nada sin la aprobación del dueño. La regla del escritorio remoto para cualquier usuario, sin perfil de inspección, es un buen ejemplo: no se trata de apagarla, sino de proponer que pida el grupo de TI, que tenga perfil y que quede registrada.