Benchmarking Administrativo *
VENTAJAS *
¿CÓMO SE HACE? *
INTRABENCHMARCKING *
Benchmarking cuantitativo en cómputo *
Etapas *
Tipos de Benchmark en la Computación *
Caso practico *
FIREWALLS *
Política de seguridad del sitio *
¿Qué es un Firewall ? *
Filtrado de paquetes *
Servicio Proxy *
Funcionamiento *
Tipos de servidores Proxy *
Ventajas *
Desventajas *
Qué puede hacer un Firewall ? *
Un Firewall es un punto de decisiones de seguridad *
Un Firewall puede exigir políticas de seguridad *
Un Firewall puede eficientemente registrar la actividad en Internet *
Un Firewall limita su exposición *
Qué no puede hacer un Firewall ? *
Un Firewall no puede proteger acciones ilegales de los usuarios internos *
Un Firewall no puede proteger las conexiones que no pasan por él *
Un Firewall no puede enfrentar completamente nuevas amenazas *
Un Firewall no puede protegerse de los virus *
Arquitecturas de Firewalls *
Dual-Homed Host Arcuitecture *
Screened Host Architecture *
Screened Subnet Architecture *
BIBLIOGRAFIA *
Libros *
Revistas *
Ligas de internet: *
El benchmarking es una evaluación comparativa o prueba de referencia para determinar la eficiencia de un sistema. Esta prueba de referencia es por lo general de una computadora o de un dispositivo periférico pero también aplica a organizaciones. Es por tal motivo que resulta imperante separar el benchmarking en dos clases diferentes para un mejor entendimiento:
Se trata de un proceso que estimula cambios y mejoras en las organizaciones en base a información recopilada, midiendo así el desempeño, tanto propio como el de otros. Las principales características son:
¿Puede una organización "aprender de otros"?. La respuesta es "sí", hoy más que nunca debido a las duras condiciones del mercado en nuestro país, necesita hacerlo para lograr una eficiente competitividad. Cuando se decide aplicar una estrategia de calidad Total, tal como un proceso de benchmarking, se están involucrando actividades de:
Todos los puntos anteriores responden a objetivos específicos de aprendizaje, orientados a descubrir, emplear y adaptar nuevas estrategias para las diversas áreas de la organización. Al analizar otras organizaciones se hace una ineludible comparación con la propia, adoptando un nuevo punto de vista, una óptica diferente que hace percibir nuestra organización "desde afuera".
Benchmarking cuantitativo en cómputo
No podemos descartar la idea de benchmarking como punto alejado del computo, de hecho se puede dar el caso de no diferenciar el límite entre la administrativa y la cuantitativa, ya que las dos comparten el mismo fin Evaluar. Cuando se le recomienda a la empresa utilizar el benchmarking en cómputo
Para lograr estos objetivos deberá cubrir cuatro etapas.:
Tipos de Benchmark en la Computación
La mejor prueba de conteo es el verdadero conjunto de programas de aplicación y archivos de datos que la organización utilizará. Ejecutar una prueba de cotejo en una computadora de usuario único es razonablemente efectivo, sin embargo, obtener resultados significativos de una prueba de cotejo de un sistema multiusuario es una tarea complicada. A menos que el ambiente del usuario final pueda duplicarse con precisión, la prueba de cotejo será de escaso valor. Puede ser más efectivo hallar una organización usuaria con similar ambiente de procesamiento y simplemente controlar la operación . Dentro de las pruebas contamos con las siguientes que son las de mayor relevancia.
Siendo la computación una parte fundamental en diferentes organizaciones, una herramienta cuyo fin primordial es la administración, control, soporte, desarrollo de los medios cibernéticos.
Como parte del presente trabajo ponemos el siguiente caso práctico de benchmarking:
EL SERVIDOR ULTRA ENTERPRISE 4000 DE SUN FIJA UN NUEVO RECORD EN INFORMIX PARA LA PRUEBAS DE "TPC-C BENCHMARK"
Sun, Informix proporcionan el mejor Precio/Rendimiento desde el rango Medio hasta el Terminal en la Clase de Servidores
MOUNTAIN VIEW, Calif. - a 24 de Febrero de 1997 –
El sistema Ultra Enterprise 4000, ejecutando el ambiente operativo SolarisTM , alcanzó un récord de rendimiento para el INFORMIX-OnLine Dynamic Serverprueba "C" del Consejo de Procesamiento de Transacciones (the Transaction Processing Council Benchmark C TPC-C). TM en la
Dentro de los diferentes ámbitos están los de evaluara las computadoras que tenemos para ver su desempeño y poder decir cual es la mejor, con diversos software se pudieron medir el desempeño de 4 computadoras, diferentes entre cada una de ellas y se compararon los resultados, el software usado es para evaluar el desempeño del bus de datos de la tarjeta madre y el otro para medir el desempeño de las tarjetas de vídeo. El software es ejecutado bajo DOS. En la actualidad hay software de todos tamaños y que miden diferentes cosas, cada uno tan complejo como uno lo necesita.
Las pruebas se realizaron con software gratuito, la prueba del bus se realizo con el programa BUSPERF llamado PC BUS PERFORMANCE ANALIZER hecho por PC-TECH el cual evalúa el desempeño del bus de la motherboard o tarjeta madre, a través de llamadas al IO de la computadora. Mientras que el software para la tarjeta de vídeo se denomina CHRIS ·D Benchmark, el cual fue desarrollado por un estudiante de la universidad de California.
El cual evalúa el desempeño de la tarjeta de vídeo en dos modos (320 X 200 a 256 colores y a 640 X 480 a 256 colores) sacando un promedio con diferentes velocidades que se obtuvieron del CPU de la memoria y de operaciones de punto flotante y consiste en que tan rápido puede asignar texturas a un polígono en movimiento.
Características de las computadoras :
No. |
Motherboard |
Memoria cache |
Procesador |
Memoria RAM |
Multimedia |
Disco Duro |
Tarjeta de vídeo |
| 1 | P5 Triton TX 550 PCI | 512Kb | Pentium MMX 166 Mhz | 32 Mb | CD-24 X TS AWE32 CLSB |
Quantun Bigfoot 2.5 Gb | S3 Virge 3D 4mb PCI |
| 2 | P5 Triton VX 549 PCI | 512Kb | Pentium MMX 166 Mhz | 32 Mb | CD-24 X TS 3D crystal 16 bits |
Quantun Bigfoot 2.5 Gb | S3 Virge 3D 4mb PCI |
| 3 | P5 Triton VX 549 PCI | 512Kb | Cyrix 6X86 PR-200 (166 MHz) | 32 Mb | CD-16 X TS 3D crystal 16 bits |
Quantun Bigfoot 2.0 Gb | Diamond Viper 2500 2Mb PCI |
| 4 | P5 Fic Via 502 PCI | 512Kb | Pentium 90 MHz | 24 Mb | CD-16 X TS 3D crystal 16 bits |
Quantun Bigfoot 800 Mb | Trident 9440 2Mb PCI |
Resultados:
No. |
Prueba de bus |
Prueba de tarjeta de vídeo |
|
320x200 a 256 |
640x480 a 256 |
||
| 1 | 242.16 puntos | 203.8 ; 122.2 frames/seg | 59.6; 35.8 frames/seg |
| 2 | 229.5 puntos | 196.0 ; 117.6 frames/seg | 61.2 ; 36.7 frames/seg |
| 3 | 223.14 puntos | 137.6 ; 88.6 frames/seg | 48.1 ; 28.8 frames/seg |
| 4 | 154.24 puntos | 112.9 ; 67.7 frames/seg | 38.0 ; 22.8 frames/seg |
Es importante tener una política se seguridad de red efectiva y bien pensada la cual pueda proteger la inversión y recursos de información de su compañía. Una política de seguridad de red justifica su uso, si vale la pena proteger los recursos e información que tiene su organización en las redes. La mayoría de las organizaciones tienen información sensible y secretos importantes en sus redes. Esta información debería ser protegida contra el vandalismo del mismo modo que otros bienes valiosos como propiedad de la corporación y edificios de oficinas.
La mayoría de los diseñadores de redes, por lo general, empiezan con la implantación de soluciones de barreras de protección antes de que algún problema de seguridad de red haya sido identificado en forma acertada. Tal vez una razón para esto sea que establecer una política efectiva de seguridad de red signifique formular algunas preguntas difíciles con relación a qué tipos de servicios de trabajo y recursos de Internet va a permitir que tengan acceso los usuarios, y cuáles tendrá que restringir debido a los riesgos de seguridad.
Si sus usuarios tienen un acceso irrestricto a la red, podrá ser difícil adoptar una política que restrinja su acceso.
Debe tener presente que la política de red que debería usar es tal, que no disminuirá la capacidad de su organización.
Una política de red que evita que los usuarios cumplan con sus tareas en forma efectiva, puede tener consecuencias indeseables: los usuarios de la red podrán encontrar formas de ignorar su política de red, convirtiéndola en algo inútil.
Una política de seguridad de red efectiva es algo que todos los usuarios de la red y administradores pueden aceptar, y están dispuestos a reforzar.
Política de seguridad del sitio
Una organización puede tener muchos sitios y cada uno contar con sus propias redes. Si la organización es grande, es muy probable que los sitios tengan diferentes administradores de red, con diferentes metas y objetivos. Si estos sitios no están conectados por medio de una red interna, cada uno de ellos podrá tener sus propias políticas de seguridad de red. Sin embargo, si los sitios están conectados por una red interna, la política de red deberá agrupar las metas de todos los sitios que estén interconectados.
En general, un sitio es cualquier parte de la organización que posee computadoras y recursos relacionados con la red. Dichos recursos incluyen, pero no se limitan a los siguientes:
En términos sencillos, es una barrera colocada entre una red interna y redes exteriores. Su principal objetivo es proteger a la red interna de accesos no autorizados de usuarios en redes externas. Una red externa puede ser cualquier red pública u otra red en la misma organización. El firewall forma parte integral de la Política de Seguridad de la Organización y maneja los riesgos asociados a las redes, controlando y monitoreando los accesos desde otras redes. (ver anexo)
Los firewalls son un tipo de seguridad muy efectiva en redes. Intenta prevenir los ataques de usuarios externos a la red interna. Tiene múltiples propósitos:
Un firewall es a menudo instalado en el punto donde la red interna se conecta con Internet. Todo tráfico externo de Internet hacia la red interna pasa a través del firewall, así puede determinar si dicho tráfico es aceptable, de acuerdo a sus políticas de seguridad.
Lógicamente un firewall es un separador, un analizador, un limitador. La implementación física varía de acuerdo al lugar. A menudo, un firewall es un conjunto de componentes de hardware como lo puede ser un router, un host o una combinación de routers, computadoras y redes con software apropiado.
Rara vez es un simple objeto físico. Usualmente esta compuesto por múltiples partes y alguna de esas partes puede realizar otras tareas. La conexión de Internet también forman parte del firewall.
Un Firewall es vulnerable, él no protege de la gente que está dentro de la red interna. El Firewall trabaja mejor si se complementa con una defensa interna.
Un Firewall es la forma más efectiva de conectar una red a Internet y proteger su red.
Los Firewalls también tienen otros usos. Por ejemplo, se pueden usar para dividir partes de un sitio que tienen distintas necesidades de seguridad.
Como una regla podemos decir; que entre más servicios se permita que accesen los usuarios internos en Internet, más riesgo se corre de que un intruso (generalmente un hacker) explote las pequeñas fallas que esos accesos crean. Una manera de restringir el uso interno de las redes es colocar los firewalls de manera interna para proteger las áreas mas vulnerables de la red, como los sistemas financieros y los de recursos humanos.
Las dos principales aproximaciones usadas para construir Firewalls hoy son:
El sistema de filtrado de paquetes rutea paquetes entre host internos y externos, pero de manera selectiva. Permite bloquear cierto tipo de paquetes de acuerdo con la política de seguridad de la red. El tipo de ruteo usado para filtra paquetes en un Firewall es conocido como "screening router".
Se puede rutear selectivamente paquetes desde o hacia su sitio:
Para entender como se filtra un paquete, se necesita conocer la diferencia entre ruteo ordinario y "screening router".
Casi todos los dispositivos actuales de filtro de paquetes (enrutadores de selección o compuertas de filtro de paquetes) operan de la siguiente forma:
Para las reglas 4 y 5, deberá observar que es importante colocar las reglas en orden correcto. Un error común al configurar las reglas del filtro de paquetes es hacerlo en desorden. Si dichas reglas se colocan en un orden equivocado, podría terminar denegando servicios válidos, mientras que permitiría los servicios que deseable denegar. De sus desventajas que debe haber conocimiento preciso de la red, del transporte y hasta de los protocolos de aplicación. Otro problema es que son susceptibles al engaño IP, el cual consiste en el cambio de direcciones de IP de los encabezados de paquetes hasta que alguno sea aceptado.
Proxy es un sistema intermediario entre hosts internos de una red y los hosts de Internet de forma tal que reciba las requisiciones de unos y se las pase a los otros previa verificación de accesos y privilegios. Este sistema puede correr en hosts "dual-homed" o hosts "bastion" los cuales serán llamados Servidores Proxy.
Los sistemas Proxy son efectivos solo si se utilizan junto a métodos de restricción de tráfico IP entre clientes y servidores reales. De este modo, un cliente no podrá "bypasear" (hacer el pase) el servidor Proxy para comunicarse con un servidor real utilizando este protocolo.
Un punto importante a tener en cuenta en este tipo de conexión es que es totalmente transparente. Un usuario nunca se entera de que existe un "intermediario" en la conexión que ha establecido.
La comunicación entre el programa cliente y el servidor Proxy puede realizarse de dos formas distintas:
Existen dos tipo básicos de servidores Proxy. Estos son:
Las ventajas de utilizar servidores Proxy son:
Las desventajas de utilizar servidores Proxy son:
Un Firewall es un punto de decisiones de seguridad
Todo tráfico de entrada y salida pasa a través de un único punto de chequeo. Un Firewall provee varios niveles de seguridad porque el concentra sus medidas de seguridad en este único punto, donde se conecta la red con Internet.
Enfocar su seguridad de esta manera es más eficiente que expandir sus decisiones de seguridad. Aunque los Firewall son costosos, muchos sitios encontraron que concentrando la seguridad de hardware y software en un Firewall es menos caro y más efectivo que otros mecanismos de seguridad.
Un Firewall puede exigir políticas de seguridad
Algunos servicios que la gente utiliza en Internet son inseguros. El Firewall es un "policía de tránsito" para esos servicios. El impone la política de seguridad de la red, permitiendo solo algunos servicios con sus reglas.
Un Firewall puede ser llamado para ayudar a reforzar políticas más complicadas. Por ejemplo, ciertos sistemas con Firewall solo permiten transferir archivos de y hacia Internet, pero usando otro mecanismo de control, se puede determinar que usuarios tienen esa capacidad.
Dependiendo de la tecnología que se elija para implementar un Firewall, este debe tener cierta capacidad para reforzar sus políticas.
Un Firewall puede eficientemente registrar la actividad en Internet
Como todo el tráfico pasa a través del Firewall, este provee una buena forma de recolectar información sobre el uso del sistema y de la red. El puede registrar que ocurrió entre la red protegida y la red externa.
Un Firewall limita su exposición
Un Firewall puede ser usado para proteger una sección de otra dentro de su red. Un problema en una sección puede extenderse a toda la red, por lo tanto la existencia de Firewall limita los daños que un problema de seguridad de la red pueda causar a toda la red.
Qué no puede hacer un Firewall ?
Los firewalls ofrecen excelente protección a posibles amenazas, pero no son una solución completamente segura. Ciertas amenazas están fuera del control del Firewall.
Un Firewall no puede proteger acciones ilegales de los usuarios internos
Un firewall puede tener un sistema de usuarios capaz de enviar información privada fuera de la organización sobre una conexión de red; pero podría simplemente no tener una conexión de red.Pero el mismo usuario puede copiar datos en disco, tape, papel y enviarlo fuera de su compañía en su portafolios.
Si el ataque es realmente dentro de firewall, un firewall puede virtualmente notarlo. Los usuarios internos pueden robar datos, dañar hardware y software y modificar programas cerca del firewall. Las amenazas internas requieren una seguridad interna, tal como un host de seguridad y educación a los usuarios.
Un Firewall no puede proteger las conexiones que no pasan por él
Un firewall puede efectivamente controlar el tráfico que pasa a través de él, pero no el que no pasa. Un firewall no tiene forma de prevenir intrusos que se comunican a través de un modem.
Un Firewall no puede enfrentar completamente nuevas amenazas
Un firewall está diseñado para proteger amenazas conocidas. Sólo un buen diseñador puede también protegerse de nuevas amenazas. Por lo tanto un firewall no puede automáticamente defenderse cuando sucede un nuevo ataque.
Periódicamente la gente descubre nuevas formas de ataque. No se puede poner un firewall y creer que se está protegido para siempre.
Un Firewall no puede protegerse de los virus
Los firewalls no pueden mantener virus de una PC fuera de la red. Algunos firewalls escanean todo el tráfico que pasa a través de él a la red interna; el escaneo es al menos de la dirección de origen y del destino. Con sofisticados filtrados de paquetes o proxy, la protección de virus en firewalls no es muy práctico. Existen simplemente algunos tipos de virus y algunas formas de virus que pueden ocultarse en los datos.
Detectar virus en un paquete al azar de un dato pasando a través del firewall es muy dificultoso, esto requiere:
La forma más práctica de atacar el problema de los virus, es a través de la protección del software y de la educación de usuarios de manera practica, ya se están integrando programas antivirus dentro de los firewalls, pero de denigra el rendimiento de la red.
Una dual-homed host architecture esta construida como un host dual-homed, una computadora con dos interfaces de red. Tal host actúa como router entre las dos redes que el conoce, es capaz de rutear paquetes IP desde una red a otra. Pero los paquetes IP de una red a la otra no son ruteados directamente. El sistema interno al Firewall puede comunicarse con el dual-homed host, y los sistemas fuera de Firewall también pueden comunicarse con él, pero los sistemas no pueden comunicarse directamente entre ellos. El dual-homed host puede proveer varios niveles altos de control.
Esta arquitectura provee servicios desde un host que está en la red interna, usando un router separado. La principal seguridad está dada por el filtrado de paquetes.
Un host Bastion esta situado en la red interna. Los paquetes filtrados por el "screening router" son checados de tal manera que el host bastion es la única máquina de la red interna a la que los host de Internet pueden abrir conexiones ( por ejemplo un deliver incoming email). Solo cierto tipo de conexiones con permitidas. Cualquier sistema externo que intente acceder al sistema interno deberá conectarse con este host. El host Bastion necesita entonces tener un alto nivel de seguridad.
El filtrado de paquetes también deben permitir al host Bastion abrir conexiones al mundo exterior. La configuración del filtrado de paquetes en un "screening router" debe hacerse como sigue:
Se puede mezclar y comparar estas aproximaciones para diferentes servicios: algunos pueden ser permitidos directamente filtrando paquetes, mientras que otros directamente vía proxy.
Existen algunas desventajas; la principal es que si un ataque rompe el host bastion, esto no es notado por la red interna. El router también presenta un punto de falla. Si el router está comprometido, la red entera está disponible para ser atacada.
Es la arquitectura más popular. Agrega un nivel extra de seguridad que la arquitectura "screened host", agregando un perímetro a la red, que aísla fuertemente la red interna de Internet.
Los hosts bastiones son las máquinas más vulnerables en la red. Aunque se esfuerce en protegerse, estas son las máquinas que pueden ser atacadas, porque ellas son las máquinas que son vistas por la red externa. Si su red interna es muy abierta, es un objetivo tentador. No hay otra defensa entre esta máquina y las máquinas internas. Al aislar el host bastion en un perímetro, se puede reducir el impacto de atacar al host bastion.
Esta arquitectura tiene dos "screening router", cada uno conectado al perímetro. Uno esta situado entre el perímetro y la red interna y otro entre el perímetro y la red externa. Para destruir la red interna con este tipo de arquitectura, el atacante debe pasar por ambos routers.
Si un atacante logra destruir al host bastion, deberá lograr pasar por el router interno.
Algunos sitios crearon una serie de perímetros entre el mundo externo y la red. Los servicios más peligrosos son pasados de los perímetros más externos a los más internos. La idea es que un ataque a una máquina en el perímetro más externo tendrá una tarea ardua para atacar a las máquinas internas porque deberá atacar todos los niveles de seguridad de todos los demás perímetros.
Como dato curioso en Estados Unidos existen 2 bancos pioneros en Home Banking que reciben aproximadamente 2500 ataques mensuales de hackers.
La mayor parte los firewalls pueden manejar sin problema paquetes al transportar HTTP, SMTP y NNTP, m}as sin embargo ya los firewalls actuales han podido superarse, los usuarios demandan soporte para nuevos servicios y protocolos como las aplicaciones distribuidas. Las redes en la actualidad enfrentan riesgos a causa de aplicaciones en JAVA que se bajan de Internet y que pueden afectar a la computadora además de virus que se asocian a los mensajes de correo electrónico o archivos transferibles. Un enfoque sencillo pero ineficaz es detener todos los archivos y pequeñas aplicaciones JAVA, un producto que previene lo anterior es el Norton Antivirus for Firewalls de Symantec.
Las aplicaciones multimedia y de colaboración, como RealAudio (prgressive Networks), Netmeeting (Microsoft) a menudo usan UDP para poder funcionar adecuadamente, el UDP no distingue entre paquetes de petición y de respuesta, debido a que los paquetes UDP son "caballeros" respecto a los puertos que usan, los firewalls deben ser muy inteligentes para manejarlos. Los firewalls que manejan la inspección de estado monitorean, por lo general, el canal de control TCP para determinar qué puerto UDP debe permitir para la sesión, los proxy basados en aplicación necesitan proxis especiales que por lo general únicamente contemplan el uso de RealAudio
Las redes privadas virtuales son un enlace remoto a través de Internet, usando su infraestructura para conectar dos oficinas de una organización o de dos diferentes y se usan firewalls para suy protección. Con el acceso remoto, el usuario llama a su PSI local, y luego se conecta a us red a través de Internet. El protocolo Point to Point Tunneling (por Microsoft y Ascends) y el Layer Two Forwarding también conocido como LF2 (CYSCO) se combinaron y dieron lugar al protocolo Layer Two Tunneling conocido como L2TP, con el fin de ser viable la conexión remota, con este estándar se permite que el proceso de autentificación y de autorización sea trasladado desde el ISP hacia el servidor localizado en cualquier parte de Internet y de esta manera puede implementarse un firewall.
Como las VPN´s usan una combinación de autentificación, codificación e integridad de mensajes para crear la conexión a través de Internet. Los métodos de autentificación van desde la sencilla autentificación del nombre de usuario hasta las tarjetas de seguridad como la de SecureID de Security Dynamics.
"REDES DE COMPUTADORES"
Uyless Black
Addison-wesley
PC MAGAZINE EN ESPAÑOL
Volúmen 8 número 7
Sección de redes
PC MAGAZINE EN ESPAÑOL
Volúmen 9 número 1
Sección de redes
http://www.penta.ufrgs.br/gereseg/unlp/t12home.htm
http://www.cisco.com/warp/public/751/pix/_sp_pie_ds.htm
http://www.add.es/html/body_firewall_scanner.html
http://www.seidor.es/seidor/isp/seguridad.htm
http://netecsa.com/bwfs/introseguridad/default.htm
http://www.fics.edu.pe/articulos/info5/firewall.htm
http://www.nuia.com.ar/nuia37/FIREWALL.HTM
http://www.nalejandria.com/00/colab/bench2.htm
http://www.nalejandria.com/00/colab/bench3.htm
http://gente.pue.udlap.mx/~jtambore/benchmarking/benchmarking.html
http://www.sun.com.mx/noticias/sap_sun_rec2.html
http://www.sun.com.mx/noticias/tpc_informix2.html
http://www.goyanet.com.ar/1000sitiosweb/com/SHAR003.HTM