Teletrabajo: VPN y otras recomendaciones

Actualmente es habitual que las organizaciones se enfrenten a la necesidad de que sus empleados puedan acceder de manera remota a la información y recursos almacenados en sus redes corporativas, bien sea para facilitar la operativa diaria desde dispositivos portátiles, como para hacer frente a los imprevistos que impidan el acceso habitual desde la propia sede de la organización.

Sin embargo, existen riesgos que ponen en peligro la seguridad de los activos cuando no se hacen de forma correcta, ya que permitir el acceso remoto a la información no solo la expone a los empleados autorizados, sino también a potenciales atacantes. Por este motivo, es necesario tener en cuenta una serie de consideraciones que hagan que la organización esté preparada.

En este artículo, repasamos las redes privadas virtuales, o VPN, una de las medidas más importantes para la modalidad del teletrabajo, ya que permiten una conexión a la organización a través de redes seguras, y las ventajas que ofrecen, así como otras recomendaciones de seguridad adicionales que ayuden a garantizar la seguridad.

VPN

Las redes privadas virtuales se utilizan para proteger la información que se intercambia estableciendo un túnel de comunicación segura entre el cliente y el servidor. Esto se realiza mediante técnicas de cifrado que evitan que otros puedan interceptarla o manipularla, garantizando por tanto la confidencialidad y la integridad de los datos. Además, los servidores pueden verificar la autenticidad del cliente, es decir, sólo se permite el acceso a los usuarios autorizados.

Tipos de VPN

Estas son algunas de las posibles implementaciones de estas redes:

• Aplicaciones cliente/servidor diseñadas para acceder mediante HTTP a los datos almacenados en el servidor.
• Puertas de enlace VPN que permiten el acceso HTTP a las aplicaciones del servidor que no poseen un interfaz nativo basado en web.
• Puertas de enlace VPN que actúan como proxy web de tunneling, aceptando las conexiones HTTP provenientes de la aplicación cliente, eliminan el encabezado HTTP del protocolo nativo cliente/servidor y lo reenvían al servidor.
• Conexiones VPN de acceso remoto que usan SSL y transportan todos los protocolos de red.

Medidas adicionales de seguridad en VPN

Hay varios métodos y tecnologías disponibles que pueden ayudar a asegurar las conexiones VPN, pero las soluciones de seguridad específicas dependerán del tipo de VPN que se implemente. Algunas de las metodologías de seguridad más comunes a la hora de reforzar las debilidades de seguridad de las VPN son:

Autenticación robusta de los usuarios y dispositivos

Un túnel siempre requerirá que el usuario se autentifique antes de permitir el acceso a cualquier recurso de la red y aunque la mayoría de ellos son compatibles con los protocolos de autenticación estándar de los sistemas operativos, es conveniente implantar medidas adicionales, ya que el usuario puede encontrarse en un entorno desconocido donde podría estar expuesto y desprotegido ante todo tipo de amenazas como, por ejemplo, el shoulder surfing, keyloggers, dongles USB, etc.

Además de una fuerte autenticación, con contraseñas robustas, es conveniente utilizar un doble factor de autenticación, 2FA, como alguno de los siguientes:

• Autenticación con contraseña de un solo uso, OTP ;
• autenticación mediante certificado de usuario;
• autenticación biométrica;
• tarjetas inteligentes.

Pruebas de carga

Debido a la capacidad de escalabilidad de estas redes, es sencillo aumentar el número de usuarios conectados simultáneamente a través de ellas. Es necesario, por tanto, conocer la capacidad máxima de la misma, para ello lo ideal es llevar a cabo pruebas que ayuden a conocer y controlar el volumen de usuarios que pueden hacer uso de ella con una buena experiencia de usuario, es decir, sin experimentar cuellos de botella, latencia, lentitud o desconexiones.

Evidentemente, las pruebas deberán de llevarse a cabo en entornos simulados antes de llevarlos a producción, por lo que implantar el teletrabajo requiere de cierta preparación por parte de la organización, ya que puede ser un riesgo si se realiza de forma apresurada.

Otros aspectos que deben ser evaluados durante el prototipo son la conectividad, protección del flujo, autenticación, aplicaciones, gestión, registro, seguridad de la implementación VPN y control de ajustes predeterminados.

Inspección de la capa de aplicación

Una de las ventajas de seguridad que proporcionan es una conexión privada y cifrada entre el usuario remoto y la puerta de enlace VPN. La conexión es privada porque otros usuarios entre el cliente y la pasarela no pueden acceder a la información contenida en el túnel cifrado.

Sin embargo, este cifrado también afecta a los firewall de red y los proxies inversos, que solo ven una conexión SSL cifrada y la reenvían a la puerta de enlace, sin inspeccionarla. Esto puede permitir, si un atacante se hace con el control de un equipo conectado a la VPN, atravesar los firewall perimetrales y llegar a la puerta de enlace VPN sin ser inspeccionados ni eliminados.

La utilización de firewalls puente de SSL a SSL que acepten la sesión SSL del cliente, descifren el contenido de la comunicación y realicen una inspección de la capa de aplicación de los comandos y datos entre la comunicación HTTP, para posteriormente volver a cifrarla y reenviarla a la puerta de enlace, permitiría detener posibles ataques que, de otra forma, permanecerían ocultos en el túnel cifrado.

Protección del entorno del cliente

El entorno empresarial se encuentra controlado y administrado, haciéndolo más resistente ante los posibles ataques por virus, gusanos, spyware, etc. Al no encontrarse el cliente VPN en este entorno, es mucho más susceptible a estos ataques, especialmente si el acceso se realiza a través de un equipo personal, carente de las medidas de protección corporativas. Esto podría conducir a la propagación de malware que haya podido instalarse en el cliente remoto.

Para controlar este tipo de situaciones existen algunas alternativas:

• Herramientas de gestión de red y de despliegue de software para aplicar mecanismos antivirus y antispyware en cada terminal que se conecta a la red, a través de la red virtual.
• VPN que puedan realizar inspección avanzada.
• VPN con mecanismos de comprobación del cliente. Estas pueden ser muy diferentes, desde comprobaciones del registro y el navegador, hasta comprobaciones completas para problemas de seguridad concretos.
• Alternativas avanzadas de antivirus, antispyware y de control de acceso que permitan controlar las conexiones a Internet, así como el comportamiento del usuario conectado y su información, incluso fuera del entorno corporativo.

Servidores web proxy en la red corporativa que protejan frente las conexiones VPN que violen las políticas de uso de red.

Debido a que las conexiones de los clientes VPN no pueden ser inspeccionadas completamente por los cortafuegos perimetrales, es posible que el malware pueda transmitirse desde la red remota a la red corporativa a través del túnel. Este riesgo es mayor cuando el acceso se realiza a través de un equipo personal donde no se han aplicado las medidas de protección corporativas.

Para ello es posible adoptar el SSL inverso, es decir, un puente de salida de SSL a SSL. El funcionamiento de este puente es un poco diferente al del puente de entrada, donde el cortafuegos se sitúa a la salida de la conexión desde el cliente. Gracias a que la organización posee el control sobre sus DNS públicas y la infraestructura de certificados, el cortafuegos avanzado se podría hacer pasar por la puerta de enlace, presentando el certificado correspondiente.

Esto no es posible en el puente de salida, ya que no se posee dicho control sobre los servidores a los que los clientes de la red interna harán conexiones SSL, por lo que se requiere la capacidad de suplantar dinámicamente el destino al que se está enviando la conexión HTTP, mediante la generación de certificados con el nombre del servidor SSL de destino. Esto permite inspeccionar las conexiones SSL salientes y recopilar todo el flujo de datos de los usuarios que utilicen el túnel SSL de extremo a extremo.

- Inspección saliente SSL. Fuente: Barracuda Campus. -

Otras recomendaciones para el teletrabajo

Una vez que la conexión se ha establecido de forma segura, ya es posible comenzar el teletrabajo, no obstante, existen otra serie de medidas necesarias para que la actividad se realice de forma segura. Estas son algunas de ellas:

Control de dispositivos

Una vez asegurada la conexión a la red de la organización, es el turno del otro elemento fundamental para el teletrabajo seguro, el dispositivo que se utilizará para acceder a ella. Salvo que no hubiera otra opción, se recomienda el uso de dispositivos corporativos en lugar de personales, ya que de esta forma, es posible garantizar que cumplen con las políticas de seguridad implantadas por la organización. De otro modo, accediendo desde un dispositivo no corporativo carente de estas medidas de seguridad, el riesgo es mayor.

En el supuesto de tener que hacer uso de equipos personales, la organización deberá de proporcionar al trabajador todas las medidas que considere necesarias para securizar el dispositivo. Por otra parte, es responsabilidad del trabajador implantar esas medidas y seguir en todo momento las instrucciones aportadas por su organización, además de hacer un uso responsable del mismo, siguiendo las buenas prácticas y el sentido común, esto incluye, entre otras cosas, utilizar software legítimo y en su última versión, el uso de contraseñas seguras, conectar únicamente dispositivos extraíbles de confianza, realizar copias de seguridad de forma periódica, velar por la seguridad e integridad física del dispositivo, implantar políticas antirrobo como el cifrado o el bloqueo del equipo, o no caer en técnicas de ingeniería social.

Control de acceso

El acceso en remoto a la información ha de ser mediante credenciales corporativas que permitan la validación de la identidad, así como haciendo uso de un segundo factor de autenticación que evite suplantaciones de identidad. Seguir el principio de confianza cero como pilar fundamental, esto implica que, por defecto, no se confía en nada y todo debe ser verificado.

Gestión de permisos y roles

Hacer uso de los diferentes roles existentes en la organización en función del trabajador o del tipo o modalidad de trabajo que vaya a realizar, asignando a cada empleado únicamente aquello imprescindible para llevar a cabo su actividad (principio de privilegio mínimo), evitará accesos indebidos, tanto a información, como a herramientas, especialmente durante el teletrabajo.

Monitorización de la actividad de red

También es conveniente monitorizar toda la actividad de la red corporativa, en busca de cualquier tipo de actividad sospechosa como, por ejemplo, intentos de acceso fuera de horario, desde ubicaciones dudosas, o dispositivos no identificados. Para ello se controlarán intentos recurrentes de autenticación fallida, accesos simultáneos, descargas de datos, intentos de accesos a recursos no autorizados o intentos de ejecución remota desde clientes VPN, etc. Todas ellas con ánimo de detectar y tomar las medidas oportunas contra la actividad inapropiada.

Otra métrica de utilidad será la medición y comportamiento del tráfico, esto es, la media de uso, los picos de tráfico, conexiones sospechosas o de gran volumen, así como el tráfico fuera del horario habitual de trabajo.

Operaciones y mantenimiento

Entre los procesos operacionales que son particularmente útiles para mantener la seguridad del teletrabajo y el acceso remoto y que, por lo tanto, deberían de seguir realizándose con regularidad, figuran los siguientes:

• Comprobar las actualizaciones y parches de los componentes del software de acceso remoto, y adquirir, probar y desplegar las actualizaciones.
• Asegurarse de que cada componente de la infraestructura de acceso remoto (servidores, pasarelas, servidores de autenticación, etc.) tenga su reloj sincronizado con la misma fuente, de modo que todas las medidas de tiempo coincidan con las generadas por otros sistemas.
• Reconfiguración de las opciones de control de acceso cuando sea necesario, en función de los posibles cambios de factores, como cambios de políticas, cambios de tecnología, resultados de auditorías o nuevas necesidades de seguridad.
• Analizar y documentar las anomalías detectadas dentro de la infraestructura de acceso remoto. Esas anomalías podrían indicar una actividad maliciosa o desviaciones de las políticas y procedimientos. Las anomalías deben notificarse según proceda en cada caso.

Las organizaciones también deberían realizar periódicamente evaluaciones para confirmar que las políticas, procesos y procedimientos de acceso remoto de la organización se están siguiendo correctamente. Las actividades de evaluación pueden ser pasivas, como la revisión de los registros, o activas, como la realización de escaneos de vulnerabilidad y pruebas de penetración.

Red móvil

Otra alternativa disponible en caso de urgencia y de no disponer de una implementación de conexión segura establecida VPN, sería la utilización de redes móviles proporcionadas por la organización (por ejemplo mediante un MiFi o utilizando el móvil corporativo como punto de acceso). Estas conexiones 4G son mucho más seguras, ya que la seguridad va intrínseca a la propia red y no depende de configuraciones adicionales.

Videoconferencias

Las reuniones representan una parte esencial para el desarrollo de la actividad de la organización. Durante el teletrabajo, las opciones de comunicación audiovisual disponibles son varias: a través de red LAN o WAN por infraestructura local o en la nube, terminales hardware o aplicaciones software ejecutándose desde diferentes terminales.

Las modalidades bajo infraestructura son aquellas que funcionan como cliente-servidor. Las locales se refieren a soluciones específicas de la organización, gestionadas y alojadas en sus propios servidores; mientras que en la nube son aquellas provistas por un proveedor a modo de suscripción, dejando en sus manos la disponibilidad, seguridad y soporte.

En ambas son importantes seguir los requisitos de conexión segura HTTPS y SSH, autenticación H.235 , H.460 firewall y NAT Traversal, así como las siguientes recomendaciones:

• Seleccionar la modalidad más apropiada para cada reunión, teniendo en cuenta las necesidades, características y participantes de cada una.
• Control de acceso controlado mediante invitaciones personales o de grupo.
• Evitar posibles suplantaciones a la hora de conectarse.
• Controlar los elementos compartidos entre los participantes.
• Registrar las acciones de los usuarios.

Conclusiones

Las tecnologías de acceso remoto pueden ser de gran utilidad para las organizaciones y sus empleados, así como para sus socios o proveedores, sin embargo, dada su naturaleza, todos los componentes de estas tecnologías presentan un mayor riesgo, por lo que es imprescindible protegerlas contra las amenazas.

Entre las principales preocupaciones en materia de seguridad figuran la falta de controles de seguridad física, la utilización de redes no seguras, la conexión de dispositivos infectados a las redes internas y la disponibilidad de recursos internos para los usuarios externos.