Cómo configurar un cortafuegos personal para Windows XP

Por infosniper

En determinados comentarios aportados por algunos lectores a mi artículo anterior se podía leer que emplear dos cortafuegos simultáneamente en Windows XP era algo excesivo, por lo que en vista de sus argumentaciones propuse entonces el reto de crear un artículo con el que todos pudiéramos aprender y en el que se describiera paso a paso cómo configurar un cortafuegos de última generación para ese sistema operativo.

Han pasado los suficientes días desde entonces como para ver que dicho artículo no aparece por ninguna parte, llegando así a la conclusión de que quienes dispusieron en su momento del dedo fácil para el tecleo y la crítica no se debieron sentir aludidos por el reto lanzado, tal vez porque en vez de criticar (que es muy fácil) iban a tener que trabajar, mostrar sus conocimientos y arriesgarse a ser criticados.

Y ya que los que saben no se mojan, me he obligado a intentar subsanar ese hueco aportando lo poco que sé sobre el tema y que a mí me ha funcionado. Por supuesto, todas aquellas ideas y experiencias que los lectores también puedan aportar y que complementen o corrijan este artículo serán bienvenidas...

CONSIDERACIONES PREVIAS

ATENCIÓN : Todo lo que se irá describiendo seguidamente no se ha experimentado ni virtualizando sistemas operativos ni conectando a través de una red, por lo que algunas de las indicaciones que se darán podrían variar.

Vamos a partir de la base de que disponemos de un ordenador personal limpio y que usaremos, por ejemplo, para navegar 'Firefox', para el correo electrónico 'Outlook Express', para P2P 'ABC (Yet Another Bittorrent Client)' del que ya se habló en el anterior artículo, como cliente FTP el programa WS_FTPLE, y como antivirus 'NOD32'.

El programa ABC presenta una característica de funcionamiento un tanto peculiar pues, como se dijo, requiere que en su configuración se señale manualmente un puerto (pongamos uno alto, por ejemplo el 65535) ya que éste supuestamente deberá ser necesario para su correcto funcionamiento. Pero, como se verá, esta afirmación no es cierta, a diferencia del puerto 56666 que sí es imprescindible y que ABC abrirá automáticamente. Lo curioso del caso es que, pese a emplear un cortafuegos, si nuestra IP es sometida a un escaneado como el que ofrece PC Flank del tipo 'Advanced Port Scanner' y se elige la opción que permita anotar manualmente el puerto a analizar, el 65535 aparecerá como 'OPEN' y será un blanco para cualquier ataque (quienes usen otros programas de intercambio deberían mirar si su programa favorito también les deja OPEN alguno). Entre las soluciones que iba encontrando unas pasaban por dejar inoperativo al programa P2P y otras por dejar que tras un escaneado el puerto apareciera como 'CLOSED', lo cual en principio evitaría un ataque pero seguiría indicando que tras esa IP había un ordenador conectado. La solución final que dejaría el puerto 65535 como 'STEALTHED' se verá más adelante.

PROGRAMAS UTILIZADOS

---------- TCPView
Del archivo *.ZIP descargado solamente deberá usarse Tcpview.exe, que podrá copiarse en 'C:\'.

---------- PortBlocker

---------- Winpooch
Puede descargarse la versión instalable o la que no requiere instalación.

---------- Comodo Firewall Pro
En principio dudé, y mucho, sobre qué cortafuegos para Windows XP y FAT32 hacer el artículo (si Outpost Firewall Pro o Comodo Firewall Pro), decidiéndome finalmente por este último solamente por el hecho de ser gratuito. Porque hay que saber que Outpost tiene varias y serias ventajas, pero también algún inconveniente (como por ejemplo que abre el puerto 803). Desde mi discutible punto de vista, en estos momentos, ambos son los mejores y ofrecen una excelente protección incluso contra los temidos leaktests.

Durante su instalación aparecerán varios mensajes a tener en cuenta: el de quitar todos los cortafuegos instalados, el de no hacer caso a lo de introducir el e-mail, el de dejar la configuración automática y el de reiniciar:

INSTALACIÓN Y CONFIGURACIÓN

Procederemos a instalar y configurar los programas que lo requieran por el siguiente orden y DESCONECTADOS de Internet:

TCPView

Se ejecuta y muestra los procesos abiertos, protocolos, direcciones IP y puertos abiertos tanto locales como remotos, y el estado de la conexión. Será necesario tener unas mínimas nociones de los procesos que tendremos activos en el sistema desde su arranque y su confiabilidad (en un sistema limpio, claro). Para ello, una buena web para conseguir información es Process Library, en la que hay que olvidarse de los links publicitarios que barren para casa. Procesos del sistema activos a tener en cuenta:

[System Process]
System
Svchost.exe
Services.exe

PortBlocker

Leed primero el archivo 'pblock.txt' para tener claro cómo trabaja. Tras ejecutarlo aparecerá un icono junto al reloj de la Barra de tareas con el interior rojo / click botón derecho sobre él / Mapping / seleccionar uno a uno todos los puertos que aparecen y pulsar 'Delete' / Add / en 'Enter port to number block' poner '65535' (sin comillas), en 'Select protocol type' dejar 'TCP', en 'Alerts to access atempts' seleccionar 'None' y en 'Log all access atempts' dejar 'Yes':

/ OK / cerrar el programa haciendo click botón derecho sobre su icono y eligiendo 'Exit'.

Winpooch

Se trata de un excelente programa gratuito que monitoriza el sistema y que además permite otras interesantes funciones.

Configuración / quitar la marca de las casillas 'Activar splash screen', 'Buscar actualizaciones' y 'Activar animación barra de tareas' / en 'Antivirus' dejar 'Ninguno' / en 'Escanear en segundo plano estos ficheros' hay que quitar 'C:\Windows' seleccionándolo, click botón derecho y 'Quitar carpeta'
Filtros / pulsar el icono '+' superior y que corresponde a añadir programas / buscar la ruta C:\Archivos de programa\Comodo\Firewall\cpf.exe / OK / seleccionar dicha ruta en el recuadro 'Programa' / pulsar el icono '+' de añadir reglas del segundo recuadro / en 'Razón' seleccionar 'Net::Connect' y marcar las opciones 'Preguntar', 'Rechazar' y 'Alertar' / OK / repetir los mismos pasos seleccionando de nuevo la ruta C:\Archivos de programa\Comodo\Firewall\cpf.exe y eligiendo en 'Razón' las opciones 'Net::Listen' (marcando lo mismo) y 'Net::Send' (marcando lo mismo) /
Ahora habrá que repetir todos estos mismos pasos señalados al inicio de 'Filtros' pero con las siguientes rutas: 'C:\Archivos de programa\Comodo\Firewall\cmdagent.exe', 'C:\Archivos de programa\Comodo\Firewall\cpfsubmit.exe', 'C:\Archivos de programa\Comodo\Firewall\cpfupdat.exe', 'C:\Archivos de programa\Comodo\Firewall\crashrep.exe' y 'C:\Archivos de programa\Comodo\Firewall\fwconfig.exe':

Con todo esto y por si acaso en algún momento Comodo Firewall Pro tiene la tentación de enviar alguna información a nuestras espaldas a través de Internet, se va a quedar con las ganas.
Otra ruta que debiera añadirse es la correspondiente al antivirus, en este caso NOD32, porque en una misma sesión (que el PC no se haya apagado o reiniciado) la primera vez que se realice una actualización de las firmas Comodo Firewall Pro mostrará una ventana de alerta, pero en cuanto le demos a 'Permitir' nunca más la volverá a mostrar en esa misma sesión con lo que se pierde el control sobre lo que el antivirus pueda llegar a realizar a través de Internet. Para tener un poco controlada esta situación se seguirán las instrucciones anteriores poniendo la ruta correspondiente al archivo 'nod32krn.exe' y con las mismas reglas. Cuando aparezca la ventana de alerta de Winpooch y comprobemos que todo está bajo nuestro control pulsaremos 'Aceptar' si es para actualizar las firmas o 'Rechazar' si es que ha sido idea del propio antivirus:

Ahora se deberá cerrar la ventana y se verá que el icono sigue presente junto al reloj de la Barra de tareas / click botón derecho / Parar.

Por cierto, Si sospechamos de algún otro programa instalado en nuestro PC se podrá también incluir su ruta y repetir los pasos de configuración. Y si quien va a usar este programa es alérgico o tiene fobia a los perros deberá tener en cuenta que cualquier mensaje de alerta irá acompañado de un ladrido que le pondrá la piel de gallina y/o los pelos de punta.

Ahora solamente quedará ir a Inicio / Ejecutar / msconfig / Inicio / quitar la marca de la casila 'Winpooch'.

Comodo Firewall Pro

Después del reinicio obligatorio tras la instalación aparecerán probablemente unas primeras ventanas de alerta:

Como más adelante podrá verse el hecho de pulsar ahora 'Denegar' no afectará al rendimiento.

Lo mismo.

Si se dispusiera del programa VMWare instalado es probable que aparezcan más ventanas, en esta ocasión con la dirección IP del adaptador Ethernet empleado por el programa.

Continuaremos con la configuración del cortafuegos.

Ventana que corresponde a la pestaña 'Resumen':

Seguridad / Tareas. No pulsar 'Buscar actualizaciones' porque la función será bloqueada por Winpooch ni tampoco 'Escaneo de aplicaciones conocidas' ya que el cortafuegos irá aprendiendo en base a nuestras reacciones permitiendo o denegando.

Seguridad / Monitor de Aplicaciones. Deberían introducirse manualmente aquellas aplicaciones a las que no se desea dar ningún acceso a Internet. Para ello hay que pulsar en 'Agregar', localizar la ruta con 'Buscar', marcar 'Saltar verificación del padre', marcar 'Aplicar el siguiente criterio', en 'Acción' seleccionar 'Bloquear', en 'Protocolo' dejar 'TCP o UDP' y en 'Dirección' seleccionar 'Entrada/Salida' / OK.

Seguridad / Monitor de Componentes. Librerías detectadas y su permiso.

Seguridad / Monitor de Red. Como tenemos un solo PC y no vamos a realizar "experimentos" con el protocolo ICMP (http://es.wikipedia.org/wiki/Internet_Control_Message_Protoc...) pueden realizarse algunas modificaciones: seleccionar una a una todas las reglas a excepción de la primera que en 'Protocolo' pone 'TCP/UDP Salida', y click botón derecho / Editar / en 'Acción' seleccionar 'Bloquear' / OK / como curiosidad, una de estas reglas, al seleccionarla, tendrá en el recuadro inferior una referencia a 'IPPROTO' y 'GRE', de lo que, si hay interés, podrá encontrarse información en http://en.wikipedia.org/wiki/Generic_Routing_Encapsulation y http://es.wikipedia.org/wiki/GRE.

De todas formas hay que tener en cuenta que modificar las reglas es bien sencillo ya que si en un momento dado es necesario, por ejemplo, utilizar la herramienta Ping.exe desde una ventana de MS-DOS, con las reglas que hemos dejado no será posible recibir los datos esperados por lo que habrá que ir antes a la regla 'ICMP Salida' y modificarla a 'Permitir'.

Seguridad / Avanzado.

Seguridad / Avanzado / Comportamiento de Aplicaciones / Configurar. Las definiciones son muy claras.

Seguridad / Avanzado / Detección y Prevención Avanzada de Ataques / Configurar / Detección de Intrusión. Puede dejarse por defecto.

Seguridad / Avanzado / Detección y Prevención Avanzada de Ataques / Configurar / Varios. Es suficiente con las tres primeras opciones.

Seguridad / Avanzado / Varios. Puede dejarse la configuración de la imagen.

Actividad / Conexiones. Muestra las conexiones activas.

Actividad / Registros. Puede exportarse el completo LOG como *.HTML.

CONEXIÓN A INTERNET

Veremos ahora la secuencia de conexión a Internet (con módem ADSL) y las ventanas de alerta que ofrecerá Comodo Firewall Pro.

Una puntualización. En las ventanas de alerta de Comodo Firewall Pro se hará referencia normalmente a puertos UDP y puertos TCP. Los puertos UDP normalmente irán relacionados con las peticiones a los servidores DNS (puerto 53), con lo cual es lógico que antes de conseguir una conexión, por ejemplo con el cliente de correo electrónico, aparezcan siempre varias ventanas de las cuales ineludiblemente habrá alguna que sea UDP, puerto 53 y DNS.

La secuencia será:

1--- Comodo Firewall Pro estará activo desde el arranque del ordenador, al igual que NOD32.

2--- Ejecutar Winpooch.

3--- Conectarse a Internet.

4--- Aparecerán inmediatamente uno o varios mensajes de alerta:

Pulsar botón 'Denegar'. Aunque Svchost.exe esté considerado como un servicio de confianza, en este caso, si denegando podemos navegar con normalidad, ¿por qué no hacerlo?.

5--- Ejecutar PortBlocker:

Pulsar en todas el botón 'Permitir'. El icono junto al reloj de la Barra de tareas tendrá ahora el interior verde.

6--- Ejecutar ABC. Aparece un mensaje de error del propio programa debido al puerto 65535 que bloqueamos con lo que pregunta si puede usar otro, a lo que se responderá NO:

Luego habrá tres alertas:

Pulsar en todas el botón 'Permitir'.

Ejecutar un archivo *.TORRENT o bien la opción 'Resume' sobre uno que esté a media descarga en la ventana del programa supondrá nuevas alertas:

Pulsar en todas el botón 'Permitir'.

7--- Ejecutar Outlook Express. Solamente saldrán las dos ventanas de alerta aunque se disponga de varias cuentas de correo:

Pulsar en todas el botón 'Permitir'. Un inciso. No sé si ocurrirá con todos los clientes de correo Outlook Express pero si se tiene la Barra de tareas con el modo de ocultación automático activo la ventana donde se introduce la contraseña correspondiente a la segunda cuenta de correo queda oculta-minimizada a la Barra de tareas por lo que no no se puede acceder inmediatamente a ella. Por lo tanto habrá que mirar en dicha Barra de tareas o bien en la misma Barra de estado de la ventana del programa (abajo a la derecha) en donde se verá 'Conectando...', palabra en la que si se hace doble click provocará la aparición de la ventanita en cuestión en la que ya se podrá introducir la contraseña de acceso a la cuenta de correo.

8--- Ejecutar WSFTP_LE:

Pulsar en todas el botón 'Permitir'.

9--- Ejecutar Firefox. Firefox abre dos puertos consecutivos que se conectan entre sí inmediatamente después de su ejecución. Aunque curiosamente las dos ventanas de alerta de Comodo muestran el mismo puerto, TCPView no deja lugar a dudas:

Una vez introducida una dirección (de momento sólo una de confianza, como la de Kriptópolis) las ventanas de alerta serán una o dos más:

Pulsar en todas el botón 'Permitir'. Cuando se esté bastante rato con Firefox abierto pero sin navegar, al introducir una nueva dirección aparecerán nuevos mensajes de alerta que habrá que aceptar pulsando nuevamente el botón 'Permitir'. Pero de momento, como se ha dicho antes, solamente trabajaremos con una sola dirección.

10--- Cuando actualicemos por primera vez NOD32 saldrá, como se dijo, una sola ventana de alerta en la que habrá que pulsar el botón 'Permitir':

11--- Opcional pero muy recomendable. Una vez que hemos comprobado que todo ha ido bien nos desconectaremos de Internet, cerraremos uno por uno todos los programas y realizaremos una imagen del disco con Ghost o Drive Image (mejor desde MS-DOS). Al terminar arrancaremos el sistema para instalar DeepFreeze congelando la unidad [C:]. Una vez reiniciado el sistema ya podremos trabajar con absoluta normalidad.

COMPROBACIONES

Visitando PC Flank se ha sometido nuestra dirección IP a un par de análisis. Los puertos que en el momento de efectuarlos estaban activos pueden verse aquí:

Y los resultados:

Todos 'Stealthed', incluso el 65535.

También es recomendable dar un repaso a los Tests de Fugas (uno y dos), por si se quiere practicar con leaktests. Si alguien se atreve con ellos recomiendo que lo haga con el sistema congelado con DeepFreze o por lo menos con una imagen del sistema realizada con Ghost o Drive Image, la cual deberá recuperarse inmediatamente después de las pruebas.

PRECAUCIONES

No hay que olvidar el enorme riesgo que supone tener activado en el navegador el JavaScript, Java y Controles ActiveX. Dicho esto, cuando aparezca una ventana de alerta en la que un programa (Padre) lanza a otro se deberá tener muy en cuenta la posibilidad de que estemos ante una amenaza. Habrá casos en los que no haya peligro, como el siguiente:

ya que en este caso se ha solicitado a Windows Media Player descargar algún complemento y éste lanza el navegador, pero siempre, por si acaso, será mejor en primer lugar 'Denegar' y luego ya veremos lo que pasa. Otra cuestión a tener en cuenta es cuando se abre una ventana de alerta de golpe y sin hacer nada, por ejemplo sobre Firefox, cuando llevamos un buen rato detenidos en una web (es decir sin navegar en sentido estricto). Para curarnos en salud será mejor hacer lo mismo (Denegar), sospechar que a lo mejor ya tenemos una sorpresa metida en el ordenador y luego pensar en escanear por si hay spyware o un virus-rootkit y también mirar los procesos activos, esfuerzo que se evitaría reiniciando con un sistema congelado.

Si algún lector ha sido buen observador se habrá dado cuenta que en una imagen anterior (punto 4 anterior) parecen unas 'Consideraciones de Seguridad' que hacen referencia a 'zert_ani.dll'. Si estas mismas consideraciones aparecen haciendo referencia a alguno de los programas de confianza que tenemos (imagen siguiente) es muy probable que se nos produzca una involuntaria contracción del esfínter anal:

Existe poca información en Internet acerca de esta librería dinámica (con dudas acerca de si es spyware o no), pero para intentar tranquilizar al personal que la tenga en C:\Windows\System32 se dirá que corresponde a los parches (2.0 y 3.01) contra las vulnerabilidades ANI sacadas a la luz por el ZERT (Zeroday Emergency Response Team), dos versiones distintas pero aparentemente con la misma *.dll, y a los que empleamos ese parche (en mi caso el primero de ellos, porque el segundo no era necesario ya que Microsoft sacó una actualización) pues luego nos pasa lo que nos pasa, que los cortafuegos nos dejan tiritando.

Si lo que nos preocupó resultó ser una falsa alarma, y nuestra denegación de permiso dejó a Firefox o a ABC sin poder trabajar con normalidad, bastará con cerrar ambos programas, cortar la conexión a Internet, conectarse de nuevo y arrancarlos otra vez. Pero si estas operaciones no fueran suficientes no quedará más remedio que reiniciar. Y paciencia, que nadie dijo que protegerse fuera sencillo.

Más información en:

http://forums.comodo.com/espanol_spanish-b35.0
http://forums.comodo.com/comodo_firewall-b50.0/

¡Meidei, meidei! ¡Me acaba de salir una cosa rara junto al reloj de la Barra de tareas!. Me permite trabajar normalmente con todos los programas de los que se ha estado hablando pero de vez en cuando provoca la salida de una ventana de colorines. No sé si es cosa de rootkits, bugs o un grano. ¡Maldito spyware!:

infosniper
http://infosniper.googlepages.com