¿Qué es el Border Gateway Protocol (BGP) Firewall? Guía para principiantes

¿Qué es el Border Gateway Protocol (BGP)?

Antes de empezar, es preciso señalar que BGP y BGP Firewall son “cosas” diferentes. Todos los routers “entienden” el Border Gateway Protocol (BGP), que es un protocolo de enrutamiento o una serie de reglas que permiten a los sistemas autónomos (de manera simple, redes que tienen sus propios espacios de direcciones IP) intercambiar entre ellos información sobre disponibilidad de manera estandarizada, lo que crea un idioma común y ofrece la eficiencia necesaria para que funcione Internet.

¿Qué es el Border Gateway Protocol Firewall?

En esencia, es una medida de protección para que el enrutamiento sea lo más seguro posible y evitar las conexiones con agentes maliciosos. BGP Firewall contiene feeds (comunidades) que generan listas de direcciones IP maliciosas, lo que te permite bloquear en tiempo real las conexiones en el perímetro de red.

Cuando hablamos de direcciones IP maliciosas, nos referimos a servidores de comando y controladores de botnet (C&C) dedicados, botnet C&C alojados en dispositivos comprometidos, o bien espacios IP secuestrados o arrendados por cibercriminales. Las IP se utilizan para enviar spam, albergar sitios infectados por malware, difundir correos electrónicos de phishing y lanzar ataques DDoS contra otras redes.

Al bloquear estas conexiones, impides que los dispositivos infectados dentro de tu red se comuniquen con los botnet C&C asociados y evitas que se infecten más dispositivos. Al mismo tiempo, evitas campañas de spam, pérdida de datos y cifrado mediante ransomware.

BGPF es una solución muy rentable para proteger tu red contra el tráfico más peligroso utilizando tu infraestructura existente. Puede enlazarse con la tabla DENY de tu router o con tu firewall tradicional, como CISCO.

¿Cómo funciona BGP Firewall?

Para comprender cómo funciona BGP Firewall, necesitamos repasar algunos aspectos clave relacionados con cómo funcionan el enrutamiento y las redes en Internet. Ten en cuenta que, al tratarse de una guía para principiantes, esta explicación está muy simplificada. Por eso, si eres un experto en ciberseguridad, continúa leyendo.

Para que un dispositivo establezca una conexión a Internet, ya sea para presentar un sitio web o, como en este caso, conectarse con un servidor de botnet C&C, el dispositivo debe conocer la IP de destino. Con esta IP…

Cuando no se utiliza BGPF, el paquete que contiene la IP maliciosa se envía al servidor web de destino y se establece la conexión con el dispositivo. Ahora, el dispositivo corre riesgo de que el malware extraiga datos y reciba tareas desde agentes amenazantes, como los indicados anteriormente.

Observarás que en esta explicación nos hemos centrado en el tráfico de red saliente hacia los servidores de botnet C&C. Es importante señalar que, por supuesto, la conexión se bloquea en ambos sentidos. Normalmente, el dispositivo infectado es el que inicia la conexión desde el perímetro del usuario.

¿Cómo se informa al usuario de que se bloqueó la conexión?

A nivel de BGP, normalmente no se informa al usuario, lo que no necesariamente tiene que ser algo malo. Puede mostrarse una página de error; sin embargo, no es habitual configurar estas páginas, en particular cuando el router lo gestiona un ISP.

Esto no supone ningún problema, en particular en el caso de intentos de conexión con un controlador de botnet, ya que el usuario ignora este intento de conexión.

El malware intenta establecer automáticamente una conexión con su botnet C&C sin que lo sepa el usuario. De modo que cuando se supera el tiempo de espera de la conexión y no se muestra ninguna página de error, el usuario no estaba esperando ninguna otra cosa. No supone ningún problema.

No obstante, es algo muy distinto para el propietario de la red. Esta información tiene valor para realizar una investigación y determinar el valor de la solución. Para ello, debe configurarse el registro de BGP para mostrar el tráfico que se bloqueó. Como opción, es posible configurar los BGP Feeds mediante tu firewall tradicional, como Cisco y Fortinet, que también registrarán las conexiones bloqueadas.

Las ventajas de protegerse en el perímetro de red

Como el usuario no participa activamente en este proceso, el riesgo de usuarios descontentos disminuye drásticamente. Al igual que el riesgo de falsos positivos, con la solución BGP Firewall de Spamhaus, los datos se proporcionan con la absoluta confianza de que las IP incluidas son realmente maliciosas. Puedes encontrar más información aquí.

¿Qué comunidades mantiene Spamhaus para bloquear el tráfico malicioso?

Tenemos cuatro comunidades para proteger a nuestros usuarios contra los agentes amenazadores más peligrosos en tiempo real. Y para aumentar el nivel de protección, la lista de controladores de botnet (BCL) de Spamhaus incluye las contribuciones de nuestro socio, abuse.ch.

Una plataforma de abuse.ch, Feodo Tracker, monitorea y valida la infraestructura de botnet C&C conectada con las principales amenazas de malware. Así, proporciona datos validados y confiables sobre la infraestructura de botnet C&C que utilizan amenazas como Emotet y Qakbot; un recurso valioso para mantenerte protegido.

Las cuatro comunidades de BGP Firewall que gestionamos son:

• Don’t Route Or Peer (DROP): esta lista, que bloquea todo el tráfico, contiene los peores elementos del espacio IP que han sido secuestrados o arrendados por cibercriminales. Los bloques de red incluidos en esta lista son asignados directamente por registros de Internet establecidos, como un Registro Regional de Internet (RIR)
• Extended Don’t Route Or Peer (EDROP): es una ampliación del dataset de DROP, pero incluye bloques de red subasignados.
• Lista de controladores de botnet (BCL), servidores dedicados: direcciones IP utilizadas para alojar un servidor de botnet C&C que controla dispositivos infectados. Esta lista solo incluye direcciones IP (/32) utilizadas con intenciones maliciosas, es decir, aquellas operadas por cibercriminales con la única finalidad de albergar un botnet C&C.
• Lista de controladores de botnet (BCL), servidores comprometidos: direcciones IP de botnet C&C alojados en dispositivos comprometidos, por ejemplo, un agente amenazador abusa del dispositivo de un usuario legítimo para albergar en él un botnet C&C. Esta es nuestra comunidad más reciente; puedes encontrar más información aquí.

Los consumidores de estos datos a través de Spamhaus obtienen acceso a soporte técnico, un servicio sólido y una resolución rápida de cualquier falso positivo percibido que pueda surgir.

Obtén protección gratuita durante 30 días

Si deseas ver por ti mismo cómo funcionan estos datos en tu entorno de red, puedes realizar una prueba gratuita durante 30 días. No hay que introducir datos de pago y, una vez configurado, obtendrás inmediatamente protección de red contra el tráfico más peligroso.

El mejor amigo de BGP Firewall: DNS Firewall

Silban la melodía de “Yo soy tu amigo fiel” de Toy Story…

No podríamos hablar de BGP sin mencionar DNS Firewall, pues se complementan perfectamente para ofrecer la protección de red más completa.

De esta forma, BGPF funciona a nivel del router y solo procesa direcciones IP. Imprescindible para bloquear a los agentes amenazadores que solo utilizan comunicación IP directa, como Emotet, Qakbot y Dridex. Como no necesita un nombre de dominio para la comunicación del botnet C&C, el nivel del router es la única forma de bloquear y proteger contra estas conexiones. Este modus operandi les permite evitar ser detectados.

Al mismo tiempo, otros agentes amenazadores sí utilizan nombres de dominio para la comunicación con los comando y controladores de botnet. Esto significa que es más fácil detectarlos. No obstante, si son detectados y el proveedor de alojamiento retira el servidor con la dirección IP del dominio correspondiente, el agente amenazador solo tiene que cambiarse a otro proveedor de alojamiento. Configuran un nuevo servidor, dirigen los nombres de dominio de sus botnet C&C hacia este y vuelven a estar activos.

Aquí es donde DNS Firewall entra en juego. A nivel del DNS, a diferencia que a nivel del router, las conexiones se establecen consultando los nombres de dominio. Esto significa también que, cuando se utiliza un nombre de dominio, es posible bloquear las conexiones maliciosas antes de que se establezcan a nivel de la IP. Así, DNS Firewall proporciona protección adicional contra los botnet C&C que utilicen nombres de dominio, además de bloquear las conexiones de phishing, malware, adware y criptominería. Puedes obtener más información sobre esta potente combinación aquí.

BGP en pocas palabras

Hasta aquí nuestra guía para principiantes de BGP Firewall. Esperamos que te haya aclarado algunos conceptos, pero, si tienes más preguntas, estaremos encantados de escucharlas. Contáctanos a través de nuestras redes sociales (Twitter y LinkedIn) y responderemos tus preguntas.

Mientras tanto, un cordial saludo.