ИКОНОМИЧЕСКИ УНИВЕРСИТЕТ - ВАРНА
КУРСОВ ПРОЕКТ
тема: Мрежова сигурност. Firewall архитектури.
Разработил: Проверил: ............................ Симеон Ненов - Ф.№ 2104 доц. д-р Стефан Дражев Специалност „Приложна информатика”
1
I. Въведение Сигурността
е
на
преден
план
в
мрежовото
управление.
Предизвикателството е да се намери баланса между две важни изисквания: нуждата да се “отвори” мрежата, за да може да се развиват бизнес възможностите и нуждата да се защити личната и бизнес информацията. Мрежовият администратор трябва да мисли като атакуващ. Целта на атакуващия е да компроментира машина в мрежата или да стартира приложение, което да работи в самата мрежа. 1. Типове компютърни престъпления, които могат да бъдат повлияни чрез бдително мрежово управление: • Вътрешна злоупотреба с достъпа до мрежата • Отказ от услуги (Denial of Service DoS) • Проникване в системата • Снифиране на пароли 2. Разрешителна или забранителна стратегия? При разрешителната стратегия всички услуги са разрешени, а се забраняват само тези, които са потенциално опасни. При забранителната стратегия всички услуги са забранени, а се разрешават само определни услуги нужни за нормалното функциониране на организацията. Тези услуги са дефинирани под формата на политика на
2
сигурността (security policy) и могат да се отнасят както за един служител в организацията, така и за група от служители. Разбира се втората стратегия е за предпочитане пред първата, защото “отворените” мрежи за изключително уязвими и крият огромни рискове за сигурността. Както отворените така и напълно “затворени” мрежи също не са застраховани от атаки. При “затворените” мрежи, въпреки, че са защитени изцяло от външния свят, все пак има опасност от атаки отвътре. Истината е някъде по средата. 3. Разработване на политика на сигурността (Security Policy) Първата стъпка, която всяка организация трябва да направи за да защити данните си е да разработи политика на сигурността. Според RFC2196 политиката на сигурността представлява формално изразяване на правилата, които хората, на които е даден достъп до мрежата и информацията на дадена организация трябва да спазват. Политиката на сигурността има следните цели: • да
информира
потребителите,
персонала
и
менаджерите
за
задължителните изисквания по опазване на базата и информацията • определя механизъм, чрез който тези изисквания могат да се постигнат • осигуряват необходимото (конфигуриране, одит на компютърната мрежа) за да може политиката да бъде приложена
3
4. Най-чести заплахи за сигурността 4.1 Уязвимост (слабост) Има три основни слабости: • Технологични o TCP/IP протокола - HTTP, FTP и ICMP са изключително несигурни, защото информацията се изпраща в чист текст o Слабост на операционната система – всяка ОС има някакви проблеми със сигурността, на които трябва да се обърне внимание o Слабост на мрежовото оборудване – дали се използват силни пароли, липса на автентикация, рутинг протоколи, дупки във firewall-a • Конфигурационни o Необезопасени потребителски акаунти o Администраторски акаунти с лесни за отгатване пароли o Настройка по подразбиране o Не добро конфигуриране на мрежовото оборудване • Слабост в политиката на сигурност o Липса на политика за сигурност o Неприлагане на АCL o Софтуерните и хардуерните инсталации не спазват политиката o Липса на план за действие при пробив в системата 4.2 Заплахи за физическата инфраструктура
4
• Хардуерни заплахи – физическа повреда на сървъри, рутери, работни станции и др. • Заплахи от околната среда – температурни пикове и спадове, рязка смяна на влажността в помещенията • Електрически заплахи – пренапрежение, тотална липса на електрозахранване 4.3 Мрежови заплахи Основно се делят на 4 класа: • Неструктурирани заплахи -
от неопитни атакуващи, които
използватлесно достъпни инструменти за атака. • Структурирани заплахи – от един или група атакуващи, които са силно мотивирани и технически компетентни (познават добре слабите места и използват по-сложни инструменти за атака). • Външни заплахи – от един или група атакуващи, които нямат оторизиран
достъп
до
компютърните
системи
или
мрежата
(обикновено осъществяват връзка през Интернет). • Вътрешни заплахи – от някой, който има оторизиран достъп до мрежата, физически или чрез акаунт. Типове мрежови атаки • Разузнаване – получаване на IP адресът на сървър на компанията, сканиране на портове, снифиране на пакетите. Целата е да се види или открадне информация от организацията.
5
• Достъп – чрез слабост в системата за автентикация, FTP услугите или web услугите да се получи достъп до web акаунти, конфиденциални бази от данни и друга ценна информация. • Отказ от услуга (Denial of Service DoS) – това е най-често срещаната атака, както и най-трудната за преодоляване. Към този вид атаки се отнасят – ping of death (изпращане на ping с по-голям размер), SYN Flood (атакуващия използва ТCP three-way handshake, при което изпраща множество SYN Request, сървърите отговарят със SYN-ACK, a атакуващия така и не потвърдава Final ACK, при което ресурсите на сървърите сврършват и не могат да отговорят на реалните заявки на потребителите), E-mail bombs Червеи, вируси, Троянски коне 5. Основни техники за “отбрана” 5.1 За сървъри и работни станции: • Промяна
на
новоинсталираните
машини на
настройките
по
подразбиране • Смяна на потребителските имена и паролите • Достъпът до ресурсите да се забрани за всички, освен за тези, които са оторизирани • Всички услуги и сървиси, които не са необходими да се забранят или деинсталират. 5.2 Антивирусен софтуер 5.3 Персонален Firewall
6
5.4 Патчове на операционната система 5.5 Превенция и засичане на атаката
II. Firewall архитектури 1. Същност на Firewall Firewall–а представлява множество от компоненти, които ограничават (разрешават, забраняват, криптират, декриптират) достъпа до Интернет или до други части на мрежите: • ограничава входа и изхода на потребителите в контролирани точки • предпазва от атаки срещу защитени ресурси Firewall-a
представлява
съвкупност
от
мерки
разработени
да
предотвратят неоторизиран достъп до компютърните мрежи и отделните потребители. Firewall-a може да се изгради както чрез хардуерни устройства, така и чрез софтуер, но може да бъде и комбинация от двете. Най-често Firewall се използва за предотвратяване на неоторизиран достъп на Интернет потребители до private мрежите и особено до intranet.
7
Има няколко типа firewall техники: • Packet filtering (филтриране на пакети) – всеки пакет, който влиза или излиза от мрежата се преглежда и съответно се приема или отхвърля на базата на предварително дефинирани правила. • Application gateway – механизми на сигурност се прилагат на специални приложения като FTP и Telnet сървъри. • Circuit-level gateway – прилагат се механизми на сигурност когато се установяват TCP и UDP конекции. След като веднъж се осъществят конекциите, пакетите се обменят между хостовете без повече проверки. • Proxy server – всички съобщения, които влизат и излизат от мрежата минават през този сървър. По този начин вътрешната мрежа остава скрита за света. В практиката тези техники се използват едновременно. 2. Какво може Firewall? • той е фокусираща точка за определяне насигурността • подсилва политиката на сигурност • може да съхранява информация за • Интернет трафика • предотвратява разпространението на • вашите проблеми 3. Какво не може Firewall?
8
• не може да ви предпази от вътрешнинедоброжелатели • не може да ви защити от конекции, коитоне минават през него • не може да ви предпази от най-последните заплахи • не може да ви предпази от вируси 4. Firewall- основни понятия • Bastion host – защитаваната машина (машината, към която имаме публичен достъп) • Dual-homed host – машина с 2 интерфейса • Packet filtering – филтриране на пакети не само на база IP адрес на източника, но и на база съдържание на IP пакета • Perimeter network (DMZ) – гранична зона или още демилитаризирана зона, намираща се между вътрешната мрежа и Интернет • Proxy server – софтуер позволяващ прозрачно пропускане на заявки 5. Firewall архитектури 5.1 Dual-Homed Host – компютър с 2 мрежови карти играе роля на опростен Firewall. Едната конекция е към вътрешната мрежа, а другата – към Интернет. Няма директен IP трафик между Интернет и вътрешната мрежа.
9
5.2 Dual-Homed Host + Proxy – архитектурата се обезпечава чрез инсталиране на proxy сървър, а на клиентските машини – proxy клиент. Proxy сървърът играе роля на посредник, като вътрешната мрежа остава невидима за света.
5.3 Screened Host – между вътрешната мрежа и Интернет се поставя рутер, чиято роля е да ограничава трафика до определени машини отвън, както и да ограничава изходящия трафик от вътрешната мрежа. Това става на база филтриране на пакети. Bastion хостът е достъпен от Интернет, както е разрешен и трафикът от него към Интернет. Другите хостове могат
10
да комуникират с Интернет чрез proxy сървър, който е инсталиран на Bastion хоста. Тази архитектура е по-гъвкъва от Dual-homed host + proxy. Bastion хостът е единствената машина, която е обект на атаките. Недостатъ е, че ако Bastion хоста се компроментира, атакуващите ще имат достъп до цялата вътрешна мрежа.
5.4 Screened subnet – при тази архитектура има два рутера (външен и вътрешен), а Bastion хоста се намира на отделен сегмент от хостовете от вътрешната мрежа. Този сегмент се нарича
демилитаризираната зона
(DMZ). Дори атакуващите да “пробият” през външния рутер и да стигнат до Bastion хоста, вътрешната мрежа остава скрита. Компоненти на Screened subnet архитектура: • Perimeter network (DMZ) • Bastion host • Вътрешен рутер (choke router) • Външен рутер (access router)
11
6. Допустими архитектурни решения 6.1. Множество Bastion хостове
12
6.2 Обединяване на вътрешен и външен рутер
6.3 Обединяване на външен рутер и Bastion хост
13
6.4 Множество външни рутери
6.5 Множество DMZ
14
7. Недопустими архитектурни решения 7.1 Обединяване на Bastion хост и вътрешния рутер
7.2 Множество вътрешни рутери
15