Los complejos escenarios de empresas con trabajadores virtuales desperdigados en un área geográfica extensa, con varias sucursales y servidores interconectados hacen que el manejo de la seguridad de una red empresarial sea cada vez una mayor pesadilla. En Redmond se dieron cuenta de esto y realizan un planteamiento para resolverlo en su nuevo sistema operativo

La profusión en estos días de computadoras portátiles, puntos de acceso inalámbrico y dispositivos móviles al estilo de los iPod y los teléfonos inteligentes, han causado serias pesadillas en la seguridad de las redes locales empresariales ya que estos dispositivos que se enfrentan la mayoría del tiempo a las amenazas externas de la red, son después conectados en el lado de adentro del cortafuegos (firewall) de la empresa y tratados como equipos confiables, cuando en realidad pueden ser portadores de virus y troyanos.

Bill Laing, Gerente General de Servidores de Microsoft ha conversado con PCWORLD Venezuela en varias ocasiones –la última en el lanzamiento de Windows Server 2008(WS2008)— sobre los aspectos de seguridad que este escenario ha obligado a considerar.

WS2008 incorpora una política de conexión de computadoras cliente mejorada que logra minimizar el impacto del escenario planteado. El sistema, a decir de Laing, incorpora novedoso mecanismos para aumentar la seguridad incluyendo el protocolo de Acceso de Red Protegida (NAP por sus siglas en inglés) la gerencia de federada de derechos, los controladores de Dominio de sólo lectura, la tecnología BitLocker y un mejor manejo de derechos del Directorio Activo.

Al usar NAP el servidor obliga a que los PCs que se conecten a él llenen una serie de requisitos previamente definidos por las políticas de seguridad de la compañía, entre las que pueden estar la necesidad de contar con el software antivirus al día, tener instaladas las actualizaciones críticas del sistema y mucho más. Hasta que estas condiciones se cumplan, el PC puede permanecer aislado, en una especie de cuarentena, sin conexión a todos los servicios y directorios del servidor.

Cuando una empresa cuenta con varios servidores desperdigados en una serie de sedes distintas, la administración y seguridad de cada directorio de usuarios puede ser un dolor de cabeza. Laing señala que para aliviar esta situación se crearon los Controladores de Dominio de sólo lectura, servidores que sólo realizan una copia del Directorio Activo principal y no permiten modificaciones locales de las entradas al mismo. Cada controlador de sólo lectura mantiene el mínimo de información necesaria y sólo acepta modificaciones provenientes de su controlador principal, aliviando los trabajos de administración.

Según Laing una de las principales preocupaciones de los administradores era cómo mantener la coherencia de las políticas de seguridad en su red, por lo que Microsoft creó una herramienta de ayuda (Wizard) que permite aplicar las mismas políticas en los diferentes servidores.

Otra pieza fundamental para la seguridad es la inclusión de más servicios para la gerencia de los derechos de los usuarios contenidos en el Directorio Activo (AD-RMS) que previene el uso indebido de recursos (documentos, correo electrónico, servicios) por parte de personas no autorizadas, ya que el dueño de cada recurso es capaz de restringir el uso o acceso al mismo, lo que reduce las probabilidades de robo de información.

La seguridad del sistema está en gran parte basada en los roles y políticas, y en la facilidad de elaborarlas y distribuirlas en toda la red. Sin embargo hay muchas otras características técnicas que ayudan a lograr un entorno seguro, como lo es el soporte para las tecnologías de encriptamiento más avanzadas, como NSA Suite B and Elliptic Curve.

Un núcleo más seguro

Sin embargo, Microsoft no es famosa por su buena seguridad, a decir de muchos, sino más bien lo contrario. Los defensores de la compañía, por su parte, argumentan que las fallas en el sistema son más notorias por ser tan popular. Sin tomar partido para ningún bando, lo cierto es que algunas partes del sistema, como el servidor Web IIS o la base de datos SQLServer, son objeto de intensas pesquisas por parte de los hackers para encontrar vulnerabilidades y Microsoft no desconoce está realidad.

En WS2008 se incorpora una nueva funcionalidad que permite a los administradores reducir el tamaño del sistema para eliminar vulnerabilidades llamada “Server Core Installation” que configura el sistema para contar con sólo las funcionalidades requeridas, eliminando las no requeridas y reduciendo, al menos en algunos casos, su vulnerabilidad. Existen pre configuraciones para las diferentes tareas del servidor como: servidor de DHCP, servidor de Directorio Activo (completo o ligero), servidor de nombres de dominio (DNS), servidor de impresión, servidor de respaldo de datos (backup), y servidor Web entre otros.