Los dispositivos de seguridad Allied Telesis AR4050S Next-Generation Firewall ofrecen un avanzado sistema de prevención de intrusiones (IPS) que protege las redes contra ataques conocidos y vulnerabilidades explotadas a través de diversas técnicas. La configuración del IPS es fundamental para fortalecer la postura de seguridad del perímetro, evitando accesos no autorizados o compromisos internos derivados de explotación de protocolos comunes como SMTP, UDP, HTTP o IP.
Campos principales
La tabla de categorías de prevención de intrusiones consta de varias entradas configurables con acciones definidas para cada tipo de exploit detectado, lo que permite al administrador optar por bloquear, registrar o ignorar ciertos eventos según el impacto deseado en la operación de red:
- SMTP Exploits: Corresponde a ataques aprovechando vulnerabilidades del protocolo SMTP. Acciones posibles: Block, Log o Ignore. En la configuración analizada se establece el bloqueo, garantizando una defensa activa contra exploits en este servicio de correo.
- Packet Checksum Exploits: Ataques que intentan alterar o aprovechar inconsistencias en la suma de verificación de paquetes IP. Se puede elegir registrar (Log) o ignorar. No está activo el bloqueo, minimizando posibles falsos positivos pero manteniendo registro para auditoría.
- UDP Exploits: Exploits dirigidos a vulnerabilidades de UDP. La acción configurada es registrar eventos sin bloqueo automático, lo que facilita la monitorización sin afectar tráfico legítimo.
- HTTP Exploits: Ataques sobre el protocolo HTTP, muy comunes para inyección y exploit web. Aquí también se elige registrar para evaluar patrones de ataque y tomar decisiones posteriores.
- IP Exploits: Incluye vulnerabilidades en el núcleo del protocolo IP. La configuración predomina el registro para detectar posibles anomalías sin interrumpir tráfico regular.
- PPP Exploits: Exploits que aprovechan el Protocolo Punto a Punto para acceder o manipular conexiones. Se registra para revisión pero no se bloquea de forma preventiva.
Compatibilidad de versiones y modelos
Este sistema de prevención de intrusiones está disponible en firmwares modernos a partir de versiones 3.x en adelante, incluidos releases estables posteriores a 3.4, optimizados para dispositivos Allied Telesis AR4050S y otros modelos de la gama AR-NGFW (Next-Generation Firewall). Estos firewalls integran hardware dedicado y suficiente capacidad para manejar inspección profunda sin impactar negativamente la latencia ni el throughput.
Para otros dispositivos Telesis fuera de la serie AR-NGFW, especialmente los switches con funcionalidades básicas de firewall, el IPS puede no estar soportado o encontrarse muy limitado, siendo recomendable verificar la documentación oficial según el modelo y versión de firmware.
Escenarios de uso y recomendaciones
El IPS es crítico en entornos empresariales donde la protección de servicios clave como correo electrónico, aplicaciones web internas y acceso remoto es prioritaria. Por ejemplo, bloquear SMTP exploits ayuda a evitar propagación de malware a través de correo, mientras que el logging en HTTP y UDP permite detectar patrones de ataque como escaneos o intentos de explotación de vulnerabilidades emergentes.
Sin embargo, en redes con aplicaciones muy específicas o tráfico personalizado, un bloqueo indiscriminado de ciertas categorías puede generar falsos positivos y afectar operaciones legítimas. Por ello, se recomienda aplicar políticas bloqueando únicamente los vectores más críticos (ej. SMTP) y usar registro detallado para otras categorías, permitiendo ajustes progresivos.
Comandos de CLI útiles para diagnóstico
La CLI de Allied Telesis permite gestionar y revisar el estado del IPS mediante comandos como:
show security ips status: Muestra el estado actual del sistema de prevención de intrusiones.show security ips statistics: Provee estadísticas detalladas de los eventos detectados y las acciones tomadas por categoría.show security ips category: Despliega la configuración de cada categoría IPS y su acción asignada.configure security ips category [nombre_categoria] action [block|log|ignore]: Permite modificar la acción para una categoría específica.debug security ips: Activa el modo debug para verificar el análisis de paquetes y detección de exploits en tiempo real, ideal para troubleshooting.
Buenas prácticas de configuración
- Aplicar bloqueo solo a categorías con alta certeza de explotación activa, para evitar interrupciones masivas de tráfico.
- Utilizar el modo registro (log) para categorías menos críticas o en redes con aplicaciones personalizadas antes de implementar bloqueos.
- Monitorear continuamente la actividad y ajustar políticas IPS según nuevas amenazas o patrones detectados.
- Actualizar firmware regularmente para garantizar que las firmas y módulos de IPS estén al día con las amenazas emergentes.
- Combinar IPS con otras funciones de seguridad como antivirus y control de reputación IP para mejorar el enfoque de defensa en profundidad.