Cortafuegos de filtrado de paquetes: Cómo funcionan y cuándo utilizarlos

Hoy en día, la mayoría de las empresas dan prioridad a la seguridad de la red y, de entre todos los aspectos de la seguridad, el más importante es el control de acceso. Muchas empresas utilizan cortafuegos para filtrar el tráfico, lo cual es, sin duda, muy útil.

Existen diferentes tipos de cortafuegos, y aquí compartiremos información importante sobre aquellos que utilizan el filtrado de paquetes. Si quieres saber más sobre esta tecnología en concreto, te ayudaremos a comprender cómo funciona y te ofreceremos algunas comparaciones con otras opciones de seguridad.

Comprender los mecanismos de filtrado de paquetes

El filtrado de paquetes es una tecnología de cortafuegos que protege contra intrusiones externas. Esta tecnología funciona supervisando el tráfico, aplicando determinadas reglas a los paquetes de datos y permitiendo o rechazando determinados volúmenes de tráfico.

Los filtros de paquetes analizan los datos, divididos en paquetes, en el perímetro de la red. Estos contenedores de datos son relativamente pequeños, lo que favorece una transmisión eficaz y la resistencia a los fallos. Los paquetes tienen dos componentes principales:

• Encabezados. Contienen información sobre el destino, el origen y la identificación de los paquetes. Gracias a esta información, los datos pueden transmitirse allí donde se necesitan.
• Carga útil. Es la información que se debe transmitir. Estos datos no se pueden analizar mediante filtros.
  Mediante un cortafuegos basado en la filtración de paquetes, se puede analizar si determinados paquetes deben entrar en la red. Para ello, se comprueba la cabecera del paquete según los siguientes parámetros:
• Dirección de destino/origen de los paquetes salientes/entrantes.
• Direcciones IP de los paquetes.
• Los indicadores de la cabecera.
• El protocolo de transmisión utilizado (normalmente es TCP, UDP o ICMP).
• La interfaz de la tarjeta de red.

Toda esta información es comprobada por el cortafuegos de acuerdo con las listas de control de acceso y las reglas predefinidas. Si se cumplen las reglas, la transmisión continúa; en caso contrario, el proceso se bloquea.

Características principales de los cortafuegos con filtrado de paquetes

• Actúan sobre paquetes de datos individuales.
• Las reglas se aplican a la información que llega a la red.
• No se realiza una inspección en profundidad.
• Se utiliza información externa sobre los paquetes.
• Los filtros no almacenan información previa, por lo que cada paquete se evalúa por separado.

Ámbitos de aplicación habituales de la filtración de paquetes

La principal aplicación de la filtración de paquetes está relacionada con la seguridad de la red. Todos los dispositivos, aplicaciones e información están protegidos frente a diversas amenazas externas. Al detectar actividades inusuales y bloquear su intrusión, se pueden evitar muchos riesgos, en particular las fugas de datos y el software malicioso.

Los filtros de paquetes funcionan a un nivel mucho más superficial en comparación con los tipos más modernos de cortafuegos. Sin embargo, en algunos casos esto puede suponer una gran ventaja. Por ejemplo, este enfoque es mucho más rápido, lo que puede suponer una gran ventaja en situaciones en las que la seguridad no es la principal prioridad.

Gracias a esta tecnología, se pueden utilizar listas de direcciones IP permitidas (ACL) para supervisar el tráfico. Además, para simplificar el proceso, se pueden añadir aún más direcciones IP autenticadas a las ACL. De este modo, solo los usuarios autorizados tendrán acceso a la información necesaria, mientras que los demás no.  

Categorías de cortafuegos con filtrado de paquetes

Para comprender mejor el principio del filtrado de paquetes, veamos algunas categorías de este tipo de cortafuegos.

H3 — Cortafuegos con filtrado estático de paquetes

El filtrado estático de paquetes utiliza el mismo conjunto de reglas hasta que se introduzcan cambios. Además de las reglas, que puede modificar el administrador, las conexiones de red también pueden ser reguladas por especialistas.

Estos tipos de cortafuegos se pueden configurar de diversas formas: gestionando los puertos, definiendo reglas específicas y utilizando listas de control de acceso.

Los filtros estáticos resultan muy ventajosos gracias a su facilidad de uso y a su sencillo proceso de instalación. La principal limitación está relacionada con las configuraciones y la necesidad de actualizar los ajustes. Apenas cuentan con funciones automatizadas, por lo que son adecuadas para organizaciones pequeñas, mientras que las grandes empresas suelen necesitar configuraciones más escalables.

Cortafuegos con filtrado dinámico de paquetes

Los cortafuegos dinámicos pueden modificar su configuración inicial en función de los cambios que se produzcan en el entorno de seguridad. Por ejemplo, los cortafuegos pueden configurarse de tal manera que los puertos se cierren o se abran durante un periodo determinado.

Para minimizar la gran carga de trabajo del administrador, este tipo de cortafuegos puede ayudar a automatizar algunas configuraciones. El control de seguridad en un entorno dinámico puede tanto relajarse como reforzarse, dependiendo de las circunstancias.  

Cortafuegos con filtrado de paquetes sin seguimiento de estado

Los cortafuegos con filtrado de paquetes sin seguimiento de estado analizan cada paquete por separado. La información sobre el estado de los paquetes no se almacena, por lo que se aplican reglas predefinidas para garantizar los estándares de seguridad.

Los cortafuegos sin seguimiento de estado funcionan basándose en listas de control de acceso (ACL). Esto se refiere a la información sobre los puertos de destino/origen y las direcciones IP.

Sistemas de filtrado de paquetes con seguimiento de estado

Se trata de un sistema más avanzado que evalúa el estado de los paquetes antes de permitir o denegar el acceso. Este tipo de sistema de filtrado de paquetes almacena datos sobre cada solicitud de acceso para la mayoría de los protocolos de transmisión de datos, en particular para UDP y TCP. Con el tiempo, es posible obtener perfiles detallados de los usuarios, lo que facilita la detección de actividades sospechosas.

En general, estas opciones ofrecen un mayor nivel de seguridad gracias al seguimiento de direcciones IP sospechosas. Sin embargo, al mismo tiempo, este tipo de sistema es más vulnerable a los ataques DDoS debido a sus funciones de recopilación de datos.

Inconvenientes de los cortafuegos basados en el filtrado de paquetes

La tecnología de filtrado de paquetes surgió en la década de 1980 y, desde entonces, se han producido numerosas innovaciones en este ámbito. Muchos expertos coinciden en que este enfoque puede considerarse obsoleto, por lo que a continuación analizaremos algunas de las desventajas propias de esta tecnología.

1. Capacidades de seguridad limitadas

Los problemas de seguridad de esta tecnología se deben a que el acceso se concede basándose en información superficial, como el número de puerto, la dirección IP y los datos del protocolo. No se tiene en cuenta la información sobre el uso de las aplicaciones ni el dispositivo del usuario.

Además, el filtrado solo se aplica a la parte externa del paquete. Si la carga útil contiene código sospechoso, este no se filtrará adecuadamente y entrará en la red.

El tipo de cortafuegos más vulnerable es el cortafuegos sin estado (Stateless). Dado que cada acceso se procesa por separado, los hackers tienen más oportunidades para lanzar ataques. Cuando se intenta llevar a cabo un ataque, el cortafuegos no almacena ningún dato sobre dicho proceso.

2. Funciones básicas del registro de datos

Esta tecnología registra únicamente la información más básica sobre el tráfico de red, lo que puede afectar directamente al cumplimiento de los requisitos normativos. Las normas sobre regulación de datos son cada vez más estrictas y, en ocasiones, resulta casi imposible demostrar la integridad mediante el filtrado de paquetes.

La falta de registro también afecta al nivel estándar de seguridad, ya que no hay información sobre las solicitudes de acceso. Los profesionales de TI pueden tener dificultades para detectar actividades sospechosas, lo que puede dar lugar a importantes vulnerabilidades.    

3. Flexibilidad limitada

Los filtros de paquetes tienen ciertas limitaciones en cuanto a la flexibilidad a la hora de conceder acceso a la red. Permiten filtrar por números de puerto o direcciones IP. Se trata de una funcionalidad extremadamente limitada en comparación con otras opciones de gestión del acceso.

Los cortafuegos modernos pueden adaptarse automáticamente a determinadas circunstancias y ofrecen numerosas funciones. Aunque los cortafuegos de filtrado de paquetes permiten configurar las reglas manualmente, no realizan una inspección de paquetes y la gestión de amenazas no está automatizada.

4. Inadecuado para grandes organizaciones

Cuando las pequeñas empresas utilizan esta tecnología, resulta muy sencilla y fácil de usar. Sin embargo, en una gran empresa, este sistema puede resultar muy engorroso.

Muchas tareas deben realizarse manualmente y el proceso de actualización de las reglas no está automatizado. Esto puede dar lugar a errores humanos y a un aumento de la carga de trabajo.

5. Dependencia excesiva de la confianza

Dado que esta tecnología no verifica los datos útiles, los hackers pueden acceder al sistema haciéndose pasar por usuarios de confianza.

Otro riesgo es que esta tecnología no mantiene un registro de datos históricos. No habrá ningún registro de usuarios de confianza y no confiables, ya que estos cortafuegos se basan principalmente en listas de control de acceso (ACL). Además, dicha lista puede estar desactualizada.

Comparación entre cortafuegos con filtrado de paquetes y servidores proxy

Los servidores proxy y los cortafuegos con filtrado de paquetes pueden considerarse alternativas, ya que protegen el perímetro de la red controlando el tráfico. Sin embargo, funcionan de forma ligeramente diferente.

Un servidor proxy se diferencia de un cortafuegos con filtrado de paquetes en que anonimiza el tráfico. Este proceso oculta las direcciones IP, por lo que desde el exterior resulta mucho más complicado analizar el tráfico. Además, este tipo de servidor almacena los datos en la caché. Esto significa que los sitios web que se hayan visitado anteriormente se cargarán más rápido.

Algunos servidores proxy pueden utilizarse como pasarela y controlar el acceso a determinadas aplicaciones. Se pueden excluir determinados volúmenes de tráfico de los servicios. También es posible controlar los datos de red salientes.

Sin embargo, los servidores proxy no ofrecen capacidades de filtrado ni de inspección de paquetes. Por eso, se obtienen los mejores resultados combinando un cortafuegos con servidores proxy.

Filtrado de paquetes frente a cortafuegos con seguimiento de estado

Los cortafuegos con filtrado de paquetes se consideran sin estado, ya que no se tiene en cuenta la información sobre el estado del paquete. El estado es la interacción entre los paquetes de datos, los servidores y los protocolos. La información sobre el estado realiza un seguimiento del proceso de transmisión de información hacia y desde las redes locales. Los cortafuegos con seguimiento de estado recopilan todos los datos sobre el destino y el origen de los datos. Además, estos cortafuegos también pueden recopilar información sobre la carga útil.

Asimismo, los cortafuegos con seguimiento de estado recopilan información sobre todas las transmisiones de datos anteriores. De este modo, se crea un registro de cada solicitud. Esto significa que el sistema puede tomar decisiones más fundamentadas a la hora de permitir o bloquear el acceso.

Dado que los cortafuegos con seguimiento de estado recopilan mucha más información que los cortafuegos con filtrado de paquetes, esto repercute en los costes. Esto significa que el filtrado de paquetes requiere menos recursos y funciona mucho más rápido.

Consideraciones finales: reconocimiento de las fortalezas y debilidades de los cortafuegos de filtrado de paquetes

Elegir el cortafuegos adecuado puede ser una decisión crucial que ayude a eliminar muchos riesgos en línea. El filtrado de paquetes es una de las opciones que controla los datos de los paquetes y aplica reglas específicas. Este tipo de cortafuegos tiene muchas ventajas, pero también algunas limitaciones.

Estas limitaciones influyen en la popularidad del filtrado de paquetes. Sin embargo, a pesar de algunos inconvenientes, sigue siendo una buena opción cuando la velocidad es el criterio principal.