En este artículo voy a intentar reflejar algunos pensamientos un tanto raros sobre el mundo de los firewalls, los Next Gen y su uso dentro de la empresa.
Un buen y gran cliente está evaluando la necesidad de comprar un nuevo sistema de firewall para su empresa. Hablamos de una gran empresa, con varias sedes internacionales, conexiones remotas de fabricantes, proveedores, webservices de integración, NAT´s por un tubo, etc.
El otro día puse una encuesta en Twitter sobre 4 fabricantes y más o menos los resultados eran los esperados, dos de los vendedores más conocidos se llevaban la mayoría de los votos, Fortinet y Cisco, seguido de Sonicwall y Sophos.
Siempre está el que te opina que software libre.. pero hablamos de firewalls con soporte del fabricante, a ser posible en mi ciudad, a ser posible con un SLA bueno ,etc.
Cuando conoces empresas grandes, o administración pública, aprendes algo que cuando estas en las micro-pyme o pyme no suelen entender. ¿Para que contratar algo si lo puedo hacer yo.?
Cuando tienes 1.000 usuarios y una responsabilidad mucho más alta que cuando tienes 10, tener un servicio garantizado, un soporte, es algo NECESARIO.
Creo que podría afirmar que en la inmensa mayoría de decisiones de compra, el soporte, la calidad, la confianza, la disponibilidad, el SLA etc suele ser el elemento diferenciador porque hoy por hoy, da lo mismo una marca que otra, unas ofrecen unas cosas, otras ofrecen otras. Tendrás tus preferencias, pero al final y al cabo la diferencia va a estar en las personas que trabajan con la herramienta, sea un CRM o un Servidor.
En el caso de este cliente, su mayor factor de cambio es el soporte.
Si trabajas en seguridad o en IT relacionado, o simplemente te gusta, comprenderás o sabrás que no todas las empresas invierten en seguridad, ni mucho menos. La pyme sobre todo funciona con un firewall del ISP, y como mucho un modelo de gama baja con las funciones de routing y algún nat, es decir, sin nada de seguridad adicional.
Hay otro tipo de empresas en las que si tienen un firewall "en condiciones" con todo tipo de servicios añadidos de capa 7, lo que se denomina el Next Generation. Que si un content filtering para la navegación. Que si un sistema de control de spam para el correo. Un IPS a medio configurar para no dejar KO la navegación. Algunos controla el tráfico de salida, otros controlan el QOS...
En cualquiera de estos casos, el firewall como sistema central de seguridad es una buena aproximación, que los auditores de seguridad sabemos que no sirve para nada cuando el humano-programador comete un fallo en una app, o cuando el pibe de sistemas monta un sistema en producción sin haber pensado en la seguridad. No sirve PARA NADA todo ese despliegue de firewall.
Por cada modelo de firewall con X funciones, salen 10x vulnerabilidades que atacar en aplicaciones, sistemas operativos cliente, servidor, redes Active Directory o sistemas de virtualización.
Todos conocemos el modelo por capas, y el 99% de las empresas que conozco entienden que en un incidente de seguridad, el acceso a la red interna/dmz supondría el compromiso total de la empresa.
Nos jugamos todas las cartas al perímetro, al firewall, siendo este un elemento susceptible de ser vulnerado, directa o indirectamente.
Esta idea no es mía ni nueva, puedes ver este video de Google de como ellos practican ese punto de vista de no perimetro-firewall.
Cuando pensamos en las arquitecturas modernas, con ubicaciones, cpd´s, cloud y usuarios por todo el mundo, de qué sirve proteger un perímetro cerrado cuando estamos en un mundo abierto? Es un concepto romántico, pero como lo llevo a la práctica?
Volviendo al caso de mi cliente. Esta empresa cuenta con servicios de seguridad que durante muchos años han ido madurando, como puedan ser SIEM, controladoras Wifi, hardening de servidores con firewall local, fortificación de cuentas, gestión de identidades, etc.
Para qué le voy a dar a un comercial acceso VPN a mi entorno corporativo, cuando puedo publicar la aplicación virtualizada o su escritorio, y confiar en una gestión de identidades potente con segundo factor de autenticación?.
Si tengo seguridad endpoint en la que recibo feeds de Threat Intelligence, antivirus, heurística y hasta Host-Ids.
A nivel de red tengo un siem/ids "activo", es decir, que aparte de generar un evento/alarma realiza tareas defensivas como bloquear ips.
A nivel de seguridad tengo una correcta política de actualizaciones, y no necesito el virtual patching que ofrecen los NG.
A nivel servidores de aplicaciones cuento con WAF locales.
A nivel DDOS cuenta con un CDN básico para las 4 aplicaciones web que le protege y oculta de la mirada del curioso.
En el caso del Spam y la seguridad del correo tenemos varias posibilidades, por el momento el cliente usa un appliance dedicado ya que por mucho Next Gen que compres, siempre te venden un módulo dedicado para esta labor... Aunque siendo sinceros, evaluando los costes de licencias, máquinas y mantenimiento del sistema Exchange el cliente va a migrar a la nube de 360 si o si en breve.
Como puedes ver, estamos hablando de un cliente con CIERTO nivel de madurez en la seguridad. No quiero decir nada más que esto, que no es una empresa con un firewall y punto.
Entonces ahora llega el momento de cambiar de firewall. Hacemos unas reuniones con los principales vendors y nos enseñan las maravillas. Preciosas, bonitas, todo super centralizado, pero todo super caro. Caro porque necesito al menos DOS modelos en ha, a ser posible activo-activo para no perder sesiones si cae uno... Quiero licencias adicionales renovables cada año por los servicios de valor añadido, porque claro, el pvp lleva el equipo más pelao que yo mismo. Un 20% de mantenimiento de la empresa, el módulo de retención/visualización de logs, el modelo dedicado de correo. Encima, el fabricante te dice que por la DPI del tráfico cifrado el throughput que necesitas es más alto... modelo más caro...
Todo esto me hace pensar mucho a la hora de qué le recomiendo a mi cliente.
Quizás necesite invertir en securizar la propia IT, los procesos, los detalles que le faltan, e invertir en un firewall "musculoso" como pueda ser un Mikrotik o algo que sólo proporcione hierro, seguridad capa 2, lo que es un router-firewall que separa la red externa de la interna( internas).
¿Cuantos UTM Next Gen has visto dejados caer en el cliente sin aprovechar ni un 20%? Cuando el fabricante te vende que vas a poder bloquear la aplicación concreta de la persona concreta en real-time, te debe especificar el proceso de hacer una white-list, de monitorizar, de gestionar el equipo, no creas que todo lo que te han dicho/enseñado se hace solo, vas a necesitas a un ciber-segurata dandole caña al aparato :-)
Pensando en plazo de 5 años, en donde se supone que el cloud será nuestra piedra angular, al menos la que expondrá nuestros servicios y aplicaciones, y que nuestros "cpds" on premise o nuestra red local será algo eso, local, ¿tiene sentido en hacer grandes inversiones en hierro? sea fw, servers o lo que sea?
Si nuestros servicios expuestos son aplicaciones web, no tiene más sentido tener un buen WAF más que un NG multiuso?
Espero que te haya hecho pensar un poco. El motivo del post es ese, enumerar las opciones, plantear mis dudas, conocer tu opinión y generar debate.
Al final he hecho lo que he creído conveniente... Por supuesto no te lo digo xD