Мрежова сигурност. Firewall архитектури

ИКОНОМИЧЕСКИ УНИВЕРСИТЕТ - ВАРНА

КУРСОВ ПРОЕКТ

тема: Мрежова сигурност. Firewall архитектури.

Разработил: Проверил: ............................ Симеон Ненов - Ф.№ 2104 доц. д-р Стефан Дражев Специалност „Приложна информатика”

1

I. Въведение Сигурността

е

на

преден

план

в

мрежовото

управление.

Предизвикателството е да се намери баланса между две важни изисквания: нуждата да се “отвори” мрежата, за да може да се развиват бизнес възможностите и нуждата да се защити личната и бизнес информацията. Мрежовият администратор трябва да мисли като атакуващ. Целта на атакуващия е да компроментира машина в мрежата или да стартира приложение, което да работи в самата мрежа.

1. Типове компютърни престъпления, които могат да бъдат повлияни чрез бдително мрежово управление: • Вътрешна злоупотреба с достъпа до мрежата • Отказ от услуги (Denial of Service DoS) • Проникване в системата • Снифиране на пароли 2. Разрешителна или забранителна стратегия? При разрешителната стратегия всички услуги са разрешени, а се забраняват само тези, които са потенциално опасни. При забранителната стратегия всички услуги са забранени, а се разрешават само определни услуги нужни за нормалното функциониране на организацията. Тези услуги са дефинирани под формата на политика на

2

сигурността (security policy) и могат да се отнасят както за един служител в организацията, така и за група от служители. Разбира се втората стратегия е за предпочитане пред първата, защото “отворените” мрежи за изключително уязвими и крият огромни рискове за сигурността. Както отворените така и напълно “затворени” мрежи също не са застраховани от атаки. При “затворените” мрежи, въпреки, че са защитени изцяло от външния свят, все пак има опасност от атаки отвътре. Истината е някъде по средата.

3. Разработване на политика на сигурността (Security Policy) Първата стъпка, която всяка организация трябва да направи за да защити данните си е да разработи политика на сигурността. Според RFC2196 политиката на сигурността представлява формално изразяване на правилата, които хората, на които е даден достъп до мрежата и информацията на дадена организация трябва да спазват. Политиката на сигурността има следните цели: • да

информира

потребителите,

персонала

и

менаджерите

за

задължителните изисквания по опазване на базата и информацията • определя механизъм, чрез който тези изисквания могат да се постигнат • осигуряват необходимото (конфигуриране, одит на компютърната мрежа) за да може политиката да бъде приложена

3

4. Най-чести заплахи за сигурността 4.1 Уязвимост (слабост) Има три основни слабости: • Технологични o TCP/IP протокола - HTTP, FTP и ICMP са изключително несигурни, защото информацията се изпраща в чист текст o Слабост на операционната система – всяка ОС има някакви проблеми със сигурността, на които трябва да се обърне внимание o Слабост на мрежовото оборудване – дали се използват силни пароли, липса на автентикация, рутинг протоколи, дупки във firewall-a • Конфигурационни o Необезопасени потребителски акаунти o Администраторски акаунти с лесни за отгатване пароли o Настройка по подразбиране o Не добро конфигуриране на мрежовото оборудване • Слабост в политиката на сигурност o Липса на политика за сигурност o Неприлагане на АCL o Софтуерните и хардуерните инсталации не спазват политиката o Липса на план за действие при пробив в системата 4.2 Заплахи за физическата инфраструктура

4

• Хардуерни заплахи – физическа повреда на сървъри, рутери, работни станции и др.

• Заплахи от околната среда – температурни пикове и спадове, рязка смяна на влажността в помещенията • Електрически заплахи – пренапрежение, тотална липса на електрозахранване 4.3 Мрежови заплахи Основно се делят на 4 класа: • Неструктурирани заплахи -

от неопитни атакуващи, които

използватлесно достъпни инструменти за атака.

• Структурирани заплахи – от един или група атакуващи, които са силно мотивирани и технически компетентни (познават добре слабите места и използват по-сложни инструменти за атака).

• Външни заплахи – от един или група атакуващи, които нямат оторизиран

достъп

до

компютърните

системи

или

мрежата

(обикновено осъществяват връзка през Интернет).

• Вътрешни заплахи – от някой, който има оторизиран достъп до мрежата, физически или чрез акаунт. Типове мрежови атаки • Разузнаване – получаване на IP адресът на сървър на компанията, сканиране на портове, снифиране на пакетите. Целата е да се види или открадне информация от организацията.

5

• Достъп – чрез слабост в системата за автентикация, FTP услугите или web услугите да се получи достъп до web акаунти, конфиденциални бази от данни и друга ценна информация.

• Отказ от услуга (Denial of Service DoS) – това е най-често срещаната атака, както и най-трудната за преодоляване. Към този вид атаки се отнасят – ping of death (изпращане на ping с по-голям размер), SYN Flood (атакуващия използва ТCP three-way handshake, при което изпраща множество SYN Request, сървърите отговарят със SYN-ACK, a атакуващия така и не потвърдава Final ACK, при което ресурсите на сървърите сврършват и не могат да отговорят на реалните заявки на потребителите), E-mail bombs Червеи, вируси, Троянски коне 5. Основни техники за “отбрана” 5.1 За сървъри и работни станции: • Промяна

на

новоинсталираните

машини на

настройките

по

подразбиране • Смяна на потребителските имена и паролите • Достъпът до ресурсите да се забрани за всички, освен за тези, които са оторизирани • Всички услуги и сървиси, които не са необходими да се забранят или деинсталират.

5.2 Антивирусен софтуер 5.3 Персонален Firewall

6

5.4 Патчове на операционната система 5.5 Превенция и засичане на атаката

II. Firewall архитектури 1. Същност на Firewall Firewall–а представлява множество от компоненти, които ограничават (разрешават, забраняват, криптират, декриптират) достъпа до Интернет или до други части на мрежите: • ограничава входа и изхода на потребителите в контролирани точки • предпазва от атаки срещу защитени ресурси Firewall-a

представлява

съвкупност

от

мерки

разработени

да

предотвратят неоторизиран достъп до компютърните мрежи и отделните потребители.

Firewall-a може да се изгради както чрез хардуерни устройства, така и чрез софтуер, но може да бъде и комбинация от двете. Най-често Firewall се използва за предотвратяване на неоторизиран достъп на Интернет потребители до private мрежите и особено до intranet.

7

Има няколко типа firewall техники: • Packet filtering (филтриране на пакети) – всеки пакет, който влиза или излиза от мрежата се преглежда и съответно се приема или отхвърля на базата на предварително дефинирани правила.

• Application gateway – механизми на сигурност се прилагат на специални приложения като FTP и Telnet сървъри.

• Circuit-level gateway – прилагат се механизми на сигурност когато се установяват TCP и UDP конекции. След като веднъж се осъществят конекциите, пакетите се обменят между хостовете без повече проверки.

• Proxy server – всички съобщения, които влизат и излизат от мрежата минават през този сървър. По този начин вътрешната мрежа остава скрита за света. В практиката тези техники се използват едновременно.

2. Какво може Firewall?

• той е фокусираща точка за определяне насигурността • подсилва политиката на сигурност • може да съхранява информация за • Интернет трафика • предотвратява разпространението на • вашите проблеми 3. Какво не може Firewall?

8

• не може да ви предпази от вътрешнинедоброжелатели • не може да ви защити от конекции, коитоне минават през него • не може да ви предпази от най-последните заплахи • не може да ви предпази от вируси 4. Firewall- основни понятия • Bastion host – защитаваната машина (машината, към която имаме публичен достъп) • Dual-homed host – машина с 2 интерфейса • Packet filtering – филтриране на пакети не само на база IP адрес на източника, но и на база съдържание на IP пакета • Perimeter network (DMZ) – гранична зона или още демилитаризирана зона, намираща се между вътрешната мрежа и Интернет • Proxy server – софтуер позволяващ прозрачно пропускане на заявки 5. Firewall архитектури 5.1 Dual-Homed Host – компютър с 2 мрежови карти играе роля на опростен Firewall. Едната конекция е към вътрешната мрежа, а другата – към Интернет. Няма директен IP трафик между Интернет и вътрешната мрежа.

9

5.2 Dual-Homed Host + Proxy – архитектурата се обезпечава чрез инсталиране на proxy сървър, а на клиентските машини – proxy клиент.

Proxy сървърът играе роля на посредник, като вътрешната мрежа остава невидима за света.

5.3 Screened Host – между вътрешната мрежа и Интернет се поставя рутер, чиято роля е да ограничава трафика до определени машини отвън, както и да ограничава изходящия трафик от вътрешната мрежа. Това става на база филтриране на пакети. Bastion хостът е достъпен от Интернет, както е разрешен и трафикът от него към Интернет. Другите хостове могат

10

да комуникират с Интернет чрез proxy сървър, който е инсталиран на Bastion хоста. Тази архитектура е по-гъвкъва от Dual-homed host + proxy.

Bastion хостът е единствената машина, която е обект на атаките. Недостатъ е, че ако Bastion хоста се компроментира, атакуващите ще имат достъп до цялата вътрешна мрежа.

5.4 Screened subnet – при тази архитектура има два рутера (външен и вътрешен), а Bastion хоста се намира на отделен сегмент от хостовете от вътрешната мрежа. Този сегмент се нарича

демилитаризираната зона

(DMZ). Дори атакуващите да “пробият” през външния рутер и да стигнат до Bastion хоста, вътрешната мрежа остава скрита. Компоненти на Screened subnet архитектура: • Perimeter network (DMZ) • Bastion host • Вътрешен рутер (choke router) • Външен рутер (access router)

11

6. Допустими архитектурни решения 6.1. Множество Bastion хостове

12

6.2 Обединяване на вътрешен и външен рутер

6.3 Обединяване на външен рутер и Bastion хост

13

6.4 Множество външни рутери

6.5 Множество DMZ

14

7. Недопустими архитектурни решения 7.1 Обединяване на Bastion хост и вътрешния рутер

7.2 Множество вътрешни рутери

15