Firewalls en los centros educativos

tecnozero / Firewall / Aplicaciones prácticas de un firewall en los centros educativos

Este año, como ya se había anunciado desde distintos observadores de la seguridad en Internet, se está produciendo un incremento exponencial de las amenazas: ransomware, ataques dirigidos, robo de datos confidenciales… y los centros educativos no son una excepción.

Colegios, institutos, universidades y demás centros de formación tienen en común una configuración de la red encargada de dar servicio tanto a una parte privada (profesores, colaboradores, centros asociados…) como a una parte pública (alumnos, redes wifi, aulas…) Por tanto, deben afrontar los peligros a los que está expuesta la red informática de una compañía típica y además sumar la necesidad de dar soporte a una red de acceso general para sus alumnos.

Es imprescindible contar con un firewall que proporcione una seguridad perimetral y un control de la red, para saber en todo momento que está pasando en los sistemas y poder actuar lo antes posible en caso de que se detecte algún incidente.

Independientemente de cómo se plantee la infraestructura de red es necesario atender a una serie de puntos.

Aplicaciones prácticas del firewall en los centros educativos:

Segmentación de la red en diferentes redes en función del uso que va a tener cada una de ellas. No es lo mismo el peligro potencial que supone un equipo infectado con ransomware si se trata de un alumno, que si es el equipo de un profesor. Es necesario por tanto aislar estas redes y controlar el tráfico y acceso entre ellas, restringiéndolo en la medida de lo posible.

Segmentación de accesos por tipos de usuario: los distintos usuarios de la red deben poseer un login válido que les permita identificarse en la red (habitualmente LDAP) Los distintos roles, deben asignarse a los distintos tipos de acceso. Las necesidades de los profesores por lo general no son las mismas que las del equipo de dirección y estos a su vez son diferentes a las de los usuarios.

Bloqueo de aplicaciones sospechosas: no basta con restringir únicamente el tráfico a aquellas aplicaciones que consideramos legítimas. Si por ejemplo se permite el tráfico de red para los puertos 80 y 443 (navegación web) se abre un abanico casi infinito de aplicaciones que corren sobre sistemas web. Es necesario contar con un firewall que permita identificar no sólo el tráfico, sino también las aplicaciones que se están ejecutando (firewall de capa 7). Así podremos abrir la navegación y permitir por ejemplo el acceso a facebook pero denegar el acceso a su aplicación de chat.

Filtrado web en función de su contenido. Es prioritario en los centros educativos restringir el acceso a contenido pornográfico, ofensivo, extremista o que pueda incurrir en acciones delictivas. No únicamente desde un punto de vista ético por velar por los intereses de los alumnos, sino porque se pueden incurrir en distintos delitos en caso de no hacerlo.

Acceso a redes wifi y entornos abiertos: es un punto especialmente crítico a la hora de diseñar la seguridad de un centro educativo.

Aplicaciones prácticas de un firewall en los centros educativos

Los alumnos generalmente acceden con sus propios dispositivos y a diferencia de los propios del centro, estos no están bajo un entorno controlado. Tienen configuraciones muy heterogéneas, pueden tener aplicaciones peligrosas, establecer conexiones no permitidas y un largo etc.

Se necesita por tanto un entorno wifi profesional que permita autenticar a los usuarios mediante portales cautivos, RADIUS, LDAP, SMSs, etc.

Es muy importante poder identificar correctamente a los usuarios y que puedan trabajar en un entorno aislado de los otros dispositivos en su misma red. Supongamos que el portátil de un alumno está infectado con malware y está enviando constantemente spam de forma indiscriminada. Como el equipo está conectado a la red del centro, usará esta conexión a Internet para difundir el malware, lo cual puede causar innumerables perjuicios al centro. Además, intentará propagarse entre los demás miembros de la red a la que está conectado.

Es importante delimitar que equipo es el que causa problemas, permitirle sólo lo estrictamente necesario y además proteger al resto de miembros de la red.

Es igualmente importante vigilar que en la red no aparezcan puntos de acceso no autorizados.

Por ejemplo: yo soy un usuario con acceso a la red y hago que mi portátil se convierta en un punto de acceso wifi. Otros usuarios se pueden conectar a mi red wifi y así acceder a Internet con mis mismos privilegios. Por otro lado, también puedo crear un punto de acceso wifi malintencionado con el mismo nombre que el de la escuela para que los demás usuarios accedan pensando que es la original y así espiar sus comunicaciones. Es primordial vigilar este tipo de amenazas para prevenir que se puedan dar situaciones más graves.

Control de ancho de banda: las políticas de QoS o calidad de servicio, se hacen imprescindibles en estos entornos.

El ancho de banda disponible para la conexión a Internet ha aumentado en gran medida en estos últimos años. Aun así, se trata de un recurso limitado y que se comparte por todos los miembros de la red. Generalmente se establece una prioridad en función de las necesidades de cada rol. No es admisible que un miembro de la dirección no pueda trabajar porque los alumnos estén viendo videos online y saturando la línea de Internet. Es importante contar además con líneas que permitan realizar balanceos de carga y enrutamiento del tráfico en función de las distintas necesidades. Es común que los centros cuenten además con líneas de acceso a recursos propios de la enseñanza (como red Iris). El tráfico hacia y desde estos recursos debe ser correctamente gestionado y priorizado.

Acceso remoto desde otras ubicaciones: investigadores, profesores… colaboran con el centro y necesitan acceder a distintos recursos. Esto no debe comprometer la seguridad de la red. Es necesario crear accesos mediante túneles VPN y limitar el acceso y el alcance de estas conexiones.

Son muchos los puntos a valorar y gestionar a la hora de establecer la seguridad en una red de un entorno educativo y hay que ser consciente de las distintas amenazas que se pueden plantear. No es suficiente contar con sistemas de seguridad de endpoint y se tornan imprescindibles los sistemas de seguridad perimetral. Tan importante es tener los dispositivos que nos permiten controlar la red, como gestionarlos y auditarlos de forma continua para ver que está sucediendo en cada momento y como se pueden optimizar los recursos disponibles. Los usuarios malintencionados son cada vez más imaginativos por lo que hay que tratar de estar siempre un paso por delante.