El filtrado web es la función del cortafuegos que decide a qué páginas se puede entrar desde la red de la empresa. Suele trabajar por categorías: se bloquean, por ejemplo, las de malware o phishing y el resto pasa. Con HTTPS, lo que ve de cada página depende de cómo se configure.
Foto: Tahir Xəlfəquliyev, en Pexels
Un cortafuegos básico decide por direcciones IP y puertos: deja salir el tráfico web por el 443 o no lo deja. El filtrado web baja un nivel más y mira a qué página se va, para dejar pasar unas y bloquear otras. Es una de las funciones que más se usan en un UTM o un NGFW, y sirve sobre todo para dos cosas: proteger de las webs peligrosas y aplicar la política de uso de internet de la empresa.
INCIBE recomienda a las empresas un filtro de contenidos que impida a los empleados entrar en webs poco fiables, junto con herramientas que protejan la navegación y detecten el phishing. El motivo lo explica la misma guía: muchos ataques llegan por el navegador, con webs legítimas que han sido infectadas, anuncios con código malicioso o enlaces que suplantan a otras webs, y descargas desde sitios que no son los oficiales.
El otro uso es de organización: no dejar entrar a ciertas categorías de páginas desde los equipos de la empresa, o solo en ciertas condiciones. Ahí entra la ley, como se ve al final.
Bloquear las páginas una a una no es práctico, así que los fabricantes clasifican internet en categorías. Fortinet explica que su servicio FortiGuard Web Filtering tiene más de 45 millones de webs valoradas, que abarcan más de dos mil millones de páginas. Cuando un equipo de la red pide una página, el FortiGate manda la dirección al servidor de FortiGuard más cercano, que le devuelve la categoría. Si la categoría está bloqueada, el usuario ve un aviso del cortafuegos en lugar de la página.
Para cada categoría se elige qué hacer. Estas son las acciones del FortiGate según su documentación:
| Acción | Qué hace |
|---|---|
| Permitir | Deja entrar en las webs de la categoría. |
| Vigilar | Deja entrar y lo registra. Admite cuotas de uso por categoría. |
| Bloquear | Impide el acceso y muestra un aviso de página bloqueada. |
| Avisar | Muestra un aviso y deja seguir si el usuario lo decide. |
| Autenticar | Pide usuario y contraseña en el cortafuegos antes de dejar entrar. |
Además de las categorías del fabricante hay listas propias: direcciones concretas que se bloquean o se permiten siempre. En el FortiGate, una categoría local tiene prioridad sobre la de FortiGuard, y se puede dejar que ciertos grupos de usuarios se salten un bloqueo durante un tiempo.
El filtro de categorías es un servicio de pago. Fortinet indica que hace falta una licencia válida de FortiGuard, y Zyxel incluye el Web Filtering en sus paquetes de licencias de seguridad, como el Gold Security Pack de los USG FLEX. Si la licencia caduca, la clasificación deja de funcionar: hay que tenerlo en cuenta al calcular lo que cuesta el equipo, como se explica en la guía del UTM.
Casi toda la web va hoy cifrada con HTTPS, y eso cambia lo que el cortafuegos puede ver. Fortinet distingue dos formas de trabajar:
La documentación de Fortinet añade dos detalles útiles. Incluso con la inspección del certificado, la página de bloqueo que ve el usuario va firmada por el cortafuegos, así que conviene instalar su certificado en los equipos para que no salten avisos. Y con la inspección profunda se pueden dejar fuera ciertas direcciones o categorías por privacidad; el ejemplo de Fortinet es no descifrar las webs de bancos.
Esto es criterio de esta web: descifrar el tráfico es lo que más carga al cortafuegos, así que, si se va a usar, la cifra que hay que mirar en la ficha es la de rendimiento con la inspección SSL activa, no la de cortafuegos a secas, que es mucho más alta. La diferencia entre las cifras de una ficha está en la guía del UTM.
No todo el filtrado necesita mirar el tráfico web. Antes de abrir una página, el equipo pregunta su dirección al servidor DNS, y si ese servidor no la da, la página no carga. OPNsense lo hace con su servidor DNS, Unbound: se le cargan listas de dominios bloqueados, públicas o propias, y se pueden aplicar listas distintas a cada red. Su documentación enumera las listas predefinidas, que van desde publicidad hasta direcciones de malware conocidas o contenido para adultos.
Esto es criterio de esta web: es gratuito y ligero, pero solo funciona si los equipos usan ese DNS. Un equipo configurado con otro servidor DNS, o con DNS cifrado en el navegador, se lo salta, salvo que el cortafuegos bloquee esas otras salidas. Más sobre pfSense y OPNsense en su guía.
Son cosas que se confunden. El filtrado web del cortafuegos controla las páginas a las que salen los usuarios de la red. Un proxy puede hacer ese mismo trabajo desde otro equipo, como intermediario de la navegación. Un WAF hace lo contrario: protege una web propia de lo que llega desde internet. Y en las empresas con mucha gente fuera de la oficina, el filtro se puede llevar a la nube, como parte de un SASE, para que funcione también fuera de la red.
En España, el artículo 87 de la LOPDGDD reconoce a los trabajadores el derecho a su intimidad cuando usan los dispositivos que les da la empresa. El empleador puede acceder a lo que se hace con ellos, pero solo para controlar que se cumplen las obligaciones laborales y para proteger los propios equipos. Además, tiene que fijar criterios de uso, en los que deben participar los representantes de los trabajadores, e informar de ellos a la plantilla. Si permite el uso personal, tiene que precisar qué usos se admiten y dar garantías, como fijar en qué periodos se puede usar para fines privados.
Esto es criterio de esta web, y no es asesoría jurídica: el bloqueo de categorías peligrosas, como malware o phishing, es una medida de seguridad para todos. Registrar qué páginas visita cada persona va más allá, y conviene que esté en esos criterios de uso y que la plantilla lo sepa antes de activarlo. Para un caso concreto, lo mejor es consultar a un profesional.
Es la función que permite o bloquea el acceso a páginas web según su dirección o su categoría. En un cortafuegos, como el FortiGate, cada vez que alguien pide una página se consulta su categoría en el servicio del fabricante y, si está bloqueada, se le muestra un aviso en lugar de la página.
Sí, con dos niveles. Sin descifrar, el cortafuegos ve el nombre del sitio en el inicio de la conexión y puede bloquearlo entero; Fortinet lo llama inspección del certificado. Para ver la dirección completa o el contenido hay que descifrar el tráfico (inspección profunda), y los equipos tienen que confiar en el certificado del cortafuegos.
En los cortafuegos comerciales, normalmente sí. Fortinet indica que el filtro de FortiGuard necesita una licencia válida, y Zyxel incluye el Web Filtering en sus paquetes de licencias de seguridad. Las listas propias de direcciones bloqueadas o el filtro por DNS de OPNsense no dependen de una suscripción.
El artículo 87 de la LOPDGDD permite al empleador acceder a lo que se hace con los dispositivos que facilita, para controlar el cumplimiento de las obligaciones laborales y la integridad de los equipos. A cambio, debe fijar criterios de uso, con participación de los representantes de los trabajadores, e informar de ellos a la plantilla. Para un caso concreto conviene consultar a un profesional.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SD-WAN es una forma de usar varias líneas a la vez y decidir por cuál va cada aplicación, sin depender de una sola. Muchos cortafuegos ya lo traen. Aquí está qué es, en qué se dis…
