Firewall Open Source FreeBSD

PfSense

pfSense es una distribución personalizada de FreeBSD adaptado para su uso como Firewall y Router. Se caracteriza por ser de código abierto, puede ser instalado en una gran variedad de ordenadores, y además cuenta con una interfaz web sencilla para su configuración. El proyecto es sostenido comercialmente por BSD Perimeter LLC.

Historia

El proyecto pfSense se inició en septiembre de 2004 por Chris Buechler y Ullrich Scott como un fork de m0n0wall, enfocado a las instalaciones en PC y Servidores, al contrario de m0n0wall que se orientaba a ambientes embebidos y ordenadores de bajos recursos. Se calcula que para diciembre de 2010, pfSense contaba con más de un millón de descargas.² De acuerdo a su página oficial, se ha instalado exitosamente en distintos ambientes, que van desde redes domésticas hasta grandes corporaciones, universidades y otros tipos de organizaciones.

Instalación y Uso

PfSense puede instalarse en cualquier ordenador o servidor que cuente con un mínimo de dos tarjetas de red, el proceso de instalación es similar a FreeBSD. Una vez copiados los archivos del sistema al disco duro, se procede a configurar las direcciones IP de las tarjetas de red. Una vez concluido lo anterior, se puede accesar al sistema desde cualquier explorador web. El portal de administración está basado en PHP y teóricamente todas las configuraciones y administración se pueden realizar desde allí. No es indispensable contar con conocimientos avanzados de la línea de comandos para su manejo.

Características

§  Firewall

§  State Table

§  Network Address Translation (NAT)

§  Balance de carga

§  VPN que puede ser desarrollado en IPsec, OpenVPN y en PPTP

§  Servidor PPPoE

§  Servidor DNS

§  Portal Cautivo

§  Servidor DHCP

PfSense cuenta con un gestor de paquetes para ampliar sus funcionalidades, al elegir el paquete deseado el sistema automáticamente lo descarga y lo instala. Existen alrededor de setenta módulos disponibles, entre los que se encuentran el proxy Squid, IMSpector, Snort, ClamAV, entre otros.

Soporte y Desarrollo

Al poseer software de código abierto, la comunidad de desarrolladores pueden dar soporte y asistencia. BSD Perimeter ofrece soporte y capacitación a cambio de un costo³ . Cualquier persona es libre de modificar el sistema a sus necesidades, e incluso vender sus derivaciones de pfSense (bajo ciertas condiciones).

Mas info 

Mini tutorial Basico  click 

Descargas pagina oficial 

http://www.pfsense.com

Capturas de pantalla

Articulo de interes Firewall Software Libre

Firewall software libre 



IPCop

IPCop es una distribución Linux que implementa un cortafuegos (o firewall) y proporciona una simple interfaz web de administración basándose en una computadora personal. Originalmente nació como una extensión (fork) de la distribución SmoothWall cuyo desarrollo había estado congelado bastante tiempo.
IPCop tiene como objetivos ser un cortafuegos sencillo, con pocos requerimientos hardware orientado a usuarios domésticos o a pequeñas empresas (SOHO), administrado a través de una interfaz web, con funcionalidades basicas y avanzadas, yendo (a manera de ejemplo) desde el simple filtrado de paquetes hasta la asignación de ancho de banda fijo a cada puesto de trabajo o la configuración de redes virtuales VPN. IPCop se actualiza desde la Interfaz Web de manera muy sencilla, incluyendo actualizaciones del Kernel.
IPCop está capado y solo tiene instaladas las herramientas justas para su función como firewall, limitando el daño que podría hacer un intruso que comprometiera el sistema. Si se desea ampliar la funcionalidad existen extensiones, comunes con SmoothWall, que permiten instalar todo tipo de utilidades como por ejemplo instalar Nmap para escanear IPs.
La distribución Linux se puede bajar desde el sitio oficial en inglés, consiste de una imagen ISO de menos de 100Mb la cual puede ser grabada en un CD e instalada en cualquier computador que tenga al menos dos interfaces de red.
Topologías de red soportadas: Permite la implementación de diferentes topologías de red, ya sea desde la simple LAN que sale a internet, hasta la creación de una zona desmilitarizada (DMZ), soportando también la inclusion de una red inalámbrica.




Mini tutorial

http://www.linuxzone.es/tutorial-sobre-ip-cop/

Descargar mas info pag oficial

http://www.ipcop.org/download.php

Diagrama basico capturas de pantalla

Defensa en Profundidad

Defensa en profundidad (Defense in Depth) es una iniciativa que pretende aislar en capas y dividir en diferentes áreas las instalaciones con el propósito de hacer más difícil el acceso a nuestro último bastión, es decir, los servidores donde se contiene nuestra información.

Podríamos hacer la analogía con un Banco, donde nuestra información vendría a ser el dinero contenido en una bóveda. Para protegerlo desde la entrada ya vemos medidas de seguridad tales como barreras antigolpes de automóviles, cámaras, guardias, un área pública que podría ser la (DMZ). Mientras más nos acercarnos a la bóveda los controles se acentúan…

1- Firewalls

Representan un mecanismo de defensa inicial que debe abarcar toda la red. Las reglas que se apliquen a los firewalls deben ser altamente restrictivas y establecerse por host y servicio.

Al crear las reglas para los firewalls y las listas de control de acceso (ACL) de los routers, céntrese en primer lugar en proteger los dispositivos de control de acceso y la red frente a posibles ataques.

Asegúrese de que los datos sigan fluyendo mediante la utilización de ACL de red y las reglas para los firewalls.

Compruebe el funcionamiento de las reglas para los firewalls y las ACL de los routers para determinar si las reglas contribuyen a ataques de negación de servicio (Denial of Service, DoS).

Utilice uno o varios DMZ como parte del desarrollo sistemático y formal de firewalls. 
Sitúe en esa ubicación todos los servidores a los que se puede acceder por Internet. Limite la conectividad de los DMZ. 
2- Antivirus

Utilice soluciones antivirus en todo el ambiente: tanto en los servidores como en las computadoras de escritorio.

Utilice soluciones antivirus especializadas para tareas específicas, como detectores de virus para servidores de archivos, herramientas de análisis de contenido y detectores de carga y descarga de datos.

Configure las soluciones antivirus para que detecten virus que entren o salgan del sistema. 
Estas soluciones deben instalarse primero en los servidores de archivos críticos y, a continuación, en los servidores de correo, de base de datos y de red.

En el caso de las computadoras portátiles y de escritorio, debe implementar una solución antivirus en el ambiente predeterminado.

Si utiliza Microsoft Exchange, utilice las funciones adicionales de antivirus y los filtros de contenido para los buzones de correo. 
3- Redes privadas virtuales (VPN)

Utilice una VPN entre el perímetro de la red y los segmentos de red internos que necesiten más seguridad.

Utilice una VPN para asegurar los protocolos de texto sin encripción de los ambientes en los que se pueda detectar o modificar el tráfico de datos.

Para los usuarios remotos, debe usar una VPN que requiera autenticación de factores múltiples y que utilice tecnologías IPSEC, SSL y SSH para suministrar conectividad a los recursos necesarios de la red corporativa utilizando las reglas de control de acceso por usuario. Realice auditorías periódicas de la lista de acceso de los usuarios para el dispositivo VPN.

Puede limitar el acceso administrativo del dispositivo VPN para que quede exclusivamente dentro de la red corporativa. 
4- Segmentación

Utilice segmentaciones para separar el acceso a extranets específicas para fabricantes, socios o clientes.

Cada segmentación externa de la red debe permitir que el tráfico sólo se dirija a los hosts y puertos de aplicaciones determinadas que proporcionan servicios a los clientes.

Asegúrese de que existan controles de red que permitan sólo el acceso necesario para cada conexión de terceros.

Limite el acceso de los servicios de red suministrados, así como el acceso entre los segmentos de red. 
5- Contraseñas Complejas para Usuarios Administrativos

Ponga en práctica una política estricta para las cuentas administrativas mediante el uso de contraseñas complejas que cumplan estas condiciones:

Alfanumérica; mayúsculas y minúsculas; contiene al menos un caracter especial; contiene como mínimo 14 caracteres.

Para limitar más los riesgos de ataques a las contraseñas, ponga en práctica los controles siguientes:

- Vencimiento de contraseñas 
- Bloqueo de la cuenta después de entre 7 y 10 intentos de registro fallidos 
- Registro del sistema

Además de las contraseñas complejas, puede recurrir a la autenticación de factores múltiples.

Utilice controles avanzados para la administración de las cuentas y el registro de acceso a las cuentas (no permita que se compartan cuentas). 
6- Contraseñas complejas para usuarios estándar
Para las cuentas de usuarios, ponga en práctica una política que exija el uso de contraseñas complejas que cumplan estas condiciones:

- Alfanumérica 
- Mayúsculas y minúsculas 
- Contiene al menos un caracter especial 
- Contiene como mínimo 8 caracteres

Para limitar más los riesgos de ataques a las contraseñas, ponga en práctica los controles siguientes:

- Vencimiento de contraseñas 
- Bloqueo de la cuenta después de 10 intentos de registro fallidos 
- Registro del sistema

Además de las contraseñas complejas, puede recurrir a la autenticación de factores múltiples.

Utilice controles avanzados para la administración de cuentas y el registro de acceso a las cuentas (no permita que se compartan cuentas). 
7- Contraseñas complejas para usuarios de acceso remoto

Ponga en práctica controles de contraseñas complejas para todos los usuarios de acceso remoto, independientemente de si el acceso se concede mediante tecnologías de marcación telefónicas o VPN.

Se considera que una contraseña es compleja si cumple estas condiciones:

- Alfanumérica
- Mayúsculas y minúsculas

- Contiene al menos un caracter especial

- Contiene como mínimo 8 caracteres

Ponga en práctica otro factor más de autenticación para las cuentas de acceso remoto.

Si lo desea, también puede utilizar controles avanzados para la administración de cuentas y el registro de acceso a las cuentas (no permita que se compartan cuentas).

Con respecto al acceso remoto, resulta especialmente importante proteger el ambiente mediante políticas estrictas de administración de cuentas, prácticas seguras de registro y funciones para detectar incidentes.

Para limitar aún más los riesgos de ataques de fuerza bruta a las contraseñas, puede poner en práctica los controles siguientes:

- Vencimiento de contraseñas 
- Bloqueo de la cuenta después de entre 7 y 10 intentos de registro fallidos 
- Registro del sistema

Para los servicios de acceso remoto también deben considerarse los sistemas que se utilizarán para acceder a la red o a los hosts.

Por tanto, podría resultar conveniente controlar los hosts con acceso remoto a la red. 
8- Contraseñas complejas

La utilización de contraseñas complejas es un elemento fundamental para la defensa a profundidad.

Las contraseñas complejas deben tener de 8 a 14 caracteres e incluir caracteres alfanuméricos y especiales. Debe establecer una longitud mínima, un mantenimiento del historial, una duración límite y un plazo de vencimiento para reforzar la defensa.

Generalmente, el vencimiento de las contraseñas debe configurarse de la siguiente forma:

- Duración máxima de 90 días 
- Las cuentas nuevas deben cambiar la contraseña al inicio de la sesión 
- Un historial de 8 contraseñas (mínimo de 8 días)

Además de las contraseñas complejas, la autenticación de factores múltiples es muy importante, especialmente para las cuentas administrativas y de usuarios remotos.

En todas las cuentas de usuario, se debe activar un proceso de bloqueo de cuenta tras 10 intentos de registro fallidos.

Los controles para bloquear una cuenta pueden variar; algunos sencillamente se dedican a los ataques de fuerza bruta a las contraseñas y otros requieren que un administrador desbloquee la cuenta.

Se aconseja activar el bloqueo en las cuentas administrativas, al menos para acceder a la red. Esto no permitirá que la cuenta se bloquee desde la consola, solamente desde la red 
Es posible que esta solución no sea adecuada para todas las empresas, particularmente aquellas con sitios remotos.

En tales casos, lo más adecuado es que un administrador desbloquee la cuenta, de este modo que se evita que los ataques pasen desapercibidos durante un largo tiempo si no se dispone de otros medios para detectar fallas de autenticación.
Cuando se pongan en práctica controles de bloqueo de cuenta, siga las normas siguientes:

- Bloqueo de las cuentas administrativas y de acceso remoto después de 7 a 10 intentos de inicio de sesión erróneos.

- Bloqueo de las cuentas de usuarios regulares tras al menos 10 intentos de inicio de sesión erróneos.

- Requerir la intervención de un administrador para desbloquear las cuentas de acceso remoto y de administrador, y para reactivar automáticamente las cuentas de usuarios estándar al cabo de 5 minutos. 
9- Creación de contraseñas para administradores 
Por lo general, las limitaciones para crear contraseñas de administradores deben ser más estrictas que las que se aplican a las cuentas normales.

En Windows, debe crear contraseñas de 14 caracteres alfanuméricos que incluyan caracteres especiales para las cuentas administrativas (y las cuentas de servicio). 
10- Paquetes de administración 
Cuando se utilizan paquetes de administración, debe robustecer y asegurar físicamente las consolas administrativas.

Debe robustecer las terminales de trabajo de administración que controlan los servidores y dispositivos de la red.

Use conexiones SSH o VPN para proteger los protocolos de texto sin encripción. 
Las terminales de trabajo de administración deben estar dedicadas a administradores de red y hosts específicos.

Pruebe todos los sistemas de administración que utilizan SNMP para asegurarse de que tengan los parches más recientes y que no utilicen cadenas de conexión automáticas de la comunidad.

Los sistemas compartidos no almacenan datos de administración específica. 
Las terminales de trabajo compartidas no se pueden usar para administrar hosts ni dispositivos de red. 
11- Archivo con la bitácora del uso 
Los archivos con la bitácora del uso se configuran para que graben las actividades planificadas sin sobrescribir entradas.

Debe establecer un proceso automático de rotación de los archivos con la bitácora del uso cada día, así como la descarga de los archivos a un servidor seguro en la red de administración.

Limite el acceso a los parámetros configurados y a los archivos con la bitácora del uso para evitar que sean modificados o eliminados.

Los archivos con la bitácora del uso se deben revisar periódicamente para detectar actividades sospechosas o anómalas.

La revisión debe extenderse al funcionamiento, mantenimiento y a la seguridad de los sistemas.

Para sacar más partido de esta revisión, debe utilizar un software de correlación de eventos y de análisis de tendencias. 

12- Proceso de creación para parches

Mantenga procesos de armado mediante los parches y configuraciones cerradas recomendadas del fabricante.

Compruebe este proceso periódicamente.

Utilice procedimientos para robustecer los hosts con el objeto de corregir y configurar correctamente los servicios y las aplicaciones de cada host.

Desactive todos los servicios y las aplicaciones que no necesite.

Deben robustecerse las terminales de trabajo instalando los parches recomendados, retirando también todos los paquetes y servicios que no sean necesarios y evaluando los permisos de los archivos.

Incluya medidas de robustecimiento de los hosts en los procedimientos estándar de creación de terminales de trabajo. 
13- Terminales de trabajo

Las terminales de trabajo son un elemento fundamental en la defensa de cualquier ambiente, sobre todo si hay usuarios remotos o itinerantes que se estén conectando.

Herramientas como firewalls particulares, antivirus y software de acceso remoto son imprescindibles en todas las terminales, donde deberán configurarse correctamente.