Qué es un firewall o cortafuegos y cómo funciona

Un cortafuegos (en inglés, firewall) es un dispositivo o un programa que controla el tráfico entre redes o equipos que tienen distinto nivel de confianza: por ejemplo, entre Internet y la red de una oficina. Su trabajo, como lo resume INCIBE, es impedir los accesos que no están permitidos y, a la vez, dejar que se comuniquen los equipos autorizados.

El nombre viene de la construcción: un cortafuegos es el muro que impide que un incendio pase de una parte del edificio a otra. En una red hace lo mismo con las conexiones. No deja pasar lo que no debe, y si una parte se ve comprometida, ayuda a que el problema no se extienda al resto.

Para qué sirve un firewall

Según la página de INCIBE dedicada al cortafuegos, sirve sobre todo para tres cosas:

• Frenar accesos no autorizados e intrusiones. Nadie desde fuera debería poder conectarse a un equipo de la red si no hay una regla que lo permita.
• Limitar la propagación de malware. Si un equipo se infecta, el cortafuegos puede impedir que el programa malicioso se comunique con el exterior o salte a otros equipos.
• Ayudar contra ataques de denegación de servicio y, si está actualizado, bloquear tráfico que intenta aprovechar vulnerabilidades conocidas.

A eso se suman funciones habituales como el filtrado de contenidos, las reglas personalizadas para cada red y el control de acceso con autenticación de usuarios.

Cómo funciona un cortafuegos por dentro

Todo cortafuegos trabaja con reglas. Cada comunicación que llega se compara con ellas y, según lo que digan, se acepta o se rechaza. INCIBE lo explica con el símil de una ciudad amurallada: el guardia de la puerta tiene una lista de quién puede entrar, por qué puerta y hacia dónde va.

Al configurarlo se decide, como mínimo:

• Qué tipo de conexión se permite (web, correo, escritorio remoto…).
• En qué sentido: de la red hacia Internet, de Internet hacia la red o en los dos.
• A qué equipos afecta la regla.

La guía del NIST sobre cortafuegos (SP 800-41) detalla con qué datos trabajan esas reglas: direcciones IP de origen y destino, protocolos, puertos TCP y UDP, tipos de mensajes ICMP y, en los cortafuegos más completos, aplicaciones y tipos de contenido.

El orden de las reglas

Muchos cortafuegos recorren las reglas de arriba abajo y aplican la primera que coincide. Por eso el orden importa: una regla demasiado amplia arriba del todo puede dejar sin efecto las que van debajo. El NIST recomienda además poner arriba las reglas que más tráfico van a recibir, para que el equipo trabaje menos. Otros modelos revisan primero todas las reglas de denegar y después las de permitir.

Denegar por defecto

La recomendación más importante de la guía del NIST es denegar por defecto: bloquear todo el tráfico, de entrada y de salida, que no esté permitido de forma expresa. Al revés (permitir todo y bloquear solo lo que se conoce como peligroso) siempre queda algo sin cubrir. Las reglas sirven en los dos sentidos: también se puede impedir que salga de la red lo que no debe, como programas ejecutables o conexiones de un equipo infectado.

El estado de las conexiones

La mayoría de los cortafuegos actuales no miran cada paquete por separado: guardan una tabla de estados con las conexiones abiertas (quién habla con quién, por qué puertos y en qué fase está). Así saben que la respuesta de una web pertenece a una conexión que pidió un equipo de dentro y la dejan pasar, mientras rechazan los paquetes que llegan sin que nadie los haya pedido. Las diferencias entre los cortafuegos que hacen esto y los que no se explican en tipos de firewall.

Dónde se coloca un firewall en la red

El sitio clásico es el perímetro: entre el router de Internet y la red interna, con una interfaz hacia fuera y otra hacia dentro. Pero no es el único.

• DMZ (zona desmilitarizada). Es una red aparte donde van solo los servidores que tienen que verse desde Internet, como la web o el correo. INCIBE explica que el cortafuegos admite conexiones hacia la DMZ desde Internet y desde la red local, pero bloquea las que van de la DMZ hacia la red local. Si un servidor público cae, el atacante no llega a los ordenadores de la oficina. Para más seguridad se pueden usar dos cortafuegos, uno a cada lado de la DMZ.
• Dentro de la red. El NIST advierte de que muchos ataques entre equipos internos no pasan por el cortafuegos del perímetro. Por eso recomienda poner también cortafuegos delante de los departamentos o sistemas más sensibles, y en los propios equipos.
• En la industria. INCIBE-CERT describe el cortafuegos como el principal elemento de defensa de los sistemas de control industrial: separa la red de la planta de la red corporativa y solo deja pasar entre ellas el tráfico autorizado.

A esta idea de varias capas se la llama defensa en profundidad: si una falla, la siguiente sigue protegiendo.

Qué no hace un cortafuegos

Un firewall es imprescindible, pero no lo resuelve todo. Conviene tener claros sus límites:

• No sustituye al antivirus. INCIBE insiste en que protege junto a otros elementos, y el NIST lo sitúa dentro de un programa de seguridad que incluye antimalware y detección de intrusos.
• No ve dentro del tráfico cifrado. Lo que viaja por HTTPS, SSH, una VPN o un correo cifrado no lo puede inspeccionar por sí solo: únicamente decidir si lo deja pasar o no. Algunos modelos de nueva generación descifran el tráfico para analizarlo (lo vemos en qué es un NGFW).
• No protege lo que no pasa por él. Si dos equipos se comunican dentro de la misma red, el cortafuegos del perímetro no se entera.
• No sirve si está mal configurado. Una regla de «permitir todo» olvidada o un equipo sin actualizar anulan buena parte de su valor.

Físico o de software

Un cortafuegos puede ser un aparato dedicado que protege toda la red o un programa dentro de cada ordenador, como el que trae Windows. INCIBE señala que los dedicados suelen tener más capacidad de proceso, porque están diseñados solo para eso, aunque cuestan más. Las diferencias y cuándo conviene cada uno las explicamos en firewall físico o de software.