Actualizaciones de firewall: ¡Ignorar no es una opción!

“Never change a running system”. ¡No os imagináis cuántas veces he tenido que escuchar esta frase! Sin embargo, en el mundo de la informática esta sentencia no pinta absolutamente nada y muchos la usan simplemente por pura comodidad. Es cierto que todos hemos tenido malas experiencias con alguna actualización tras la cual nada volvía a funcionar, o se solucionaba un problema y surgían dos nuevos. Y, por supuesto, a veces puede salir caro, porque hace falta que intervenga un profesional.

A pesar de todo, quien no instala actualizaciones en su firewall probablemente no ha entendido muy bien el principio de la seguridad.

En este artículo del blog me dedico al tema de las actualizaciones en la Sophos Firewall y por qué son tan importantes.

¿Por qué son tan importantes las actualizaciones en la Sophos Firewall?

La respuesta a esta pregunta depende, por supuesto, en gran medida de lo que esperéis de vuestra firewall. Parto de la base de que la mayoría de vosotros compra una firewall o ya tiene una en producción para proteger la red corporativa o doméstica frente a amenazas procedentes de Internet. Por ello es esencial mantener siempre el software de la firewall al día. Cada día se descubren nuevas vulnerabilidades que vuestra firewall debe conocer para poder garantizar lo más básico: la protección. Una firewall vive de las actualizaciones.

Veámoslo con un ejemplo concreto. Aquí podéis ver el panel de control de una Sophos SG 310.

Los 23 updates resaltados en rojo son difíciles de pasar por alto, ¿verdad? Echemos un vistazo a qué imagen ofrece una firewall en este estado como portero de vuestra red. Como se puede ver en la sección “Version information”, en este momento está instalada la versión UTM 9.210-20. De ahí se deriva lo siguiente:

• Vulnerabilidad de SSL Heartbleed aún no corregida
• Vulnerabilidad Poodle sin parchear
• Vulnerabilidad XSS sin parchear
• Diversos security updates de OpenSSH sin aplicar
• Otras vulnerabilidades conocidas actuales

Y eso son solo las amenazas más graves e importantes. En total hay más de 3.500 cambios que no se han aplicado al sistema de nuestro ejemplo. A esto se suma que la licencia ha caducado, por lo que la firewall ha desactivado diversos mecanismos de seguridad y ya no recibe pattern updates de Sophos.

Las apariencias engañan…

Quizá estéis pensando: «¿De qué va este tío hablando de actualizaciones? Mi sistema está al día, tengo todos los updates instalados. A mí no me puede pasar nada.» Sin embargo, si en vuestra consola se ve lo mismo que en la siguiente captura, tenéis problemas de otra índole. ;-)

Para todos los lectores que estén mirando ahora la captura y no acaben de entender adónde quiero llegar, lo explico brevemente. Aquí vemos el panel de control de una Astaro Firewall (Astaro fue adquirida en 2011 por Sophos). El soporte para la versión 7 del “Astaro Security Gateway” finalizó ya el 31 de diciembre de 2012. Por lo tanto, esta versión ya nunca más volverá a indicar que haya updates disponibles.

Con esto solo quiero dejar claro que, aunque un sistema ya no reciba actualizaciones, eso no significa necesariamente que esté al día.

Que Windows XP, por ejemplo, ya no reciba updates no se debe a que no los necesite, sino a que desde el 8 de abril de 2014 Microsoft ya no lo soporta oficialmente.

Las actualizaciones no lo son todo

Para lograr una protección realmente efectiva con una firewall, por un lado el sistema operativo de la firewall debe estar actualizado y, por otro, hay que aplicar con regularidad todos los security updates. Pero no basta con eso. Quien sea responsable de una firewall también debe saber configurarla correctamente. De nada sirve que las reglas de firewall creadas apunten a la nada o que funciones críticas de seguridad no estén activadas. Es imprescindible conocer todas las funcionalidades de la firewall, porque una configuración deficiente o errónea también puede tener un impacto negativo en la red.

Conclusión

Que una firewall sin updates no puede ofrecer una protección acorde con el estado actual, espero que haya quedado claro a todos vosotros con mis ejemplos. Configurar una firewall y mantenerla siempre al día no es precisamente un camino de rosas, aunque Sophos intente convencernos de ello con su eslogan “Security made simple”. Es cierto que pulsar el botón de 1-Click-Update no requiere un gran esfuerzo, pero eso no garantiza que todo vaya siempre como la seda. Las actualizaciones son importantes, pero para el administrador casi siempre implican trabajo. Aun así, no hay que ceder a la comodidad: o se asume la responsabilidad personalmente o, en su defecto, se contrata a un profesional.

Quien adquiere una firewall para estar protegido debe saber que la cosa no termina ni mucho menos con la simple instalación. Una firewall requiere mantenimiento periódico. De vez en cuando hay que conectarse al sistema, realizar updates, revisar los logs, iniciar un análisis de amenazas y un largo etcétera.

Para todos aquellos que no quieran encargarse personalmente de la implantación y el mantenimiento de su Sophos Firewall, ofrecemos cómodos contratos de mantenimiento. ¿O preferiríais tener una garantía de que vuestra firewall está correctamente configurada? Bajo petición, analizamos vuestra firewall con más detalle y la sometemos a un “Security Check”.