¿Qué es un cortafuegos de nueva generación (NGFW)?

Un cortafuegos de nueva generación (NGFW) es un cortafuegos que integra la identificación de aplicaciones, la prevención de intrusiones y la inspección de contenidos sobre la base del filtrado tradicional de paquetes con estado, de modo que las políticas se pueden aplicar en función de la identidad de la aplicación y del usuario o grupo, en lugar de basarse únicamente en la dirección IP, el puerto y el protocolo.

Puntos clave

• El NGFW amplía el filtrado con estado mediante políticas de capa 7 adaptadas a las aplicaciones.
• Reúne IPS, filtrado de URL e inspección TLS en un único punto de control.
• Las aplicaciones se identifican mediante análisis de firmas, heurístico y estadístico.
• Las implementaciones abarcan desde dispositivos perimetrales hasta servicios NGFWaaS prestados en la nube.
• VersaEl módulo NGFW de […] se ejecuta dentro de VOS como parte de su pila de seguridad.

En esta página: Por qué es importante · Cómo funciona · Tipos · NGFW y Versa · Preguntas frecuentes

¿Por qué es importante un NGFW?

Los cortafuegos clásicos con estado deciden qué permitir en función de la dirección IP de origen y destino, el puerto y el protocolo. Ese modelo tenía sentido cuando cada aplicación tenía su propio puerto, pero deja de funcionar cuando docenas de aplicaciones —autorizadas y no autorizadas— comparten el mismo puerto HTTPS y parecen idénticas en la capa 4. Un cortafuegos que solo detecta «tráfico del puerto 443» no puede distinguir una aplicación SaaS de un sitio para compartir archivos o de un canal oculto de malware.

El NGFW es importante porque subsana esa falta de visibilidad. Al inspeccionar el tráfico hasta la capa de aplicación, identifica la aplicación y al usuario que hay detrás de una sesión, aplica medidas de prevención de intrusiones contra vulnerabilidades conocidas, filtra los destinos por categoría de URL e inspecciona el interior de las sesiones cifradas, todo ello desde un único punto de control. Esa consolidación reduce el número de herramientas de seguridad independientes que una red tiene que integrar y permite que las políticas se adapten al tráfico tal y como es, y no solo al destino al que se dirige.

¿Qué es un NGFW?

Un NGFW es un cortafuegos que incorpora la inspección profunda de paquetes y la identificación de aplicaciones, además del filtrado convencional con seguimiento de estado. Un cortafuegos tradicional compara una sesión con la dirección de origen o destino, el puerto y el protocolo, y se limita a eso. Un NGFW sigue evaluando: aplica métodos basados en firmas, heurísticos y estadísticos para determinar qué aplicación ha generado la sesión —incluso si está tunelizada a través de un puerto común— y, a continuación, aplica la política correspondiente a esa identidad.

A esto se suman las capacidades que dan nombre al NGFW: la prevención de intrusiones, que bloquea los exploits conocidos; el filtrado de URL y web, que clasifica los destinos; el descifrado de TLS/SSL, que inspecciona las sesiones cifradas en lugar de dejarlas pasar sin más; y los controles de calidad de servicio (QoS) vinculados a la aplicación reconocida. En conjunto, todo ello convierte al cortafuegos en un único punto de control que abarca desde la capa 3 hasta la capa 7.

Tipos de implementación de NGFW

La funcionalidad NGFW se ofrece en varias formas distintas. El NGFW basado en dispositivos funciona como hardware dedicado en el perímetro de la red o en el extremo de una sucursal —el modelo tradicional—, dimensionado en función del rendimiento de la ubicación. El NGFW virtual ejecuta el mismo motor de inspección como una máquina virtual o un contenedor en un centro de datos, una nube privada o una nube pública, sustituyendo un dispositivo físico por recursos informáticos elásticos. El NGFW prestado desde la nube, a menudo comercializado como «firewall como servicio» o NGFWaaS, aplica las políticas desde puntos de presencia distribuidos en la nube en lugar de desde una ubicación fija, que es como suelen consumirse las funciones de NGFW dentro de una arquitectura de « SASE » o SSE. Un cuarto modelo, el NGFW integrado en un dispositivo de borde SD-WAN, incorpora el cortafuegos en el propio borde de la WAN: este es el modelo que utiliza la plataforma VOS de Versa.

NGFW y Versa

VersaEl NGFW es un módulo de seguridad integrado en el sistema operativo «Versa », que distingue el tráfico más allá de la simple coincidencia de puertos, protocolos y direcciones IP. Incluye un cortafuegos de aplicaciones, un sistema de prevención de intrusiones, inspección del tráfico cifrado TLS/SSL, filtrado de sitios web y gestión de la calidad de servicio (QoS) y del ancho de banda. Los administradores lo configuran creando un perfil de política de acceso (una ACL) y reglas que cumplen criterios de las capas 3 y 4, además de criterios de la capa 7 —aplicaciones y categorías de URL—, utilizando objetos predefinidos y personalizados para aplicaciones, filtros de aplicaciones, grupos, servicios, categorías de URL y reputación de URL.

El NGFW se habilita por dispositivo VOS a través de su grupo de nodos de servicio y, a continuación, por inquilino mediante los límites de la organización. A continuación, las reglas de política aplican perfiles de seguridad al tráfico que cumple los criterios: filtrado de IP, antivirus, vulnerabilidad/IPS, filtrado de URL, filtrado de DNS, CASB, DLP, ATP y RBI. Los datos sobre amenazas se recogen en los paneles de análisis de « Versa », que ofrecen informes sobre categorías de URL y la actividad de las reglas. Consulte «Configurar el cortafuegos de próxima generación (NGFW) » para ver el flujo de trabajo completo.

Preguntas frecuentes

¿Cuál es la diferencia entre un NGFW y un cortafuegos tradicional?

Un cortafuegos tradicional filtra el tráfico únicamente en función de la dirección IP de origen o destino, el puerto y el protocolo. Un cortafuegos de nueva generación (NGFW) añade a ello la identificación de aplicaciones, la prevención de intrusiones y el filtrado de URL, por lo que la política se basa en la naturaleza real de la aplicación, y no en el puerto que utilice.

¿Cómo identifica un NGFW las aplicaciones presentes en el tráfico de red?

Los NGFW combinan la comparación de firmas, la heurística y el análisis estadístico para identificar la aplicación que genera una sesión, incluso cuando esta se transmite a través de un puerto común como el 443. El NGFW de Versaaplica estos métodos durante los primeros paquetes de una sesión y, a continuación, vincula la política a la aplicación identificada.

¿Puede un NGFW inspeccionar el tráfico cifrado (TLS/SSL)?

Sí. La mayoría de los NGFW incluyen descifrado TLS/SSL, normalmente mediante interceptación por proxy de reenvío, de modo que los perfiles de IPS, filtrado de URL y antivirus pueden inspeccionar contenidos que, de otro modo, serían opacos y quedarían sin supervisar. El módulo VOS NGFW de Versaadmite este descifrado como una de sus funciones principales de inspección del tráfico.

¿Sustituye un NGFW a un IPS independiente y a una solución de filtrado de URL?

Por lo general, sí, en lo que respecta a la aplicación de políticas: el IPS y el filtrado de URL suelen ofrecerse como perfiles integrados que se aplican mediante reglas del NGFW, en lugar de como dispositivos independientes. En el VOS de Versa, ambos se configuran como perfiles de seguridad vinculados directamente a las reglas de política de acceso del NGFW.

¿Un NGFW es solo un dispositivo de hardware?

No. La funcionalidad NGFW también se ofrece como máquina virtual, contenedor o servicio en la nube (NGFWaaS) que se utiliza como parte de una arquitectura de seguridad de la información ( SASE ) o de seguridad de la empresa (SSE), además de ejecutarse integrada en un dispositivo perimetral SD-WAN, como un dispositivo VOS.

Más información sobre NGFW

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre los NGFW, te conviene echar un vistazo a lo siguiente.