Gestão de Redes e Sistemas Distribuídos

Transcrição

1 Gestão de Redes e Sistemas Distribuídos Setembro 2006 Arquitecturas de Gestão SNMPv3

2 Sumário???? Módulo II: Arquitecturas de Gestão Conceito de arquitectura de Gestão Arquitectura de Gestão SNMP SNMPv3 TMV/RSC Gestão de Redes e Sistemas Distribuídos 2

3 Base de concepção: SNMPv2 Requisitos Simplicidade Arquitectura modular Segurança execução das acções de controlo Diferentes ambientes operacionais Modelos de segurança alternativos Normalização por partes TMV/RSC Gestão de Redes e Sistemas Distribuídos 3

4 Aproximação de desenvolvimento Configuração remota Chaves secretas configuradas remotamente ESTRUTURADA Documentos Descrição de cada parte num só documento (MIB e funções) Arquitectura Modelos conceptuais baseados em subsistemas e interfaces Segurança Protecção contra ataques de segurança Complexidade controlada Suporte de dispositivos simples TMV/RSC Gestão de Redes e Sistemas Distribuídos 4

5 Tipos de ataques de segurança contemplados Modificação de informação Alteração de uma mensagens em trânsito Alteração de informação de configuração ou de contabilização de recursos Disclosure Observação de trocas de informação Gestor - Agente Observação de um comando de alteração de password Alteração de sequência Duplicação, atraso ou reordenação de mensagens Duplicação uma mensagem de reboot Masquerade Realização de operações não permitidas a uma entidade através da adopção de uma entidade falsa, que tenha privilégios para as executar TMV/RSC Gestão de Redes e Sistemas Distribuídos 5

6 Tipos de ataques de segurança não contemplados Negação de serviço Evitar a comunicação Gestor - Agente Situação análoga à que se verifica quando há falha de comunicação Quando ocorre afecta todas as comunicações pelo que deverá ser resolvido no âmbito geral das comunicações, e não específico da gestão. Análise de tráfego Observação do padrão de tráfego gerado Gestor - Agente Padrão de tráfego previsível, pelo que não há vantagem em proteger a sua observação TMV/RSC Gestão de Redes e Sistemas Distribuídos 6

7 Princípios fundamentais da arquitectura Conceito de entidade A arquitectura de Gestão SNMP é constituída por um conjunto de entidades SNMP distribuídas, que cooperam entre si. Cada entidade implementa uma parte da arquitectura SNMP, podendo funcionar como Agente, Gestor ou ambos em simultâneo. Conceito de módulo Cada entidade é constituída por um conjunto de módulos que interagem entre si para providenciar serviços. As interacções são modeladas através dum conjunto de primitivas abstractas e parâmetros. TMV/RSC Gestão de Redes e Sistemas Distribuídos 7

8 Gerador de Comandos Entidade SNMP Aplicações Gerador de Notificações Proxy Forwarder Gerador de Respostas Receptor de Notifcações Outros Despacho Subsistema de Processamento de Mensagens Subsistema de Segurança Máquina SNMP Subsistema de Controlo de Acessos TMV/RSC Gestão de Redes e Sistemas Distribuídos 8

9 Gerador de Comandos Envia mensagens Get, GetNext, GetBulk e SetRequest Processa mensagens Response recebidas como resposta a pedidos enviados Gerador de Respostas Gerador de Processa mensagens Get, GetNext, GetBulk e SetRequest recebidas Utiliza o Controlo de Acessos e executa a acção adequada Envia mensagem Response como resposta a pedidos recebidos Aplicações Gerador de Notificações Monitoriza um sistema e gera Traps ou InformRequest com base em eventos ou condições Selecciona o destino das Notificações, versão do SNMP e parâmetros de segurança Receptor de Notificações Espera e recebe Traps ou InformRequest Gera uma resposta quando recebe InformRequest Proxy Forwarder Envia mensagens SNMP Opcional!!! TMV/RSC Gestão de Redes e Sistemas Distribuídos 9

10 Máquina SNMP Despacho Coordena a transferência de PDUs entre a rede e as aplicações Segurança Serviços de segurança Ex: autenticação e confidencialidade Processamento mensagens Conversão PDUs <-> mensagens SNMP Controlo de Acesso Serviços de autorização que uma aplicação necessita para a verificação de privilégios TMV/RSC Gestão de Redes e Sistemas Distribuídos 10

11 Gerador de Comandos Gerador de Notificações Receptor de Notifcações Despacho Despacho de PDU Despacho de Msg. Mapeamento de Transporte v1mp Processamento v2cmp de v3mp Mensagens Outro Segurança Baseado em Utilizador Outro UDP IPX Outros Rede Estrutura geral dum Gestor TMV/RSC Gestão de Redes e Sistemas Distribuídos 11

12 Gerador de Respostas Manipulação da MIB Gerador de Notificações Proxy Forwarder Despacho Despacho de PDU Despacho de Msg. Mapeamento de Transporte v1mp Processamento v2cmp de v3mp Mensagens Outro Segurança Baseado em Utilizador Outro Controlo de Acessos Baseado em Views Outro UDP IPX Outros Rede Estrutura geral dum Agente TMV/RSC Gestão de Redes e Sistemas Distribuídos 12

13 Exemplo: Polling Gestor Agente Diagrama temporal do Gestor e do Agente? Identificar no Gestor e no Agente: 2. Módulos envolvidos 3. Sequência de acções 4. Interfaces TMV/RSC Gestão de Redes e Sistemas Distribuídos 13

14 Exemplo: Caso do Gestor Gerador de Comandos Despacho Sub-sistema de Processamento de Mensagens Sub-sistema de Segurança sendpdu prepareoutgoingmsg generaterequestmsg. Envia SNMP RequestMsg para a rede Recebe SNMP ResponseMsg da rede preparedataelements processingincomingmsg responsepdu TMV/RSC Gestão de Redes e Sistemas Distribuídos 14

15 Exemplo: Caso do Agente Receptor de Comandos Despacho Sub-sistema de Processamento de Mensagens Sub-sistema de Segurança registercontextengineid Recebe SNMP RequestMsg da rede preparedataelements processingincomingmsg processpdu returnresponsepdu prepareresponsemsg generateresponsemsg Envia SNMP ResponseMsg para a rede TMV/RSC Gestão de Redes e Sistemas Distribuídos 15

16 Arquitectura de Gestão Internet-SNMPv2 TMV/RSC Gestão de Redes e Sistemas Distribuídos 16

17 RESUMO TMV/RSC Gestão de Redes e Sistemas Distribuídos 17

18 ?? MENSAGEM CIFRADA TMV/RSC Gestão de Redes e Sistemas Distribuídos 18

19 TEMPO ACTUAL Janela de Tempo TMV/RSC Gestão de Redes e Sistemas Distribuídos 19 t

20 Arquitectura de Gestão Internet-SNMPv2 Mecanismos de segurança Autenticidade da origem e do conteúdo: ckecksum MD5 Valor obtido = f (mensagem, chave) A mensagem é enviada, a chave é comum à origem e destino, mas não é enviada Confidencialidade Data Encripation Standard (DES) Modo Cipher Block Chaining (CBC): o valor de uma parte da mensagem afecta o valor cifrado da parte restante Time Stamp: Monitorização de sequências fora de ordem Definição de intervalo máximo para a resposta Complexidade TMV/RSC Gestão de Redes e Sistemas Distribuídos 20

21 Modelo de Controlo de Acessos baseado em VIEWS Grupos { (securitymodel, securityname)} utilizados no acesso aos objectos Nível de segurança O tipo de acesso de um grupo depende do nível de segurança associado à mensagem acesso RO para mensagens não autenticadas Contexto Agregação de objectos em {} de acordo com critérios de acesso 2 bridges não SNMP geridas por um Proxy, que mantém a MIB de cada em contextos distintos. MIB views MIB view restringe o acesso de um grupo a determinados objectos da MIB Política de acesso Definição de perfis de acesso. TMV/RSC Gestão de Redes e Sistemas Distribuídos 21

22 Resumo da aula SNMPv3 Conceitos gerais Entidade SNMP Segurança Controlo de acessos TMV/RSC Gestão de Redes e Sistemas Distribuídos 22