Firewalls. Firewalls

Tamanho: px

Começar a partir da página:

Download "Firewalls. Firewalls"

Daniel de Almada Botelho
8 Há anos
Visualizações:

1 Firewalls Firewalls Paredes Corta-Fogo Regula o Fluxo de Tráfego entre as redes Pacote1 INTERNET Pacote2 INTERNET Pacote3 Firewalls Firewalls Barreira de Comunicação entre duas redes Host, roteador, PC ou conjuntos de hosts especialmente configurados para vigiar os pacotes direcionados à rede privada (Hardware + Software) Política de Acesso à rede que obriga todos os pacotes direcionados à rede privada passarem através do Firewall O Firewall examina os pacotes e bloqueia os pacotes suspeitos e/ou não autorizados Finalidade: Controle de Acesso Proteger a rede privada de acessos não autorizados provenientes de outras redes Registrar a comunicação entre as máquinas internas e externas Não protege: Ataques provenientes da rede interna Entrada de arquivos com Virus 1

direcionados à rede privada passarem através do Firewall O Firewall examina os pacotes e bloqueia os pacotes suspeitos e/ou não autorizados Finalidade: Controle de Acesso Proteger a rede

2 Firewalls Firewalls Vantagens: Oferece um único ponto de acesso à rede concentrando o gerenciamento da segurança e a localização de problemas Somente tráfego autorizado (definido pela política de segurança da rede) é autorizado a passar Desvantagens: Único ponto de falha Violação do Firewall faz com que toda a rede fique vulnerável Limitações: Firewalls não garantem a integridade dos dados A verificação de todo o tráfego recebido não é viável => queda de desempenho Firewalls não garantem a autenticidade da origem dos dados Não há controle sobre como o pacote foi criado e nem do que ele faz ao chegar ao destino Firewalls - Terminologia Firewalls - Terminologia Hospedeiro (host) computador conectado a rede Hospedeiro Bastião (Bastion Host) computador com alto nível de segurança. Ponto de contato com outras redes Hospedeiro com Dupla Conexão (Dual- Homed Host) computador com pelo menos duas interfaces de rede, sem fazer roteamento entre elas (Packet Filter ou Screen) controle seletivo da passagem de pacotes, baseado em seus tipos e funções Servidor Procurador (Proxy Server) programa que interage com servidores externos representando clientes internos intermediário da comunicação nos dois sentidos 2

verificação de todo o tráfego recebido não é viável => queda de desempenho Firewalls não garantem a autenticidade da origem dos dados Não há controle sobre como o pacote foi criado e nem do que ele

3 Firewalls - Terminologia Tipos de Firewalls Zona de Perímetro ou Zona Desmilitarizada (DMZ) uma sub-rede localizada entre a rede externa e a privada (protegida) Filtros Inteligentes Gateway no nível da Aplicação baseados no roteador usam a capacidade do roteador de filtrar pacotes para controlar o tipo de tráfego que passa pelo roteador baseados no host Funcionamento Tecnologia Store-and-Forward ( Armazene e Encaminhe ) dos roteadores Roteador ou Host recebe pacote em uma interface Compara as informações em seu cabeçalho com um conjunto de filtros Decide se o pacote deve passar ou ser rejeitado Se for rejeitado, envia uma menssgem ao emissor indicando a rejeição 3

pelo roteador baseados no host Funcionamento Tecnologia Store-and-Forward ( Armazene e Encaminhe ) dos roteadores Roteador ou Host recebe pacote em uma interface

4 Sintaxe das Regras Regras <lista de acesso#><permit/deny><protocolo><origem><destino><opções> Exemplo 1: Bloqueio do tráfego para o protocolo telnet (porta 23) LISTA AÇÃO PROTOCOLO ORIGEM DESTINO list 1 deny tcp all inside port 23 recusa todos os pacotes TCP sem levar em conta a origem, que tenham como destino a porta 23 de qualquer host da rede interna Exemplo 2: Permitir a entrada para o telnet do host com endereço IP LISTA AÇÃO PROTOCOLO ORIGEM DESTINO list 2 permit tcp inside port 23 permite a entrada de todos os pacotes TCP cuja origem é que tenham como destino a porta 23 de qualquer host da rede interna Conflitos: Se na lista de acesso existirem regras conflitantes, a maioria dos filtros aplicará a que vier primeiro Bloqueio: Se a empresa permite que seus funcionários usem a Internet, não poderá bloquear todas as portas dos seus hosts para recebimento de tráfego pois o tráfego de retorno das solicitações emitidas estaria bloqueado Soluções para o Bloqueio Em geral, o tráfego de retorno se destina a portas acima de 1024 liberar o tráfego para as portas acima de 1024 bloquear o tráfego para as porta abaixo de 1024 LISTA AÇÃO PROTOCOLO ORIGEM DESTINO list 1 permit tcp all inside port > 1024 list 2 permit udp all inside port > 1024 list 3 deny tcp all inside port < 1024 list 4 deny udp all inside port < 1024 Problema: Libera pacotes para servidores que estejam sendo executados em portas de numeração alta (aplicações internas) Soluções para o Bloqueio Usar informações de estado no TCP O pacote TCP tem um flag no cabeçalho que indica se eles fazem parte da conexão atual ou se representam uma tentativa de estabelecer conexão ACK Establish O filtro pode examinar este flag e bloquear o pacote com tentativa de nova conexão LISTA AÇÃO PROTOCOLO ORIGEM DESTINO OPÇÕES list 1 permit tcp all inside ACK 4

5 Arquiteturas de Firewall Roteador com Triagem Roteador com Triagem Gateway de Base Dupla (Dual-Homed Gateway) Gateway Host com Triagem Sub-Rede com Triagem no próprio roteador (Packet Filtering ou Screening) Arquitetura transparente para as partes envolvidas Ponto central de falhas Bastion Host (Host Bastião) Bastion Host Bastion são partes fortificadas de um castelo medieval Bastion Host é um ponto crítico da rede que deve ter um alto nível de segurança Devem ser alvo constante de observação para garantir segurança (análise de logs, auditoria...) Internet Bastion Host 5

Bastion Host (Host Bastião) Bastion Host Bastion são partes fortificadas de um castelo medieval Bastion Host é um ponto crítico da rede que deve

6 Gateway de Base Dupla Gateway de Base Dupla Gateway com duas interfaces de rede isolando uma rede da outra Não realiza roteamento IP entre as duas interfaces As duas redes não podem se comunicar diretamente Internet Bastion Host Um Dual Homed Gateway nada mais é que um Bastion Host Gateway Host com Triagem Gateway Host com Triagem Combina Roteador com Host Roteador é a primeira linha de defesa e restringe os pacotes recebidos pelo Host Host é a segunda linha de defesa Implementação muito popular Internet Roteador com filragem Host 6

um Bastion Host Gateway Host com Triagem Gateway Host com Triagem Combina Roteador com Host Roteador é a primeira linha de defesa e

7 Gateway Host com Triagem Desvantagens: O gateway Host deve executar alguns serviços para que possa oferecê-los a usuários externos (telnet, ftp,...). Se não forem usados servidores proxy, as contas de usuários também deverão estar no host O gateway Host representa um ponto central de falhas Sub-Rede com Triagem (Screened Subnet) Subrede isolada é criada entre a rede privada e a Internet. Isolamento é feita usando roteadores com triagem (screening routers - filtros), que implementam filtragem Camada adicional de segurança a arquitetura screened host adicionando uma DMZ que isola a rede interna da Internet DMZ (Zona Desmilitarizada) Sub-Rede com Triagem Rede interposta entre a rede externa e a rede protegida Também chamada de Zona de Perímetro ou Rede de Perímetro Internet Roteador Externo com filragem Bastion Host Roteador Interno com filtragem Firewall Um Bastião é colocado na DMZ 7

criada entre a rede privada e a Internet.

8 Resumo das Arquiteturas Resumo das Arquiteturas Roteador com Triagem Vantagens Transparentes para o usuário Relativamente Fácil e Barato Desvantagens Dificuldade para tratar determinados tipos de tráfego Difícil de configurar Recursos de Log limitados ou inexistente Gateway de Base Dupla Vantagens Oculta a estrutura interna Desvantagens Inconveniente para os usuários (exige modificações no seu comportamento) Necessidade de vários proxies Resumo das Arquiteturas Resumo das Arquiteturas Gateway Host com Triagem Vantagens Segurança distribuída entre dois pontos Acesso externo transparente Desvantagens Ponto de Falha central Sem proteção contra gateways comprometidos Sub-rede com Triagem Vantagens Bom nível de segurança Desvantagens Difícil de Configurar 8

modificações no seu comportamento) Necessidade de vários proxies Resumo das Arquiteturas Resumo das Arquiteturas Gateway Host com Triagem Vantagens Segurança distribuída entre dois pontos

9 Componentes de um Bom Firewall Autenticação: o firewall deve fornecer uma estratégia de autenticação ou deve ser compatível com a adotada pela empresa Controle de Acesso: a maioria usa controle de acesso baseado em endereço IP Compatibilidade com Aplicações: deve ser compatível com as aplicações que a empresa usar Auditoria: no mínimo, arquivos de log 9

maioria usa controle de acesso baseado em endereço IP Compatibilidade com Aplicações:

Documentos relacionados

Segurança em Sistemas de Informação Tecnologias associadas a Firewall

Segurança em Sistemas de Informação Tecnologias associadas a Firewall Algumas definições Firewall Um componente ou conjunto de componentes que restringe acessos entre redes; Host Um computador ou um dispositivo conectado à rede; Bastion Host Um dispositivo que deve ser extremamente