Arquitectures de seguretat on-premise

Abast decidit per nosaltres: l'enunciat oficial no acota la matèria

Enunciat oficial. Arquitectures de seguretat on-premise.

1. Principis de disseny

• Defensa en profunditat: múltiples capes de control de manera que el compromís d'una no impliqui el compromís del conjunt. És el quart principi bàsic de l'ENS («existència de línies de defensa»).
• Mínim privilegi i necessitat de conèixer.
• Segregació de funcions.
• Denegació per defecte: el que no està expressament permès, està prohibit.
• Segmentació i compartimentació: limitar el moviment lateral.
• Seguretat per disseny i per defecte.
• Simplicitat: una arquitectura que ningú no entén no es pot operar amb seguretat.
• Assumir el compromís: dissenyar suposant que l'atacant ja és a dins.
• Traçabilitat de tot el que passa.

1.1 Tipologia de mesures segons el moment d'actuació

La ISO (International Organization for Standardization) / IEC (International Electrotechnical Commission) 27002:2022 classifica cada control per tipus, segons quan actua respecte de l'incident: preventiu (l'evita), detectiu (l'identifica) i correctiu (el repara després). L'examen fa servir una versió ampliada amb dos matisos intermedis:

2. El model perimetral clàssic

Zones de seguretat: externa (Internet), DMZ (Demilitarized Zone, zona desmilitaritzada; serveis publicats, mai amb dades sensibles), interna (usuaris i servidors), zona de gestió (fora de banda, sense sortida a Internet) i zones especials (IoT, industrial/OT (Operational Technology, tecnologia operacional), convidats, laboratori).

La DMZ és el patró fonamental: una xarxa perimetral que s'ubica entre la intranet i Internet, allotja els serveis accessibles des de l'exterior i està separada tant d'Internet com de la xarxa interna per controls, de manera que un compromís d'un servei publicat no dona accés directe a la xarxa interna.

S'hi entra pels dos costats. Les connexions a la DMZ estan permeses tant des d'Internet com des de la intranet, i totes dues es controlen i supervisen mitjançant tallafocs. Els servidors publicats van dins de la DMZ, no en una xarxa a continuació: posar-los darrere seria deixar-los a la xarxa interna, que és justament el que la DMZ evita.

Límit del model: el perímetre s'ha dissolt —núvol, mobilitat, teletreball, proveïdors—. D'aquí el Zero Trust (secció 6).

3. Controls de xarxa

3.1 Tallafocs

Regles: denegació per defecte al final, ordre significatiu, documentació de cada regla amb propietari i justificació, i revisió periòdica per eliminar regles obsoletes —la font més freqüent de forats.

3.2 IDS i IPS

• IDS (Intrusion Detection System): detecta i alerta; se situa fora del camí del trànsit (mode passiu, per port mirroring).
• IPS (Intrusion Prevention System): el que fa un IPS és analitzar el trànsit en temps real i, quan detecta un patró d'atac o una activitat maliciosa, BLOQUEJAR-LA activament —descartar el paquet, tallar la sessió o reconfigurar el tallafoc—, a més d'alertar. Entre el que inspecciona hi ha les signatures de virus i programari maliciós dins dels fluxos de dades, no només patrons d'atac de xarxa. Se situa en línia amb el trànsit, típicament entre el tallafoc i l'encaminador d'interconnexió a Internet, de manera que tot el trànsit hi passa.
• Mètodes de detecció: per signatures (coneix l'atac) i per anomalies (desviació del comportament normal).
• Compromís: un IPS en línia introdueix latència i, sobretot, risc de fals positiu que talli trànsit legítim. Per això se sol desplegar primer en mode detecció.
• NDR (Network Detection and Response) i honeypots com a controls complementaris.

3.3 Proxies

• Proxy directe (forward proxy): davant dels clients; filtratge d'URL i de categories, memòria cau, control de l'accés a Internet, inspecció TLS i registre.
• Proxy invers (reverse proxy): davant dels SERVIDORS. La seva funció en un escenari de protecció de l'accés remot és rebre les peticions dels clients externs i reenviar-les als servidors interns, de manera que aquests no queden exposats directament a Internet: amaga la topologia i les adreces internes, i actua com a punt únic on aplicar la terminació TLS, l'autenticació prèvia, el balanceig de càrrega, la limitació de ritme, la memòria cau i la inspecció (WAF). Aquesta és la resposta a la pregunta d'examen. Productes: nginx, HAProxy, Apache, Traefik, F5, Azure App Proxy.

3.4 Segmentació

• VLAN (Virtual Local Area Network) i ACL (Access Control List) entre zones; microsegmentació (polítiques a nivell de càrrega de treball) als CPD (Centre de Processament de Dades) i als entorns virtualitzats.
• NAC (Network Access Control): 802.1X i control de compliment del dispositiu abans de donar-li accés → temes 52 i 61.
• Xarxa de gestió fora de banda separada, sense sortida a Internet.
• Separació OT/IT (Information Technology) i models Purdue per a entorns industrials.

3.5 Accés remot

• VPN (Virtual Private Network): IPsec (site-to-site i accés remot) i SSL (Secure Sockets Layer)/TLS (accés remot per navegador o client). Sempre amb MFA (Multi-Factor Authentication). Les seves funcions bàsiques de seguretat són confidencialitat, integritat i autenticació del túnel; NO inclou detecció d'intrusions —això és feina d'un IDS/IPS, no de la VPN: xifrar el trànsit no diu res sobre si el que hi viatja és maliciós.
• Bastió / servidor de salt (jump host) i PAM (Privileged Access Management) amb gravació de sessions per a l'accés administratiu.
• ZTNA (Zero Trust Network Access): substitueix la VPN donant accés a l'aplicació concreta, no a la xarxa.
• RDP (Remote Desktop Protocol) mai exposat directament a Internet: és un dels vectors d'entrada més explotats del ransomware.

4. Seguretat de sistemes i dades

• Enfortiment (hardening): eliminar serveis i comptes innecessaris, canviar credencials per defecte, aplicar línies base de configuració (guies CCN-STIC (Seguretat de les Tecnologies de la Informació i les Comunicacions) de la sèrie 500/600, CIS (Center for Internet Security) Benchmarks, STIG (Security Technical Implementation Guide)), i verificar-les periòdicament.
• Gestió de vulnerabilitats i pedaços amb terminis segons criticitat → tema 54.
• Antimalware i EDR (Endpoint Detection and Response) /XDR (eXtended Detection and Response: la X marca que abasta més capes que l'endpoint) a tots els punts finals i servidors.
• Control d'aplicacions i llistes d'aplicacions permeses.
• Xifratge: en repòs (disc complet, base de dades, cabina) i en trànsit (TLS 1.2/1.3, IPsec). Gestió de claus amb HSM (Hardware Security Module) i separació de funcions.
• Còpies de seguretat immutables i aïllades → tema 57.
• DLP (Data Loss Prevention) per evitar la sortida no autoritzada d'informació.
• Seguretat física del CPD → tema 55.
• Registre i traçabilitat: recollida centralitzada a un SIEM (Security Information and Event Management), amb rellotges sincronitzats (NTP, Network Time Protocol) —sense això, els registres no es poden correlacionar— i protecció dels registres contra la manipulació.

5. Detecció i resposta

L'arquitectura descrita alimenta aquesta capa amb els seus registres i controls (§4); els rols, l'organització i l'operativa de detecció i resposta es desenvolupen al tema 65.

• SIEM per a la correlació; SOAR (Security Orchestration, Automation and Response) per a l'automatització; SOC (Security Operations Center) per a l'operació 24×7 → els seus rols i organització es desenvolupen a tema 65.
• Casos d'ús de detecció definits i mantinguts, no només recollida de registres: un SIEM que només acumula logs no detecta res → el seu disseny i manteniment, a tema 65.
• Caça d'amenaces i intel·ligència d'amenaces → tema 65.
• Pla de resposta a incidents i exercicis → tema 65.
• Deception (honeypots, comptes esquer) com a detecció d'alta fidelitat.
• Proves de penetració (pen test): simulen un atac real, amb permís de la persona propietària del sistema, per trobar i explotar vulnerabilitats i millorar-ne la seguretat → tema 65 ho desenvolupa (caixa negra/grisa/blanca, Red/Blue/Purple Team).

6. Zero Trust

NIST SP (Special Publication) 800-207 — Zero Trust Architecture. Premissa: no es concedeix confiança implícita a cap actiu o compte d'usuari basant-se únicament en la seva ubicació física o de xarxa ni en la propietat de l'actiu.

Els set principis del NIST:

1. Totes les fonts de dades i serveis de còmput es consideren recursos.
2. Tota la comunicació és segura, independentment de la ubicació de la xarxa.
3. L'accés a recursos individuals es concedeix per sessió.
4. L'accés es determina mitjançant polítiques dinàmiques, incloent-hi l'estat observable de la identitat, l'aplicació i l'actiu sol·licitant, i pot incloure altres atributs de comportament i d'entorn.
5. L'organització monitora i mesura la integritat i la postura de seguretat de tots els actius propis i associats.
6. L'autenticació i l'autorització de recursos són dinàmiques i s'apliquen estrictament ABANS de permetre l'accés.
7. L'organització recull tanta informació com pot sobre l'estat actual dels actius, la infraestructura i les comunicacions, i la utilitza per millorar la seva postura.

Components lògics: PDP (punt de decisió de política, amb el motor de polítiques i l'administrador de polítiques) i PEP (Policy Enforcement Point, punt d'aplicació de la política).

Implicació pràctica: es passa de «si ets dins de la xarxa, ets de confiança» a «cada petició s'autentica, s'autoritza i es xifra, i la confiança es reavalua contínuament». La identitat és el nou perímetre → tema 64.

7. Arquitectura i sector públic

• ENS: la família mp.com (protecció de les comunicacions) exigeix perímetre segur, protecció de la confidencialitat i de l'autenticitat i integritat, segregació de xarxes i mitjans alternatius; op.acc el control d'accés; op.exp l'explotació segura; op.mon el monitoratge. La categoria del sistema determina el nivell d'exigència → tema 66.
• Productes certificats: l'ENS, art. 19 exigeix, segons la categoria, l'ús de productes certificats conforme a Common Criteria o inclosos al catàleg CPSTIC: el catàleg de productes i serveis de les tecnologies de la informació i les comunicacions en matèria de seguretat, gestionat pel CCN.
• Guies CCN-STIC de configuració segura i eines del CCN (CLARA, PILAR (Procedimiento Informático y Lógico de Análisis de Riesgos), LUCIA (Listado Unificado de Coordinación de Incidentes y Amenazas), microCLAUDIA).
• RGPD, art. 32: les mesures tècniques i organitzatives apropiades al risc.
• RDL 12/2018 (Reial Decret Llei) i NIS2 (Network and Information Security 2): obligacions de gestió de riscos i notificació per a entitats essencials i importants.
• Contractació: en els plecs cal exigir conformitat ENS del proveïdor, requisits de configuració segura, gestió de vulnerabilitats, auditoria i esborrat segur en la retirada.

Claus d'examen

• La taxonomia preventiva / reductiva / detectiva / repressiva / correctiva és una pregunta d'aparellament: ordena mentalment les mesures en la línia del temps de l'incident (abans → durant → després) i encaixen soles (TS-TIC 2018, supòsit 1, p. 18).
• L'IPS se situa típicament entre el tallafoc i l'encaminador d'interconnexió a Internet, i entre el que analitza hi ha les signatures de virus dins dels fluxos de dades, no només patrons d'atac de xarxa (TS-TIC 2023, supòsit 3, p. 27).
• La VPN NO fa detecció d'intrusions: dona confidencialitat, integritat i autenticació del túnel, però no analitza si el que hi viatja és maliciós —la trampa clàssica de l'examen (TS-TIC 2021, supòsit 2, p. 20).

Per recordar

• Defensa en profunditat, mínim privilegi, denegació per defecte, segmentació i assumir el compromís.
• Mesures preventives, reductives, detectives, repressives i correctives: s'ordenen en la línia del temps de l'incident.
• La DMZ allotja els serveis publicats i impedeix que el seu compromís doni accés directe a la xarxa interna.
• IDS detecta i alerta (passiu); IPS analitza en línia i BLOQUEJA activament el trànsit maliciós.
• El proxy invers està davant dels servidors: amaga la topologia interna, i concentra TLS, autenticació, balanceig i WAF. El proxy directe està davant dels clients.
• NGFW identifica aplicacions i usuaris, no només ports i IP.
• RDP mai exposat a Internet; accés remot sempre amb MFA.
• Els rellotges sincronitzats (NTP) són condició prèvia per correlacionar registres.
• Zero Trust (NIST SP 800-207): cap confiança implícita per ubicació de xarxa; accés per sessió, polítiques dinàmiques i autorització estricta abans de l'accés.
• L'ENS ho articula a mp.com, op.acc, op.exp i op.mon, amb exigència segons la categoria.