Guardia (seguridad de la información)

En seguridad informática , un sistema de protección (o guard ) permite que ordenadores de redes separadas se comuniquen, sujeto a restricciones configuradas. En muchos aspectos, un sistema de protección es similar a un cortafuegos y puede tener una funcionalidad parecida a la de una puerta de enlace .

Mientras que un cortafuegos está diseñado para limitar el tráfico a determinados servicios, un sistema de seguridad busca controlar el intercambio de información que la comunicación de red soporta a nivel empresarial. Además, a diferencia de un cortafuegos, un sistema de seguridad garantiza la eficacia de este control incluso en situaciones de ataque o fallos.

Un guardia de seguridad suele ubicarse entre una red protegida y una red externa, y se asegura de que la red protegida esté a salvo de las amenazas que plantea la red externa y de las filtraciones de información confidencial a dicha red.

Un guard suele tener doble conexión , aunque puede conectarse a más de dos redes, y actúa como un proxy de capa de aplicación completo , estableciendo comunicaciones independientes en cada interfaz. Un guard solo transmite la información de negocio que contienen los protocolos de una red a otra, y únicamente si dicha información supera las comprobaciones configuradas que proporcionan la protección necesaria.

El desarrollo de sistemas de seguridad comenzó a finales de la década de 1970 con la creación de varios "Procesadores de Comunicaciones Seguras" y aplicaciones de "Guardia". Los procesadores de comunicaciones seguras eran sistemas operativos de alta seguridad y núcleos de seguridad desarrollados para permitir la elusión controlada de texto plano en dispositivos de cifrado de red de paquetes. Las aplicaciones de guardia se diseñaron para sanitizar los datos exportados desde un sistema clasificado y eliminar cualquier información sensible.

El procesador de comunicaciones seguras Honeywell (SCOMP) ^{[ 1 ]} fue una plataforma de protección temprana. Esta fue evaluada según los criterios de evaluación del Libro Naranja del Centro de Seguridad Informática del Departamento de Defensa en el nivel A1.

El entorno de usuario seguro (SUE) del RSRE se ejecutaba en un PDP-11/34 . Era un núcleo de separación muy simple diseñado y construido por la División T4 del Royal Signals and Radar Establishment (RSRE) en Malvern, Inglaterra. ^{[ 2 ] [ 3 ]}

El sistema de prueba arquitectónico avanzado de comando y control (ACCAT) se desarrolló para exportar correos electrónicos de un sistema clasificado a través de una etapa de revisión humana. ^{[ 4 ]}

Los desarrollos posteriores de los sistemas de seguridad abordaron el problema de la "degradación" automática de la información exportada desde un sistema clasificado. El servidor de red segura (SNS) Mail Guard (SMG) implementó listas blancas de direcciones de origen/destino, comprobaciones de etiquetas de seguridad, filtrado de tipos de archivos adjuntos y firmas digitales para garantizar que la información confidencial no se divulgue ^{[ 5 ].}

Los cortafuegos fueron un desarrollo posterior, que surgió alrededor de 1987. ^{[ 6 ]} Con el tiempo, la funcionalidad de los cortafuegos ha aumentado hasta ofrecer capacidades similares a las de los sistemas de seguridad. La principal diferencia radica en que estos últimos están diseñados para garantizar su eficacia en la protección de la red y de sí mismos.

El conjunto de herramientas de cortafuegos SWIPSY fue desarrollado por la Agencia de Evaluación e Investigación de la Defensa para funcionar como una plataforma de seguridad general. SWIPSY se implementó sobre Trusted Solaris 8.

Los sistemas de seguridad se diseñaron inicialmente para controlar la divulgación de información de sistemas clasificados, protegiendo la confidencialidad de la información sensible que maneja el sistema protegido. Desde entonces, su alcance se ha ampliado para abarcar el control de la importación de datos, con el fin de proteger la integridad de la información y la disponibilidad de los servicios en la red protegida.

Los guardias generalmente proporcionan la siguiente funcionalidad:

• autenticación de direcciones de origen y destino
• Lista blanca de direcciones de origen y destino
• Verificación de etiquetas de seguridad con respecto a las autorizaciones de origen y destino.
• Lista blanca de formatos de datos
• Verificación de la coherencia y validez del formato de datos
• Analizando datos en busca de malware conocido
• validación de firmas digitales
• inspección de contenido cifrado
• Comprobando el texto con una lista negra de frases.
• eliminación de datos redundantes
• generación de registros que documentan eventos relevantes para la seguridad
• mecanismos de autoevaluación

Los guardianes son funcionalmente equivalentes a un host bastión que actúa como proxy de aplicación dentro de una red DMZ , donde el proxy impone los controles necesarios sobre los datos intercambiados para brindar protección contra amenazas externas y fugas internas. Sin embargo, se distinguen por su estructura. Una red DMZ depende de los firewalls de filtrado de paquetes externos para enrutar el tráfico al host bastión. Si los firewalls funcionan incorrectamente, pueden permitir el paso del tráfico a través de la DMZ sin pasar por el host bastión, eludiendo así las comprobaciones impuestas por los proxies. Asimismo, si la pila de red del host bastión se comporta incorrectamente, puede enrutar el tráfico a través de la DMZ sin pasar por los proxies.

Un sistema de seguridad se construye de manera que se minimice el software necesario para su correcto funcionamiento y también el trabajo necesario para demostrarlo a un tercero. Es decir, los sistemas de seguridad se diseñan para garantizar que se apliquen las comprobaciones adecuadas. ^{[ 7 ]}

Los guardias pueden usar un sistema operativo confiable para separar los componentes críticos de verificación de seguridad de los componentes menos críticos de manejo de protocolo. De esta manera, una falla en los componentes de manejo de protocolo no puede hacer que los datos eludan el verificador. ^{[ 8 ]} Por ejemplo, Security-Enhanced Linux es utilizado por los guardias Nexor ^{[ 9 ]} y Solaris 10 con Trusted Extensions es utilizado por Radiant Mercury y ISSE Guard, ^{[ 10 ]} y por Deep-Secure . Los controles de aplicación de tipos desarrollados para el sistema operativo LOCK ^{[ 11 ]} fueron utilizados en Sidewinder. ^{[ 12 ]}

Los guardias también pueden usar computadoras físicamente separadas para garantizar que no se eludan los componentes críticos. ^{[ 13 ]}

Productos gubernamentales estándar:

• Mercurio radiante ^{[ 14 ]}
• Guardia ISSE ^{[ 15 ]}

Productos comerciales listos para usar:

• Guardias de Rockwell Collins ^{[ 16 ]} ( Rockwell Collins )
• Protección de correo de seguridad profunda ^{[ 17 ]} ( Seguridad profunda )
• Nexor CDS ^{[ 18 ]} ( Nexor )
• Raytheon High Speed ​​Guard ^{[ 19 ]} ( Raytheon )
• Puerta de enlace de seguridad SDoT ^{[ 20 ]} (Infodas)
• Entorno de vigilancia automatizado estándar (SAGE) ^{[ 21 ]} ( BAE Systems )
• SyBard::Sentry ^{[ 22 ]} ( QinetiQ )

• Diodo de datos
• Guardia de alta seguridad