Windows 7 + Windows Server 2008 R2: una combinación segura (parte II)

En la primera entrega de este tutorial vimos los detalles de DirectAccess como parte de las ventajas que ofrece la combinación de Windows 7 y Windows Server 2008 R2 en cuestiones de seguridad. En esta segunda parte, veremos los principales aspectos de RemoteApp, AppLocker y las mejoras de BitLocker.

RemoteApp es una implementación de Remote Desktop Services mediante la cual las aplicaciones aparentan estar corriendo en la computadora local del usuario, cuando en realidad están corriendo en un servidor de Remote Desktop. Esta es una forma de presentación virtualizada. La diferencia con respecto a la experiencia tradicional de Terminal Services está en que, en lugar de compartir la totalidad del escritorio a través del Terminal Server, ahora las aplicaciones individuales pueden compartirse de esa manera, en forma transparente para el usuario. RemoteApp fue presentado con Windows Server 2008. Windows 7 aporta conexiones de RemoteApp & Desktop (RAD), lo cual provee una mayor integración entre el escritorio del equipo local y las aplicaciones virtualizadas. Con RemoteApp & Desktop Connections, los administradores pueden poner fácilmente a disposición de los usuarios los programas y escritorios virtuales de RemoteApp en máquinas cliente con Windows 7; estos recursos aparecerán en el menú Inicio del equipo local como si fueran recursos locales. ¿Cuál es la ventaja de seguridad? Las aplicaciones virtualizadas pueden controlarse en forma más eficiente por parte de los administradores de IT. No es necesario preocuparse de que las actualizaciones correctas se apliquen a cientos de instancias de una aplicación instaladas en equipos individuales, con lo cual se evita el riesgo de seguridad asociado al hecho de que algunas máquinas ejecuten versiones no actualizadas de las aplicaciones. Remote Desktop (RD) Gateway es el reemplazo de Terminal Services Gateway, y es un rol de Windows Server 2008 R2 en sus ediciones Standard, Enterprise y Datacenter, a través del cual los usuarios pueden acceder a servidores de escritorio remoto u otras computadoras con Remote Desktop habilitado. Se basa en RDP sobre HTTPS para crear conexiones seguras y encriptadas a través de Internet. Un RD Gateway de Windows Server 2008 R2 también soporta una opción mediante la cual se puede restringir a ciertos clientes de escritorio remoto para que se conecten sólo a servidores que utilizan redirección segura de dispositivos. Esto ayuda a evitar que el software malicioso en un equipo cliente pase por alto las políticas de seguridad. La última versión del protocolo RDP (RDP v7) que corre en Windows Server 2008 R2 y Windows 7 también provee rendering de gráficos y mejoras multimedia que hacen a una experiencia superior en el uso de escritorio remoto. Por ejemplo, ahora incluye soporte para los efectos de Aero glass, para DirectShow y se ofrece un mejor soporte para múltiples monitores. AppLocker AppLocker es una nueva característica de Windows 7 y Windows Server 2008 R2 que reemplaza a las directivas de restricción de software que solían ser difíciles de usar y limitadas en cuanto a su alcance. AppLocker ofrece mayor flexibilidad, y sus reglas son más difíciles de burlar. AppLocker permite crear reglas para controlar qué archivos se pueden ejecutar, y asignar esas reglas a usuarios o grupos específicos. Las reglas pueden basarse en atributos de los archivos, tales como nombre del desarrollador, nombre del producto, nombre del archivo y versión de archivo, todos los cuales están contenidos en la firma digital. También pueden restringirse los programas en base a la ruta de acceso o mediante un hash critpográfico que identifica a los programas que se desea permitir que corran. En forma predeterminada, AppLocker se configura para denegar todos los archivos excepto aquellos que están explícitamente permitidos. Mejoras en BitLocker La encriptación de discos mediante BitLocker apareció junto con Windows Vista como una funcionalidad muy útil especialmente en equipos móviles, pero su aplicabilidad estaba limitada, debido a que sólo podía encriptar la partición de sistema. Con Windows Server 2008 y Vista SP1, se incorporó la posibilidad de encriptar particiones adicionales. Ahora con Server 2008 R2 y Windows 7, BitLocker puede usarse para encriptar unidades removibles. Al volverse tan populares las unidades USB, ésta es una mejora de seguridad muy bienvenida, dado que la amenaza de seguridad presentada por un empleado que coloca datos corporativos en una unidad removible (por ejemplo, para llevarse trabajo a casa) es muy real. La portabilidad del almacenamiento es una ventaja pero un riesgo por el hecho de que la información pueda perderse o robarse. Ahora, con la nueva funcionalidad BitLocker To Go en Windows Server 2008 R2 y Windows 7, los administradores de IT pueden usar directivas de grupo para forzar a los usuarios a habilitar BitLocker en unidades removibles antes de que puedan grabar información en ellos, haciéndolos mucho más seguros. La clave de recuperación puede almacenarse en el Active Directory. También pueden bloquearse los usuarios que conecten unidades USB no encriptadas a sus computadoras. Resumen Cada versión del sistema operativo Windows agrega nuevas mejoras de seguridad por sobre sus antecesores. La actual culminación de ese foco es Windows Server 2008 R2 y el inminente cliente Windows 7. A diferencia de las versiones previas de Windows (cliente), las pruebas beta de Windows 7 han demostrado que es notablemente estable y seguro, por lo que las organizaciones (especialmente aquellas que se saltearon la actualización a Vista y siguen usando Windows XP) deben considerar la implementación de esta combinación de sistemas operativos a la brevedad.

Windows 7 + Windows Server 2008 R2: una combinación segura (parte I)

Los sistemas operativos Windows Server 2008 R2 y Windows 7 fueron diseñados para brindar un óptimo nivel de seguridad cuando se los usa en forma conjunta. Por ejemplo, con DirectAccess, los usuarios pueden establecer una conexión remota sin necesidad de una VPN, y con Remote Workspace, Presentation Virtualization y Remote Desktop Gateway, los usuarios pueden acceder a sus escritorios corporativos desde cualquier lugar.

En esta nota veremos el conjunto de características que hace que la combinación de los sistemas operativos Windows Server 2008 R2 y Windows 7 constituyan la mejor combinación posible a la hora de mejorar la seguridad en las redes basadas en Windows. Con el énfasis que Microsoft está poniendo en la computación confiable, cada edición de los sistemas operativos clientes y servidores se vuelve más segura que la anterior. Windows Server 2008, más específicamente su última versión –R2–, provee a los administradores de IT numerosos mecanismos incorporados de seguridad. Sin embargo, asegurar el Server es sólo la mitad de la batalla. Las máquinas cliente a menudo son objeto de exploits, especialmente en el mundo móvil de hoy en día, en el que los usuarios se conectan desde equipos portátiles que no siempre están bajo el control absoluto del departamento de IT. Si una organización necesita un alto nivel de seguridad, debería planificarse un despliegue de Windows 7 en combinación con Windows Server 2008 R2 tan pronto como la versión final del sistema operativo cliente esté disponible. A continuación se mencionan las principales características de seguridad que podrán aprovecharse al combinar esos dos sistemas operativos. DirectAccess La solución más común al problema de los usuarios remotos en las empresas es la implementación de un servidor de VPN. Una red privada virtual (VPN) provee un “túnel” seguro y encriptado tendido a través de Internet. ¿Cuál es el problema con las VPNs? Que presentan una capa de complejidad adicional para el usuario final, dificultándole su uso. En algunos casos, se debe instalar software especial en la máquina cliente. Y en todos los casos, el usuario debe establecer la conexión VPN en cada sesión. Además, debe lidiar con credenciales o tarjetas inteligentes. Algunas veces la conexión no se puede establecer; otras veces se cae y debe restablecerse. DirectAccess (DA) elimina la mayor parte de las complicaciones de las VPNs al autenticar al usuario por única vez y hacer que la conexión sea automática sin por ello sacrificar la seguridad. La tecnología soporta autenticación de dos factores para que puedan usarse tarjetas inteligentes o métodos biométricos para loguearse a la red. DA puede autenticar tanto a la computadora como al usuario. Dos túneles IPsec son creados por DA: uno utiliza sólo un certificado de computadora, lo que da a la máquina acceso al servidor DNS y al controlador de dominio para descargar las directivas de grupo y requerir autenticación de usuario, y otro túnel que transmite tanto un certificado de computadora como de usuario, dando al usuario acceso a los recursos internos de la compañía y a los servidores de aplicaciones. Las sesiones de DirectAccess pueden encriptarse entre el cliente y el servidor de DA o de IPsec, o bien pueden encriptarse de punta a punta, hasta alcanzar el servidor de aplicaciones (al estilo de lo que hace el Exchange Server). El inconveniente de esta alternativa es que, para la encriptación de punta a punta, los servidores de aplicaciones deben correr Windows Server 2008 ó 2008 R2, y deben configurarse para usar IPv6 e IPsec. DirectAccess usa IPv6 (la nueva generación de Internet Protocol) junto con IPsec (3DES, AES) para encriptar información que se envía a través de Internet. Pero eso no significa que se deba contar con una red IPv6 para usar DA, puesto que también incluye tecnologías de transición IPv6/IPv4. Windows 7 y Windows Server 2008 R2 soportan un nuevo protocolo llamado IP-HTTPS por el cual los paquetes IPv6 pueden enviarse por el túnel de una sesión HTTPS de IPv4. Esto hace posible que las computadoras que están detrás de un Proxy web o un firewall se conecten sin problemas. Al igual que con las VPNs, puede usarse Network Access Protection (NAP) para asegurar que las computadoras cuenten con sus actualizaciones de seguridad, antivirus, etc., antes de que se conecten a la red de la compañía. Otra ventaja de DirectAccess es que le da el poder al administrador de IT para controlar sistemas remotos aún cuando no estén conectados a una VPN. Pueden aplicarse nuevas directivas de grupo o distribuir actualizaciones de software en cualquier momento en que la computadora remota esté conectada a Internet; aún si el usuario no está logueado. Esto facilita que las computadoras remotas se ajusten a las políticas de la compañía en una forma más efectiva. Adicionalmente, puede especificarse qué recursos de la intranet podrá acceder cada usuario en particular. En la segunda parte de este tutorial veremos el resto de las herramientas de seguridad que Windows 7 y Windows Server 2008 R2 ponen a disposición de los administradores de sistemas, incluyendo a RemoteApp, AppLocker y las mejoras de BitLocker.