El documento proporciona información sobre un webcast sobre cómo implementar la seguridad perimetral y de red en sistemas Microsoft. Explica cómo acceder al audio del evento y hacer preguntas. También incluye consejos sobre la visualización y soporte técnico. El contenido del webcast cubrirá temas como el uso de defensas en el perímetro, ISA Server, cortafuegos de Windows, redes inalámbricas y protección mediante IPSec.

2. Bienvenidos al Webcast sobre Como Implementar Seguridad Perimetral y de Red en Sistemas Microsoft 25-febrero-2004 Olvido Nicolás Responsable de Comunidades Técnicas Microsoft España [email_address]

3. Acceder al audio Telf. gratuito para España: 800 099 463 – PASSCODE 479513 Telf. en Estado Unidos: +1 718 354 1114 Telf. en Gran Bretaña: +44 (0)207 784 1022 Sonido de su PC (VoIP) Hagan clic en el enlace Click Here for Audio de su pantalla Audio por teléfono (Puede ver este número de teléfono en cualquier momento presionando (Ctrl + i) o menú View – Meeting Information de la barra de herramientas )

4. Comunicarse con los ponentes El panel Seating Chart les permite ofrecer feedback a los Ponentes. Hagan clic en el menú desplegable para cambiar el color de su asiento en cualquier momento. Si necesita ayuda cambie su asiento a color ROJO .

5. Algunos consejos Pantalla Completa Ctrl+H Presione Ctrl+H en su teclado para ver la pantalla completa durante la demostración. Presionando de nuevo Ctrl+H volverán a aparecer los menús. Resolución Recomendada 1024 x 768 pixels Impresión de la presentación en formato PDF al final del evento En el Menú File (parte superior de su pantalla) seleccione la opción Print to PDF , o la combinación de teclas Ctrl+P de su teclado. Print to PDF estará disponible cuando nuestro Ponente lo mencione de nuevo en la conclusión del evento.

6. Hacer preguntas Si tiene cualquier pregunta durante la presentación haga click en el botón “Ask a Question” Introduzca su pregunta en el recuadro que aparecerá en pantalla y haga click en el botón “Ask” Las preguntas se responderán al finalizar el webcast. Si envían una segunda pregunta, la primera será eliminada de la cola

7. Soporte técnico Entrar de nuevo en la Reunión Si su conexión a Internet se interrumpe o su explorador se detiene, vuelva a la ventana inicial de su explorador, (probablemente esté minimizada en su barra de tareas), y haga clic en el botón “Entrar de nuevo en la Reunión” para actualizar la sesión de conferencia . Soporte Técnico Si experimenta alguna dificultad técnica durante el evento de hoy, por favor, cambie a Rojo el color de su asiento o pulse asterisco y cero en su teléfono de llamada por tonos para pedir ayuda al operador. También puede envíar su pregunta de soporte técnico a través del panel Questions & Answers como si estuviese enviando una pregunta. Cuando esté listo para comenzar indíquelo en el recuadro “Seating Chart”

8. Cuestionario de evaluación online Su opinión es muy importante para nosotros Por favor, le agradeceríamos que nos enviase su feedback completando el cuestionario de evaluación en esta dirección www.microsoft.com/spain/TechNet/EvaluacionWebcast Recibirá un recordatorio por email en un par de días.

9. ¡¡ Comencemos a grabar!!

10. Implementando la Seguridad Perimetral y de Red Andrés Martín Technical Consultant Microsoft Consulting Services

11. Conocimientos imprescindibles Descripción de los fundamentos de seguridad de una red Experiencia práctica con Windows® Server 2000 o Windows Server™ 2003 Experiencia con las herramientas de administración de Windows Nivel 300

12. Orden del día Introducción Uso de defensas en el perímetro Uso de Microsoft® Internet Security and Acceleration (ISA) Server para proteger los perímetros Uso del cortafuegos de Windows para proteger a los clientes Protección de redes inalámbricas Protección de comunicaciones mediante IPSec

13. Defensa en profundidad El uso de una solución en niveles: Aumenta la posibilidad de que se detecten los intrusos Disminuye la posibilidad de que los intrusos logren su propósito Directivas, procedimientos y concienciación Refuerzo del sistema operativo, administración de actualizaciones, autenticación, HIDS Servidores de seguridad, sistemas de cuarentena en VPN Guardias de seguridad, bloqueos, dispositivos de seguimiento Segmentos de red, IPSec, NIDS Refuerzo de las aplicaciones, antivirus ACL, cifrado Programas de aprendizaje para los usuarios Seguridad física Perimetral Red interna Host Aplicación Datos

14. Propósito y limitaciones de las defensas de perímetro Los servidores de seguridad y enrutadores de borde configurados correctamente constituyen la piedra angular de la seguridad del perímetro Internet y la movilidad aumentan los riesgos de seguridad Las redes VPN han debilitado el perímetro y, junto con las redes inalámbricas, han ocasionado, esencialmente, la desaparición del concepto tradicional de perímetro de red Los servidores de seguridad tradicionales con filtrado de paquetes sólo bloquean los puertos de red y las direcciones de los equipos En la actualidad, la mayor parte de los ataques se producen en el nivel de aplicación

15. Propósito y limitaciones de las defensas de los clientes Las defensas de los clientes bloquean los ataques que omiten las defensas del perímetro o que se originan en la red interna Las defensas de los clientes incluyen, entre otras: Refuerzo de la seguridad del sistema operativo Programas antivirus Servidores de seguridad personales Las defensas de los clientes requieren que se configuren muchos equipos

16. Objetivos de seguridad en una red Confidencialidad Firewall de Windows IPSec 802.1x / WPA Servidor ISA Acceso remoto seguro Control de acceso a la red Detección de intrusos Defensa de los clientes Defensa del perímetro

17. Orden del día Introducción Uso de defensas en el perímetro Uso de ISA Server para proteger los perímetros Uso del cortafuegos de Windows para proteger a los clientes Protección de redes inalámbricas Protección de comunicaciones mediante IPSec

18. Información general sobre las conexiones de perímetro Internet Sucursales Socios comerciales Usuarios remotos Redes inalámbricas Aplicaciones de Internet Los perímetros de red incluyen conexiones a: Socio comercial LAN Oficina principal LAN Sucursal LAN Red inalámbrica Usuario remoto Internet

19. Diseño del servidor de seguridad: de triple interfaz Subred protegida Internet LAN Servidor de seguridad

20. Diseño del servidor de seguridad: de tipo opuesto con opuesto o sándwich Internet Externa Servidor de seguridad LAN Interna Servidor de seguridad Subred protegida

21. Tráfico peligroso que atraviesa los puertos abiertos y no es inspeccionado en el nivel de aplicación por el servidor de seguridad Tráfico que atraviesa un túnel o sesión cifrados Ataques que se producen una vez que se ha entrado en una red Tráfico que parece legítimo Usuarios y administradores que intencionada o accidentalmente instalan virus Administradores que utilizan contraseñas poco seguras Contra qué NO protegen los servidores de seguridad

22. Servidores de seguridad de software y de hardware El factor de decisión más importante es si un servidor de seguridad puede realizar las tareas necesarias. Con frecuencia, la diferencia entre los servidores de hardware y de software no resulta clara. Disponibilidad global Los servidores de seguridad de hardware suelen ser menos complejos. Complejidad Los servidores de seguridad de software permiten elegir entre hardware para una amplia variedad de necesidades y no se depende de un único proveedor para obtener hardware adicional. Elección de proveedores El precio de compra inicial para los servidores de seguridad de hardware podría ser inferior. Los servidores de seguridad de software se benefician del menor costo de las CPU. El hardware se puede actualizar fácilmente y el hardware antiguo se puede reutilizar. Costo Muchos servidores de seguridad de hardware sólo permiten una capacidad de personalización limitada. Extensibilidad La actualización de las vulnerabilidades y revisiones más recientes suele ser más fácil con servidores de seguridad basados en software. Descripción Flexibilidad Factores de decisión

23. Tipos de funciones de los servidores de seguridad Filtrado de paquetes Inspección de estado Inspección del nivel de aplicación Inspección multinivel (Incluido el filtrado del nivel de aplicación) Internet

24. Orden del día Introducción Uso de defensas en el perímetro Uso de ISA Server para proteger los perímetros Uso del cortafuegos de Windows para proteger a los clientes Protección de redes inalámbricas Protección de comunicaciones mediante IPSec

25. Objetivos de seguridad en una red * Detección básica de intrusos, que se amplía gracias al trabajo de los asociados Confidencialidad Firewall de Windows IPSec 802.1x / WPA * Servidor ISA Acceso remoto seguro Control de acceso a la red Detección de intrusos Defensa de los clientes Defensa del perímetro

26. Protección de los perímetros ISA Server tiene completas capacidades de filtrado: Filtrado de paquetes Inspección de estado Inspección del nivel de aplicación ISA Server bloquea todo el tráfico de red a menos que usted lo permita ISA Server permite establecer conexiones VPN seguras ISA Server tiene las certificaciones ICSA y Common Criteria

27. Protección de los clientes Las reglas de protocolo, reglas de sitio y contenido, y reglas de publicación determinan si se permite el acceso. Reglas El precio de compra inicial para los servidores de seguridad de hardware podría ser inferior. Los servidores de seguridad de software se benefician del menor costo de las CPU. El hardware se puede actualizar fácilmente y el hardware antiguo se puede reutilizar. Complementos Se admiten todos los clientes sin software especial. La instalación del software de servidor de seguridad ISA en clientes Windows permite utilizar más funciones. Clientes admitidos Procesa todas las solicitudes para los clientes y nunca permite las conexiones directas. Descripción Funciones de proxy Método

28. Protección de los servidores Web Reglas de publicación en Web Para proteger de ataques externos a los servidores Web que se encuentran detrás de los servidores de seguridad, inspeccione el tráfico HTTP y compruebe que su formato es apropiado y cumple los estándares Inspección del tráfico SSL Descifra e inspecciona las solicitudes Web entrantes cifradas para comprobar que su formato es apropiado y que cumple los estándares Si se desea, volverá a cifrar el tráfico antes de enviarlo al servidor Web

29. URLScan El paquete de características 1 de ISA Server incluye URLScan 2.5 para ISA Server Permite que el filtro ISAPI de URLScan se aplique al perímetro de la red Se produce un bloqueo general en todos los servidores Web que se encuentran detrás del servidor de seguridad Se bloquean en el perímetro los ataques conocidos y los descubiertos recientemente Servidor Web 1 ISA Server Servidor Web 2 Servidor Web 3

30. Protección de Exchange Server Protege el acceso del protocolo nativo de los clientes Microsoft Outlook® Publicación RPC Proporciona protección del servidor de solicitudes de cliente OWA para los usuarios remotos de Outlook que tienen acceso a Microsoft Exchange Server sin una VPN a través de redes que no son de confianza Publicación OWA Filtra los mensajes de correo electrónico SMTP que entran en la red interna Message Screener Configura reglas de ISA Server con el fin de publicar servicios de correo interno para usuarios externos de forma segura Descripción Asistente para publicación de correo Método

31. Demostración 1 Inspección del nivel de aplicación en ISA Server Publicación de Web URLScan Inspección SSL

32. Tráfico que omite la inspección de los servidores de seguridad Los túneles SSL atraviesan los servidores de seguridad tradicionales porque este tipo de tráfico está cifrado, lo que permite a los virus y gusanos pasar sin ser detectados e infectar los servidores internos El tráfico VPN se cifra y no se puede inspeccionar El tráfico de Instant Messenger (IM) no se suele inspeccionar y podría utilizarse para transferir archivos

33. Inspección de todo el tráfico Utilice sistemas de detección de intrusos y otros mecanismos para inspeccionar el tráfico VPN una vez descifrado Recuerde: defensa en profundidad Utilice un servidor de seguridad que pueda inspeccionar el tráfico SSL Expanda las capacidades de inspección del servidor de seguridad Utilice complementos para el servidor de seguridad que permitan inspeccionar el tráfico de IM

34. Inspección de SSL Los túneles SSL atraviesan los servidores de seguridad tradicionales porque este tipo de tráfico está cifrado, lo que permite a los virus y gusanos pasar sin ser detectados e infectar los servidores internos ISA Server puede descifrar e inspeccionar el tráfico SSL. El tráfico inspeccionado se puede enviar al servidor interno sin cifrar o cifrado de nuevo

35. Refuerzo de la seguridad de ISA Server Refuerzo de la pila de red Deshabilite los protocolos de red innecesarios en la interfaz de red externa: Cliente para redes Microsoft Compartir impresoras y archivos para redes Microsoft NetBIOS sobre TCP/IP

36. Recomendaciones Utilice reglas de acceso que únicamente permitan las solicitudes que se admitan de forma específica Utilice las capacidades de autenticación de ISA Server para restringir y registrar el acceso a Internet Configure reglas de publicación en Web para conjuntos de destinos específicos Utilice la inspección de SSL para inspeccionar los datos cifrados que entren en la red

37. Orden del día Introducción Uso de defensas en el perímetro Uso de ISA Server para proteger los perímetros Uso del cortafuegos de Windows para proteger a los clientes Protección de redes inalámbricas Protección de comunicaciones mediante IPSec

38. Objetivos de seguridad en una red Confidencialidad Firewall de Windows IPSec 802.1x / WPA Servidor ISA Acceso remoto seguro Control de acceso a la red Detección de intrusos Defensa de los clientes Defensa del perímetro

39. Información general sobre el cortafuegos de Windows Los puertos se pueden abrir para los servicios que se ejecutan en el equipo La administración corporativa se realiza a través de directivas de grupo Cortafuegos de Windows en Microsoft Windows XP y Microsoft Windows Server 2003 Ayuda a detener los ataques basados en la red, como Blaster, al bloquear todo el tráfico entrante no solicitado Qué es Qué hace Características principales

40. Se puede habilitar: Al activar una casilla de verificación Con el Asistente para configuración de red Con el Asistente para conexión nueva Se habilita de forma independiente en cada conexión de red Habilitar el cortafuegos de Windows

41. Servicios de red Aplicaciones basadas en Web Configuración avanzada del cortafuegos de Windows

42. Opciones de registro Opciones del archivo de registro Registro de seguridad del cortafuegos de Windows

43. Cortafuegos de Windows en la compañía Configure el cortafuegos de Windows mediante directivas de grupo Combine el cortafuegos de Windows con Control de cuarentena de acceso a la red

44. Utilice el cortafuegos de Windows en las oficinas domésticas y en las pequeñas compañías con el fin de proporcionar protección a los equipos que estén conectados directamente a Internet No active el cortafuegos de Windows en una conexión VPN (aunque debe habilitarlo en la conexión LAN o de acceso telefónico subyacente) Configure las definiciones de servicio para cada conexión de cortafuegos de Windows a través de la que desee que funcione el servicio Establezca el tamaño del registro de seguridad en 16 megabytes para impedir el desbordamiento que podrían ocasionar los ataques de denegación de servicio Recomendaciones

45. Demostración 2 Cortafuegos de Windows Configuración manual Prueba Revisión de los archivos de registro

46. Orden del día Introducción Uso de defensas en el perímetro Uso de ISA Server para proteger los perímetros Uso de Firewall de Windows para proteger a los clientes Protección de redes inalámbricas Protección de comunicaciones mediante IPSec

47. Objetivos de seguridad en una red Confidencialidad Firewall de Windows IPSec 802.1x / WPA Servidor ISA Acceso remoto seguro Control de acceso a la red Detección de intrusos Defensa de los clientes Defensa del perímetro

48. Limitaciones de Wired Equivalent Privacy (WEP) Las claves WEP estáticas no se cambian de forma dinámica y, por lo tanto, son vulnerables a los ataques No hay un método estándar para proporcionar claves WEP estáticas a los clientes Escalabilidad: el compromiso de una clave WEP estática expone a todos los usuarios Limitaciones del filtrado de direcciones MAC Un intruso podría suplantar una dirección MAC permitida Aspectos de seguridad en dispositivos inalámbricos

49. Autenticación de nivel 2 basada en contraseñas PEAP/MSCHAP v2 de IEEE 802.1x Autenticación de nivel 2 basada en certificados EAP-TLS de IEEE 802.1x Otras opciones Conexiones VPN L2TP/IPsec (la solución preferida) o PPTP No permite usuarios móviles Resulta útil cuando se utilizan zonas interactivas inalámbricas públicas No se produce la autenticación de los equipos ni se procesa la configuración establecida en directivas de grupo IPSec Problemas de interoperabilidad Posibles soluciones

50. Comparaciones de la seguridad de WLAN Bajos Baja Alto IPSec Bajos Media Alto (L2TP/IPSec) VPN Altos Baja Alto TLS de IEEE 802.1x Media Alta Facilidad de implementación Alto Bajo Nivel de seguridad Altos PEAP de IEEE 802.1X Altos WEP estático Facilidad de uso e integración Tipo de seguridad de WLAN

51. Define un mecanismo de control de acceso basado en puertos Funciona en cualquier tipo de red, tanto inalámbrica como con cables No hay ningún requisito especial en cuanto a claves de cifrado Permite elegir los métodos de autenticación con EAP Es la opción elegida por los elementos del mismo nivel en el momento de la autenticación El punto de acceso no tiene que preocuparse de los métodos de EAP Administra las claves de forma automática No es necesario programar previamente las claves de cifrado para la red inalámbrica 802.1x

52. 802.1x en 802.11 Ethernet Punto de acceso Servidor RADIUS RADIUS Equipo portátil Inalámbrico 802.11 Acceso permitido Inicio de EAPOL Identidad de respuesta de EAP Desafío de acceso de RADIUS Respuesta de EAP (credenciales) Acceso bloqueado Asociación Aceptación de acceso de RADIUS Identidad de solicitud de EAP Solicitud de EAP Solicitud de acceso de RADIUS Solicitud de acceso de RADIUS Asociado 802.11 Éxito de EAP Clave de EAPOL (clave)

53. Requisitos del sistema para 802.1x Cliente: Windows XP Servidor: IAS de Windows Server 2003 Servicio de autenticación Internet: nuestro servidor RADIUS Certificado en el equipo IAS 802.1x en Windows 2000 El cliente e IAS deben tener SP3 Vea el artículo 313664 de KB No se admite la configuración rápida en el cliente Sólo se admiten EAP-TLS y MS-CHAPv2 Es posible que los futuros métodos de EAP en Windows XP y Windows Server 2003 no se puedan utilizar

54. Configuración de 802.1x Configurar Windows Server 2003 con IAS Unir un dominio Inscribir un certificado de equipo Registrar IAS en Active Directory Configurar el registro RADIUS Agregar el punto de acceso como cliente RADIUS Configurar el punto de acceso para RADIUS y 802.1x Crear una directiva de acceso para clientes inalámbricos Configurar los clientes No olvide importar el certificado raíz

55. Directiva de acceso Condición de directiva El tipo de puerto NAS coincide con Wireless IEEE 802.11 o con otro tipo de red inalámbrica Grupo de Windows = <algún grupo de AD> Opcional; proporciona control administrativo Debe contener cuentas de usuario y de equipo

56. Perfil de directivas de acceso Perfil Tiempo de espera: 60 min. (802.11b) o 10 min. (802.11a/g) No elija métodos de autenticación regulares Tipo de EAP: EAP protegido; utilice certificados de equipo Cifrado: sólo el más seguro (MPPE de 128 bits) Atributos: Ignore-User-Dialin-Properties = True

57. Perfil de directivas de acceso Perfil Tiempo de espera: 60 min. (802.11b) o 10 min. (802.11a/g) No elija métodos de autenticación regulares Tipo de EAP: EAP protegido; utilice certificados de equipo Cifrado: sólo el más seguro (MPPE de 128 bits) Atributos: Ignore-User-Dialin-Properties = True

58. Perfil de directivas de acceso Perfil Tiempo de espera: 60 min. (802.11b) o 10 min. (802.11a/g) No elija métodos de autenticación regulares Tipo de EAP: EAP protegido; utilice certificados de equipo Cifrado: sólo el más seguro (MPPE de 128 bits) Atributos: Ignore-User-Dialin-Properties = True

59. Perfil de directivas de acceso Perfil Tiempo de espera: 60 min. (802.11b) o 10 min. (802.11a/g) No elija métodos de autenticación regulares Tipo de EAP: EAP protegido; utilice certificados de equipo Cifrado: sólo el más seguro (MPPE de 128 bits) Atributos: Ignore-User-Dialin-Properties = True

60. Perfil de directivas de acceso Perfil Tiempo de espera: 60 min. (802.11b) o 10 min. (802.11a/g) No elija métodos de autenticación regulares Tipo de EAP: EAP protegido; utilice certificados de equipo Cifrado: sólo el más seguro (MPPE de 128 bits) Atributos: Ignore-User-Dialin-Properties = True

61. Perfil de directivas de acceso Perfil Tiempo de espera: 60 min. (802.11b) o 10 min. (802.11a/g) No elija métodos de autenticación regulares Tipo de EAP: EAP protegido; utilice certificados de equipo Cifrado: sólo el más seguro (MPPE de 128 bits) Atributos: Ignore-User-Dialin-Properties = True

62. Especificación de mejoras en la seguridad interoperables y basadas en estándares que aumenta enormemente el nivel de protección de los datos y el control de acceso para los sistemas actuales y futuros de LAN inalámbrica WPA requiere la autenticación de 802.1x para el acceso de red Objetivos Cifrado mejorado de los datos Permitir la autenticación de los usuarios Compatible con versiones futuras de 802.11i Proporcionar una solución que no sea RADIUS para las oficinas domésticas o de pequeño tamaño Wi-Fi Alliance comenzó las pruebas de certificación de la interoperabilidad de los productos de WPA en febrero de 2003 Wireless Protected Access (WPA)

63. Recomendaciones Utilice la autenticación de 802.1x Organice en grupos a los usuarios y equipos inalámbricos Aplique directivas de acceso inalámbrico con directivas de grupo Utilice EAP-TLS para la autenticación basada en certificados y PEAP para la autenticación basada en contraseñas Configure una directiva de acceso remoto para permitir la autenticación de los usuarios y de los equipos Desarrolle un método que se ocupe de los puntos de acceso sospechosos, como la autenticación de 802.1x basada en LAN, las encuestas a sitios, la supervisión de la red y el entrenamiento de los usuarios

64. Orden del día Introducción a la defensa en profundidad Uso de defensas en el perímetro Uso de ISA Server para proteger los perímetros Uso del cortafuegos de Windows para proteger a los clientes Protección de redes inalámbricas Protección de comunicaciones mediante IPSec

65. Objetivos de seguridad en una red Confidencialidad Firewall de Windows IPSec 802.1x / WPA Servidor ISA Acceso remoto seguro Control de acceso a la red Detección de intrusos Defensa de los clientes Defensa del perímetro

66. ¿Qué es Seguridad de IP (IPSec)? Un método para proteger el tráfico IP Una estructura de estándares abiertos desarrollada por el Grupo de trabajo de ingeniería de Internet (IETF, Internet Engineering Task Force ) ¿Por qué se debe utilizar IPSec? Para garantizar que las comunicaciones se cifran y se autentican en el nivel IP Para proporcionar seguridad en el transporte independiente de las aplicaciones o de los protocolos del nivel de aplicación Introducción a IPSec

67. Filtrado básico para permitir o bloquear paquetes Comunicaciones seguras en la LAN interna Replicación en los dominios a través de servidores de seguridad Acceso a VPN a través de medios que no son de confianza Escenarios de IPSec

68. Filtros para tráfico permitido y bloqueado No se produce ninguna negociación real de las asociaciones de seguridad de IPSec Los filtros se solapan: la coincidencia más específica determina la acción No proporciona filtrado de estado Se debe establecer &quot;NoDefaultExempt = 1&quot; para que sea seguro Implementación del filtrado de paquetes de IPSec Bloquear N/D N/D Cualquiera Mi IP de Internet Cualquiera Permitir 80 Cualquiera TCP Mi IP de Internet Cualquiera Acción Puerto de destino Puerto de origen Protocolo A IP Desde IP

69. Los paquetes IP suplantados contienen consultas o contenido peligroso que puede seguir llegando a los puertos abiertos a través de los servidores de seguridad IPSec no permite la inspección de estado Muchas herramientas que utilizan los piratas informáticos emplean los puertos de origen 80, 88, 135 y otros para conectar a cualquier puerto de destino El filtrado de paquetes no es suficiente para proteger un servidor

70. Direcciones de difusión IP No puede proteger a varios receptores Direcciones de multidifusión De 224.0.0.0 a 239.255.255.255 Kerberos: puerto UDP 88 de origen o destino Kerberos es un protocolo seguro, que el servicio de negociación IKE puede utilizar para la autenticación de otros equipos en un dominio IKE: puerto UDP 500 de destino Obligatorio para permitir que IKE negocie los parámetros de seguridad de IPSec Windows Server 2003 configura únicamente la exención predeterminada de IKE Tráfico que IPSec no filtra

71. Comunicaciones internas seguras Utilice IPSec para permitir la autenticación mutua de dispositivos Utilice certificados o Kerberos La utilización de claves compartidas sólo es conveniente para pruebas Utilice Encabezado de autenticación (AH) para garantizar la integridad de los paquetes El Encabezado de autenticación proporciona integridad en los paquetes El Encabezado de autenticación no cifra, con lo que se basa en los sistemas de detección de intrusos de red Utilice Carga de seguridad encapsuladora (ESP) para cifrar el tráfico sensible ESP proporciona integridad en los paquetes y confidencialidad El cifrado impide la inspección de los paquetes Planee minuciosamente qué tráfico debe protegerse

72. IPSec para la replicación de dominios Utilice IPSec para la replicación a través de servidores de seguridad En cada controlador de dominio, cree una directiva IPSec para proteger todo el tráfico a la dirección IP del otro controlador de dominio Utilice ESP 3DES para el cifrado Permita el tráfico a través del servidor de seguridad: Puerto UDP 500 (IKE) Protocolo IP 50 (ESP)

73. Acceso de VPN a través de medios que no son de confianza VPN de cliente Utilice L2TP/IPSec VPN de sucursal Entre Windows 2000 o Windows Server, con RRAS: utilice túnel L2TP/IPSec (fácil de configurar, aparece como una interfaz enrutable) A una puerta de enlace de terceros: utilice L2TP/IPSec o el modo de túnel puro de IPSec A la puerta de enlace RRAS de Microsoft Windows NT® 4: utilice PPTP (IPSec no está disponible)

74. Rendimiento de IPSec El procesamiento de IPSec tiene algunas consecuencias en el rendimiento Tiempo de negociación de IKE, inicialmente entre 2 y 5 segundos 5 recorridos de ida y vuelta Autenticación: Kerberos o certificados Generación de claves criptográficas y mensajes cifrados Se realiza una vez cada ocho horas de forma predeterminada y se puede configurar El cambio de claves de la sesión es rápido:< entre uno y dos segundos, dos recorridos de ida y vuelta, una vez cada hora y se puede configurar Cifrado de paquetes ¿Cómo se puede mejorar? Al descargar el proceso criptográfico en NIC, IPSec casi alcanza la velocidad de los dispositivos con cable Mediante CPU más rápidas

75. Recomendaciones Planee minuciosamente la implementación de IPSec Elija entre AH y ESP Utilice directivas de grupo para implementar directivas IPSec Considere el uso de NIC de IPSec No utilice nunca la autenticación con claves compartidas fuera de un entorno de prueba Elija entre la autenticación basada en Kerberos o en certificados Tenga cuidado al requerir el uso de IPSec para las comunicaciones con controladores de dominio y otros servidores de infraestructuras

76. Resumen de la sesión Introducción a la defensa en profundidad Uso de defensas en el perímetro Uso de ISA Server para proteger los perímetros Uso del Cortafuegos de Windows para proteger a los clientes Protección de redes inalámbricas Protección de redes mediante IPSec

77. Pasos siguientes Mantenerse informado sobre seguridad Suscribirse a boletines de seguridad: http://www.microsoft.com/spain/technet/seguridad/boletines Obtener las directrices de seguridad de Microsoft más recientes: http://www.microsoft.com/spain/technet/seguridad/areas/desarrolladores/guias.asp CD Technet Security Guidance (se pide en web de seg. TechNet) Obtener aprendizaje adicional de seguridad Buscar seminarios de aprendizaje online- presenciales http://www.microsoft.com/spain/technet/seminarios Buscar un CTEC local que ofrezca cursos prácticos: http://www.microsoft.com/spain/technet/formacion/ctec/

78. Para obtener más información Sitio de seguridad de Microsoft (todos los usuarios) http://www.microsoft.com/spain/seguridad Sitio de seguridad de TechNet (profesionales de IT) http://www.microsoft.com/spain/technet/ seguridad Sitio de seguridad de MSDN (desarrolladores) http://msdn.microsoft.com/security (este sitio está en inglés)

79. Preguntas y respuestas

80. ¿Preguntas? Si tiene alguna pregunta, por favor haga click en el botón “Ask a Question” Introduzca su pregunta en el recuadro que aparecerá en pantalla y haga click en el botón “Ask”

81. Preguntas y respuestas

82. Próximo Webcast Como Implementar Seguridad en Entornos Cliente Windows XP y Windows 2000 24 marzo – 17:00 h Registro en: www.microsoft.com/spain/TechNet

83. Cuestionario de evaluación online Su opinión es muy importante para nosotros www.microsoft.com/spain/TechNet/EvaluacionWebcast Recibirá un recordatorio por email en un par de días.