blog

Seguridad perimetral con CheckPoint

Ciberseguridad y Cifra

Tabla de contenidos

_ Cesar Romano

“A raíz de las últimas infecciones informáticas como WannaCry, Petya y BadRabbit, las empresas han puesto más empeño en mejorar y proteger su seguridad”.

Una de las empresas punteras que ofrecen distintos productos y servicios para lograr un nivel óptimo de seguridad es CheckPoint.

Para realizar una protección robusta debemos conocer a fondo la red en la que ésta se tendrá que integrar, teniendo en cuenta, por ejemplo: el “throughput de red”, número de usuario de la compañía, redes internas, servidores, etc.

Una de las formas de configurar la plataforma CheckPoint es mediante una Consola de Gestión (Management) en donde se almacenará: la base de datos de objetos, configuraciones, políticas y dos nodos (Gateways) en los que se instalarán las políticas. Estos nodos serán los encargados de recibir el tráfico y gestionarlo en función de las políticas establecidas previamente.

Una de las primeras configuraciones que tenemos que llevar a cabo en la configuración es la creación del “cluster”. De este modo tendremos una VIP IP por la que pasarán todas las conexiones de E/S. Una vez creado, tendremos que definir la topología de red interna (dependiendo la des empresa se tendrán que configurar más o menos redes), la gran mayoría de las empresas tendrán la red de usuario, administración, cuarentena, servidores, etc.

Otro de los puntos importantes a la hora de configurar el firewall son los Blades.  En CheckPoint se llama Blades a los posibles módulos que puedes activar para la protección del entorno, como pueden ser: Firewall (por defecto activado), Application Control, URL Filtering, IPS, Anti-Bot, Anti-Virus, Identity Awareness, etc.

Después de las primeras configuraciones, podremos empezar a definir las BBDD de objetos y las políticas de filtrado, como recomendación personal se debe tener clara la nomenclatura para los nombres de objetos (PC, VLAN´s, puerto,…) y en el caso de las políticas se recomienda estructurarlas en función del filtrado que se quiera hacer, como por ejemplo, Navegación, Gestión Servidores, Cortafuegos, VPN, Reglas temporales

Como normal general, en la estructura jerárquica de las reglas de firewall, aquellas que están situadas “más arriba” serán las que más hits o tráfico tendrán, y las situadas “más abajo” tendrán menos hits, así evitaremos que cada paquete tenga que recorrer todas las políticas del firewall y sobrecargar de forma innecesaria a los gateways.

Para empezar, podemos seguir las siguientes recomendaciones para crear un buena rulebase:

  • Debe de ser lo más simple posible. Pocas reglas para ser más eficiente.
  • Evitar el uso de Any en los servicios, intentar especificar los puertos necesarios.
  • Utilizar objetos Group cuando existan varias redes o usuarios.
  • Crear una Cleanup Rule siempre al final de la rulebase.
  • No habilitar el logging en todas las reglas, ya que sobrecargaríamos la base de datos
  • Revisar las reglas habitualmente para eliminar reglas sin hits o uso.

Con estas recomendaciones básicas estamos encaminados a mantener de forma eficiente nuestra rulebase.

César Romano

Descubre más

SGoSat

Familia de terminales SATCOM On The Move (SOTM) para instalación vehicular y conexión estable en movilidad

SGoSat es una familia de terminales SOTM (Satellite Comms On The Move) de alta tecnología que se instalan en un vehículo, brindando la capacidad de apuntar y mantener una conexión estable con el satélite cuando el vehículo está en movimiento en cualquier tipo de condiciones.

La familia SGoSat está compuesta por terminales versátiles, que pueden instalarse en cualquier tipo de plataforma: trenes y buses, vehículos militares y / o gubernamentales, aeronaves, barcos, etc. Al haber sido diseñados originariamente para el sector militar, los terminales SGoSat son extremadamente fiables y robustos, ya que integran componentes de alto rendimiento que cumplen con las normativas medioambientales y EMI / EMC más exigentes. El producto utiliza antenas de bajo perfil y alta eficiencia, así como una unidad de posicionador y seguimiento de alto rendimiento, que permiten la operación del terminal en cualquier parte del mundo.

Con el fin de satisfacer las diversas necesidades de sus clientes, INSTER ha desarrollado terminales de banda única y terminales de doble banda en las frecuencias X, Ka y Ku.

La familia de terminales SGoSat también se puede configurar con una variada gama de radomos (incluidas opciones balísticas), adaptándose a los requisitos del cliente.