Filtrado de contenido web – ¿es realmente efectivo?
El mes pasado estuvimos configurando una solución de seguridad perimetral para un cliente del sector turístico, el objetivo era de restringir el acceso internet a los empleados ya que se estaban presentando problemas de saturación de la banda disponible que estaba afectando a la productividad.
Efectivamente, realizando un monitoreo del tráfico por un par de días, se detectó que la mayoría de los empleados tenían un acceso permanente a ciertas páginas tales como Facebook, Twitter, YouTube, por mencionar algunas. Aunque esta situación no es la ideal desde el punto de vista de la productividad, en este caso existe un problema de mayor importancia en comparación con el hecho de que un empleado se la pase todo el día baboseando en Facebook:
siendo la red corporativa completamente abierta y sin restricción alguna, ¿a cuáles riesgos los empleados pueden estar exponiendo la organización al visitar páginas con código malicioso? Muchos, efectivamente, pero éste será el tema principal de mi siguiente post.
Regresamos al tema inicial: ¿todas las soluciones de filtrado de contenido web son efectivas? La respuesta es: depende del grado de motivación del empleado! Digamos que por lo general este tipo de solución es eficaz con los empleados cuyo máximo nivel técnico es prender la computadora, escribir una URL en un navegador web y mandar un correo electrónico; pero si hay alguien con el suficiente conocimiento técnico y motivación, entonces tal vez pueda llegar a evadir la restricción y tener acceso completo a Internet.
CURSO RÁPIDO DE BYPASS DE FILTRADO DE CONTENIDO
Te voy a explicar una forma muy rápida para realizarlo, aunque no tengas los conocimientos técnicos, estos son los requerimientos:
- una computadora
- una conexión Internet
Como puedes ver, es algo que cualquiera posee y potencialmente realizar, pero vamos más en el detalle de los pasos que son necesarios completar para realizar el bypass del mecanismo de filtrado de contenido:
- el empleado configura un servidor SSH en la computadora de su casa:
- desde la red corporativa realiza una conexión (también llamada “tunnel”) hacia el servidor SSH montado la computadora de su casa:
- configura un navegador web (en este caso se configuró una extensión para el navegador Mozilla Firefox llamada “FoxyProxy” para conectarse a la computadora de su casa) y, a través del tunnel, puede navegar en Internet sin restricciones:
- el empleado ahora es libre de navegar sin restricciones con el navegador Firefox:
- y seguirá accediendo a la conexión Internet corporativa a través de otro navegador, en éste caso el filtrado de contenido web “Websense” está bloqueando el acceso a una página:
Te adelanto la pregunta que me vas a hacer: ¿entonces el filtrado de contenido web no funciona? La respuesta es que sí funciona, pero con la condición de implementar unos controles adicionales a nivel de red a través de un (Next Generation) firewall. En el caso de nuestro empleado, para que el truco utilizado deje de funcionar, es suficiente configurar una regla en la configuración del firewall corporativo que bloquee las conexiones hacia direcciones IPs públicas (la computadora de su casa) y, si el firewall es lo suficientemente “inteligente”, poder analizar el contenido del tunnel SSH a pesar de que SSH es un protocolo cifrado y poder así detectar el tráfico HTTP y bloquearlo. De esta forma, a nuestro empleado no le queda de otra que ponerse a trabajar.
Glosario técnico
servidor SSH:
un programa en una computadora que se pone en espera de conexiones, una vez que el usuario se haya conectado puede ejecutar comandos como si estuviera físicamente sentado en frente de de dicha computadora.
tunnel:
conexión de red entre dos computadoras/servidores realizada a través de un protocolo seguro como SSH (Secure Shell). Normalmente todo el contenido de la comunicación dentro del tunnel es cifrado, es decir que no es posible leer su contenido.
firewall:
dispositivo de red que permite o restringe el acceso entre redes (por ejemplo entre la red corporativa y la red pública Internet).
