Firewall

``

• Redes
• ciberseguridad

  Concepto general

  Un firewall es un sistema de seguridad que controla y filtra el tráfico de red entre distintos segmentos (interno/externo, confianza/no confianza) basándose en reglas, políticas y contexto. Puede implementarse como software, hardware o servicio cloud, y es un componente central en arquitecturas de ciberseguridad modernas.

Sus funciones principales incluyen:

• Control de acceso basado en IP, puertos y protocolos.
• Inspección del tráfico entrante y saliente.
• Segmentación de red y contención de amenazas.
• Registro y monitorización de eventos de seguridad.
• Integración con otros sistemas (SIEM, EDR, IAM).

Tipos de firewall

Firewall tradicional (Stateful)

• Inspecciona conexiones en función del estado de la sesión.
• Basado en reglas de red (IP, puerto, protocolo).
• Limitado frente a ataques a nivel aplicación.

NGFW

Un Next Generation Firewall amplía el firewall tradicional incorporando inspección profunda y contexto de aplicación.

Características clave:

• Inspección L7 (capa de aplicación).
• Control por aplicaciones y usuarios.
• Integración con IDS/IPS.
• Filtrado web y control de contenido.
• Protección contra malware y amenazas avanzadas.

Enlace:

• [Firewall de nueva generación

  ¿Qué es un NGFW?

  Cloudflare](https://www.cloudflare.com/es-es/learning/security/what-is-next-generation-firewall-ngfw/)

Firewall de Aplicación Web

Servicio WAF

Un Web Application Firewall protege aplicaciones web frente a ataques específicos de capa 7.

Casos de uso:

• Protección contra OWASP Top 10 (SQLi, XSS, RCE, LFI).
• Mitigación de bots maliciosos y scraping.
• Validación de headers, cookies y parámetros HTTP.
• Protección de APIs REST y GraphQL.

Implementaciones habituales:

• WAF cloud (reverse proxy).
• WAF integrado en balanceadores.
• WAF on-premise.

Se integra frecuentemente con:

• CDN
• SIEM
• Sistemas de rate-limiting y anti-DDoS

Firewall en virtualización y cloud

NSX

VMware NSX proporciona firewalls definidos por software a nivel de hipervisor, permitiendo microsegmentación avanzada.

Ventajas:

• Reglas distribuidas por máquina virtual.
• Microsegmentación este-oeste.
• Integración nativa con entornos VMware.
• Automatización mediante políticas dinámicas.

Componentes relevantes:

• Distributed Firewall (DFW).
• Edge Firewall.
• Integración con orquestadores y SDN.

Enlace:

• Configurar el NSX-v Edge Firewall (EN) - OVHcloud

Firewall comercial

fortigate

FortiGate es una familia de firewalls NGFW de Fortinet, ampliamente utilizada en entornos empresariales.

Funciones principales:

• NGFW con inspección profunda.
• VPN IPsec y SSL.
• IDS/IPS integrado.
• Filtrado web y control de aplicaciones.
• Gestión centralizada mediante FortiManager.

Casos de uso:

• Perímetro corporativo.
• Segmentación interna.
• Protección de sucursales y entornos híbridos.

Enlace:

• firewall-fortigate

Arquitectura y buenas prácticas

• Principio de deny all por defecto.
• Reglas específicas y documentadas.
• Separación de entornos (producción, pruebas, desarrollo).
• Microsegmentación siempre que sea posible.
• Logs enviados a SIEM para correlación.
• Revisión periódica de reglas obsoletas.
• Integración con WAF y EDR para defensa en profundidad.

Relación con otros controles de seguridad

• WAF: protección específica de aplicaciones web.
• IDS/IPS: detección y prevención de intrusiones.
• EDR/XDR: visibilidad y respuesta en endpoints.
• SIEM: correlación y análisis de eventos.
• Zero Trust: control basado en identidad y contexto, no solo red.

Firewall – Expansión de conceptos y temas avanzados

Políticas y gestión de reglas

Las políticas de firewall definen cómo se permite o bloquea el tráfico y deben alinearse con el riesgo y el negocio.

Aspectos clave:

• Orden y prioridad de reglas.
• Separación entre reglas de acceso, NAT y seguridad.
• Uso de objetos (redes, servicios, grupos).
• Políticas basadas en identidad (usuario, rol, dispositivo).
• Control de cambios y versionado.

Buenas prácticas:

• Minimizar reglas amplias.
• Documentar propósito y propietario de cada regla.
• Revisiones periódicas (rule recertification).
• Eliminación de reglas huérfanas o redundantes.

NAT y control de direccionamiento

El Network Address Translation es una función crítica del firewall moderno.

Tipos comunes:

• SNAT (Source NAT).
• DNAT (Destination NAT).
• PAT (Port Address Translation).
• NAT estático vs dinámico.

Casos de uso:

• Publicación de servicios internos.
• Ocultación de red interna.
• Integración con balanceadores y WAF.

Riesgos:

• Exposición accidental de servicios.
• Dificultad en trazabilidad si no se loguea correctamente.

VPN y acceso seguro

Los firewalls suelen actuar como gateways VPN para acceso remoto o interconexión de redes.

Modalidades:

• VPN IPsec site-to-site.
• VPN SSL para usuarios remotos.
• VPN con autenticación multifactor.
• Integración con directorios (LDAP, AD).

Controles recomendados:

• Cifrado fuerte y algoritmos actualizados.
• Restricción por perfil y postura del dispositivo.
• Segmentación del tráfico VPN.

Alta disponibilidad y resiliencia

Un firewall es un punto crítico de la infraestructura.

Mecanismos habituales:

• Active/Active.
• Active/Passive.
• Clustering y sincronización de estado.
• Failover automático.

Consideraciones:

• Impacto en sesiones activas.
• Sincronización de reglas y objetos.
• Pruebas periódicas de conmutación.

Rendimiento y escalabilidad

El firewall debe dimensionarse según carga real y crecimiento esperado.

Factores que afectan al rendimiento:

• Inspección profunda L7.
• TLS inspection.
• Número de reglas.
• Logging intensivo.
• Tráfico cifrado.

Estrategias:

• Offloading TLS cuando sea posible.
• Separación de funciones (WAF, DDoS, FW).
• Escalado horizontal en entornos cloud.

Firewall en entornos cloud nativos

En la nube, el firewall se integra como servicio distribuido.

Características:

• Security Groups y Network Security Groups.
• Firewalls gestionados como servicio.
• Políticas declarativas.
• Integración con etiquetas y metadatos.

Ventajas:

• Escalado automático.
• Alta disponibilidad por diseño.
• Menor gestión operativa.

Limitaciones:

• Menor control de bajo nivel.
• Dependencia del proveedor.

Automatización y Firewall as Code

La gestión moderna del firewall tiende a la infraestructura como código.

Herramientas y enfoques:

• APIs REST de firewalls.
• Integración con CI/CD.
• Plantillas y despliegues reproducibles.
• Validación automática de reglas.

Beneficios:

• Menos errores humanos.
• Cambios auditables.
• Mayor velocidad operativa.

Logging, visibilidad y análisis

El firewall es una fuente clave de telemetría.

Eventos relevantes:

• Conexiones permitidas y bloqueadas.
• Cambios de configuración.
• Eventos de IPS.
• Anomalías de tráfico.

Integraciones:

• SIEM
• SOAR
• Plataformas XDR

Objetivo:

• Detección temprana.
• Investigación forense.
• Cumplimiento normativo.

Cumplimiento y auditoría

El firewall contribuye al cumplimiento de normativas y marcos de seguridad.

Ejemplos:

• ISO 27001.
• NIST.
• PCI-DSS.
• ENS.

Requisitos habituales:

• Segmentación de redes.
• Control de acceso documentado.
• Retención de logs.
• Evidencias de revisión de reglas.

Evolución del firewall

Tendencias actuales:

• Firewalls orientados a identidad.
• Integración con Zero Trust.
• Uso de IA para detección de anomalías.
• Convergencia con SASE y SSE.
• Menor dependencia de perímetros clásicos.

El firewall deja de ser solo un control perimetral y pasa a ser un componente distribuido y contextual dentro de la arquitectura de seguridad.

Recursos y herramientas de Firewall y WAF – Estado 2025

NGFW y firewalls empresariales (hardware/software)

Lista de soluciones NGFW y firewalls líderes a 2025 con enfoques empresariales, cloud e integrados con IA y Zero Trust:

Principales proveedores NGFW

• Palo Alto Networks NGFW – líder en detección de amenazas, ML/IA, inspección profunda, Zero Trust y SD‑WAN; fuerte soporte cloud híbrido. Network Educative
• Fortinet FortiGate Series – NGFW con UTM, rendimiento alto, integraciones SD‑WAN y protección unificada. Nomios
• Check Point Quantum – arquitectura modular, protección avanzada y gestión centralizada. Cybersecurity News
• Cisco Secure Firewall – firewall empresarial con IA y ataque/defensa avanzada y visibilidad L7. Nomios
• Juniper SRX Series – firewall de alto rendimiento con integración de routing y SD‑WAN. SCM Galaxy
• Sophos Firewall / XG – IA con protección sincronizada y fácil gestión. SCM Galaxy
• Barracuda CloudGen Firewall – firewall cloud‑native con SD‑WAN. SCM Galaxy
• WatchGuard Firebox – firewall para SMB con gestión unificada. Cybersecurity News
• pfSense / Netgate – firewall open‑source con extensiones y fuerte personalización. Cotocus

Firewalls con integración IA avanzada

• Sangfor Network Secure NGAF – NGFW con IA, ML, SOC Lite y NG‑WAF integrado, detección automática de amenazas y engaño de nube. Sangfor

WAF (Web Application Firewall) y soluciones cloud

Principales WAF‑as‑a‑Service

• Cloudflare WAF – líder según informes de mercado, con mitigación de bots, API security, protección DDoS integrada y ML. Cloudflare Blog
• AWS WAF – WAF escalable en AWS con reglas gestionadas y personalizables. TechRadar
• Imperva WAF – WAF cloud con filtrado avanzado y mitigación global de ataques. TechRadar
• Perimeter 81 – Firewall‑as‑a‑Service con controles de acceso y segmentación centralizada. TechRadar
• NordLayer Cloud Firewall – integración con VPN, tráfico DNS seguro y filtrado UTM en la nube. TechRadar

WAF on‑premise / open source

• ModSecurity – WAF open‑source con motor de reglas SecRules, extensible y ampliamente compatible. Wikipedia
• OpenAppSec / Coraza – alternativas modernas open‑source (según comunidad), aplicaciones WAF híbridas o integradas. Reddit

Herramientas de evaluación y gestión

Auditoría, análisis y automatización

• ManageEngine Firewall Analyzer – monitorización, análisis de tráfico y auditoría de reglas. TechRadar
• AlgoSec Firewall Orchestration – automatización de políticas de firewall multi‑vendor y cumplimiento. TechRadar
• FireMon – control granular y auditoría avanzada de cambios de ruleset. TechRadar
• SkyBox Security Suite – simulación de amenazas, modelado de políticas y riesgo de red. TechRadar

Software firewall (estaciones y redes pequeñas)

Según comparativas 2025:

• Bitdefender Total Security – suite con firewall, anti‑malware y privacidad. TechRadar
• Norton 360 Deluxe – firewall integrado con VPN y controles adicionales. TechRadar
• ZoneAlarm Free Firewall – firewall gratuito con protección bidireccional para Windows. TechRadar
• TinyWall – firewall ligero sin ventanas emergentes. TechRadar

Investigación académica y tendencias emergentes (2025)

• Interfaces de lenguaje natural para configuración de firewall – investigación que permite definir políticas en lenguaje humano y compilar reglas automáticamente con validación y simulación. arXiv
• IA adaptativa para optimización dinámica de reglas – sistemas que actualizan reglas en base a patrones y amenazas en tiempo real. arXiv
• ML en WAF para detección de anomalías y falsos positivos reducidos – investigación de arquitecturas duales de ML para mejorar precisión. arXiv
• GenXSS frameworks que usan LLM para generar y defender contra ataques XSS complejos en WAFs. arXiv

Recursos de aprendizaje y referencias

Documentación, comparativas y guías

• Comparativas de NGFW y WAF en 2025 – análisis de características, integración cloud y rendimiento entre soluciones destacadas. SCM Galaxy
• Gartner / Forrester insights 2025 – líderes de mercado NGFW y WAF según evaluaciones analíticas. Network Educative
• Guías de selección SMB vs Enterprise – resincronización entre requerimientos de negocio y capacidades de firewall/WAF. TechRadar

Notas de adopción y mercado 2025

• El mercado NGFW sigue creciendo con foco en Zero Trust, cloud nativo y IA integrada. Fortune Business Insights
• Soluciones cloud‑managed y Firewall as a Service ganan tracción por su facilidad de despliegue y escalabilidad global. TechRadar

Guía de uso, configuraciones y ejemplos prácticos de Firewall y WAF – 2025

Configuración básica de un firewall NGFW

Ejemplo genérico de políticas

1. Definir zonas:
   • Internal → red interna.
   • DMZ → servidores públicos.
   • External → Internet.
2. Política por defecto:
   • Bloquear todo tráfico entrante.
   • Permitir solo lo estrictamente necesario.
3. Reglas específicas:
   • Permitir HTTP/HTTPS desde External → DMZ (servidores web).
   • Permitir SSH solo desde IPs administrativas.
   • Permitir tráfico interno completo entre Internal → DMZ para gestión.

Ejemplo CLI FortiGate

config firewall policy
	edit 1
		set name "HTTP-HTTPS_DMZ"
		set srcintf "External"
		set dstintf "DMZ"
		set srcaddr "all"
		set dstaddr "web_servers"
		set action accept
		set schedule "always"
		set service "HTTP" "HTTPS"
		set logtraffic all
	next
end

`

Ejemplo CLI pfSense (Open Source)

# Permitir tráfico HTTP/HTTPS a la DMZ
pass in quick on em0 proto tcp from any to $WEB_SERVERS port {80,443} keep state

Configuración de WAF – protección de aplicaciones web

Cloudflare WAF

1. Crear reglas de firewall:
   • Bloquear IPs con actividad sospechosa.
   • Mitigar ataques de SQLi y XSS.
2. Aplicar reglas OWASP CRS:
   • Activar conjunto de reglas predefinidas.
3. Monitoreo y alertas:
   • Activar logs y dashboards en Cloudflare Analytics.

Ejemplo de regla personalizada Cloudflare

If (http.request.uri.path contains "/admin") then
	Block

ModSecurity (on-premise)

1. Configuración básica en Apache:

LoadModule security2_module modules/mod_security2.so
Include modsecurity.d/*.conf
SecRuleEngine On
SecRequestBodyAccess On
SecRule REQUEST_URI "@rx /admin" "id:1001,phase:2,deny,log,msg:'Bloqueo admin'"

Implementación de firewall en NSX (VMware)

1. Configurar Distributed Firewall:
   • Definir perfiles de seguridad por VM.
   • Aplicar reglas L2-L7 entre segmentos internos.
2. Configurar Edge Firewall:
   • Publicar servicios desde DMZ hacia Internet.
   • Configurar NAT y políticas de inspección.

Ejemplo NSX Edge (CLI OVH)

set firewall policy 101
	set action allow
	set source any
	set destination 192.168.10.10
	set service http https
commit

Segmentación y Zero Trust

• Crear microsegmentos internos por aplicación/servicio.
• Aplicar firewall distribuido con inspección este-oeste.
• Reglas basadas en identidad y rol (integración con AD/LDAP).

Ejemplo de política Zero Trust

Fuente	Destino	Aplicación	Acción
Grupo_Dev	Servidor_DB	MySQL	Permitir
Todos	Servidor_Admin	SSH	Denegar

VPN y acceso remoto seguro

• Configurar firewall como gateway VPN.
• Usar cifrado fuerte (AES-256) y autenticación multifactor.
• Limitar acceso a subredes y servicios específicos.

Ejemplo FortiGate VPN SSL

config vpn ssl settings
	set servercert "FGT_SSL"
	set tunnel-ip-pools "VPN_POOL"
	set source-interface "wan1"
	set default-portal "full-access"
end

Monitoreo y logs

• Activar logging en todas las reglas críticas.
• Integrar con SIEM o XDR.
• Configurar alertas por anomalías de tráfico.

Ejemplo alerta básica en firewall Fortinet

config log eventfilter
	set severity information
	set filter "traffic-deny"
end

Mejores prácticas de implementación

• Revisar reglas periódicamente y eliminar obsoletas.
• Hacer pruebas de penetración en entornos de prueba antes de producción.
• Integrar firewall y WAF con detección de amenazas centralizada.
• Documentar todas las políticas y mantener versionado.
• Implementar alta disponibilidad para servicios críticos.
• Separar entornos (producción, desarrollo, pruebas) mediante zonas y microsegmentos.

Ejemplo de arquitectura práctica

Internet
   |
[NGFW / Edge Firewall]
   |       \
   |       [WAF Cloud/On-Prem]
   |             |
[DMZ: Servidores Web/API] 
   |
[Internal Network: DB, Admin, App Servers]

• Firewall perímetro: inspección L3-L7.
• WAF: protección aplicación y mitigación bots.
• Firewall distribuido / NSX: microsegmentación este-oeste.
• Logs centralizados: SIEM/XDR.

Arquitectura interna del Firewall – 2025

Componentes principales de un firewall

Un firewall moderno, ya sea NGFW, WAF o distribuido, se compone de varios módulos internos que trabajan en conjunto para inspeccionar, filtrar y controlar el tráfico.

1. Motor de inspección de paquetes

• Analiza tráfico a nivel de red y transporte (L3/L4).
• Evalúa:
  • IP de origen/destino.
  • Puertos y protocolos.
  • Estado de la conexión (stateful inspection).
• Permite implementar reglas básicas de filtrado y NAT.

2. Motor de inspección profunda (DPI – Deep Packet Inspection)

• Analiza contenido a nivel aplicación (L7).
• Reconoce aplicaciones, protocolos y contenido de paquetes.
• Detecta amenazas como:
  • SQLi, XSS, RCE.
  • Malware en tráfico HTTP/HTTPS.
• Permite aplicar NGFW y políticas de aplicación.

3. Motor de seguridad avanzada / IPS

• Inspección de patrones de ataque conocidos.
• Prevención de intrusiones y exploits.
• Integración con:
  • Listas de amenazas externas (Threat Intelligence).
  • Sistemas de correlación centralizada (SIEM/XDR).

4. Motor de gestión de políticas

• Almacena reglas de firewall y WAF.
• Evalúa prioridades y conflictos entre políticas.
• Permite automatización y control centralizado.
• Soporta role-based access control (RBAC) para administradores.

5. Motor de registro y logging

• Captura eventos de tráfico, alertas y cambios de configuración.
• Envía logs a sistemas externos:
  • SIEM.
  • Plataformas de análisis forense.
• Permite auditorías y cumplimiento normativo.

6. Módulo de NAT y direccionamiento

• Traduce direcciones IP de origen y destino.
• Aplica reglas de SNAT, DNAT y PAT.
• Facilita publicación de servicios internos y ocultación de red interna.

7. Módulo de inspección SSL/TLS

• Desencripta tráfico cifrado para inspección.
• Inspección de tráfico HTTPS sin comprometer seguridad.
• Soporta certificados propios y validación de confianza.
• Evita cadenas de ataque cifradas.

8. Integración con sistemas externos

• Gestión centralizada (FireMon, AlgoSec, NSX Manager).
• Threat Intelligence Feeds para actualización dinámica de firmas.
• Integración con WAF, IDS/IPS, EDR y XDR.
• Automatización mediante APIs y Infrastructure as Code.

Flujo de tráfico interno

1. Paquetes entrantes llegan al motor de interfaz de red.
2. Se aplica filtrado L3/L4 por el motor de inspección de paquetes.
3. Se evalúan políticas de NAT y direccionamiento.
4. Se analiza el tráfico con DPI / motor L7.
5. Se verifica si hay amenazas conocidas (IPS/Threat Intelligence).
6. Se aplica la política de firewall/WAF.
7. Se registra el evento y se envían logs a SIEM/XDR.
8. El tráfico permitido es reenviado a la red interna o DMZ.

Diagrama conceptual

            | Interfaz de red      |
                     |
                     v
            | Motor L3/L4          |
                     |
                     v
            | NAT / Direccionamiento|
                     |
                     v
            | DPI / L7 Inspection |
                     |
                     v
            | IPS / Motor de Seguridad|
                     |
                     v
            | Motor de políticas  |
                     |
                     v
            | Logging / SIEM      |
                     |
                     v
            | Tráfico permitido   |

Consideraciones de diseño

• Separación de módulos permite mejor rendimiento y escalabilidad.
• El tráfico cifrado requiere inspección TLS dedicada.
• Políticas deben aplicarse de forma jerárquica para evitar conflictos.
• Integración con sistemas externos mejora visibilidad y respuesta a incidentes.
• Microsegmentación y firewall distribuido optimizan la seguridad este-oeste en entornos virtualizados.