Segurança de Redes de Computadores. Ricardo José Cabeça de Souza

Transcrição

1 Segurança de Redes de Computadores Ricardo José Cabeça de Souza

2 Arquitetura Redes COMUNICAÇÃO EM CAMADAS Para reduzir a complexidade do projeto a maior parte das redes são organizadas em uma série de camadas ou níveis O número, nome, conteúdo e função de cada camada difere de uma rede para outra Em cada par de camadas adjacentes há uma interface que define as operações e serviços que a camada inferior tem a oferecer a superior

3 Arquitetura Redes S IS TE MA A S IS TE MA B Camada 4 P rotocolo da Camada 4 Camada 4 Interface 3/4 Interface 3/4 Camada 3 P rotocolo da Camada 3 Camada 3 Interface 2/3 Camada 2 P rotocolo da Camada 2 Camada 2 Interface 2/3 Interface 1/2 Camada 1 P rotocolo da Camada 1 Camada 1 Interface 1/2 Meio de Comunicação

4 Arquitetura Redes ARQUITETURA DE REDES Um conjunto de camadas de protocolos É formada por níveis, interfaces e protocolos Deve conter informações suficientes para permitir que um implementador desenvolva o programa ou construa o hardware de cada camada, de forma que ela obedeça corretamente ao protocolo adequado

5 Arquitetura Redes MODELO DE REFERÊNCIA OSI (Open Systems Interconnection) Baseia-se no conceito de camadas Padronizado pela ISO (International Organization for Standardization) Cada camada executa um conjunto bem definido de funções Devem possibilitar troca de informações entre processos de aplicação (AP Application Process) Divide as redes de computadores em sete camadas

6 Arquitetura Redes

7 Protocolo TCP/IP, SCTP DoD - Department of Defense

8 Arquitetura Redes

9 Arquitetura Redes TRANSMISSÃO DE DADOS NO MODELO OSI PROCESSO EMISSOR DADOS PROCESSO RECEPTOR Aplicação AH DADOS Aplicação Apresentação PH DADOS Apresentação Sessão SH DADOS Sessão Transporte TH DADOS Transporte Rede NH DADOS Rede Enlace LH DADOS C R C Enlace Física BITS Física

10 Arquitetura Redes PCI Camada de aplicação PCI Protocol Control Information SDU Service Date Unit PDU Protocol Date Unit

11 Arquitetura TCP/IP TCP/IP TCP Transmission Control Protocol IP Internet Protocol Meados década de 1960 Departamento de Defesa dos EUA(DoD) Projeto ARPA(Advanced Research Project Agency) Projeto piloto: 1972

12 Arquitetura TCP/IP Principais Características Padrões de protocolos abertos Independente da especificação do hardware da rede física Esquema de endereçamento universal Permite consistentes e amplos serviços aos usuários Independente de arquitetura e sistema operacional de rede

13 Arquitetura TCP/IP Definições da Arquitetura TCP/IP são encontradas em documentos denominados RFC (Request for Comments) Documentos elaborados e distribuídos pelo Internet Architecture Board Subsidiária do IAB IRTF(Internet Research Task Force) IETF (Internet Engineering Task Force)

14 Arquitetura TCP/IP Host A Aplicação Mensagem Idêntica Pacote Idêntico Host B Aplicação Transporte Gateway Inter-rede Transporte Inter-rede Interface de Rede Datagrama Idêntico Quadro Idêntico Interface de Rede Interface de Rede Datagrama Idêntico Quadro Idêntico Inter-rede Interface de Rede Rede Física 1 Intra-Rede Rede Física 2 Intra-Rede Camadas Conceituais da Arquitetura Internet TCP/IP

15 Protocolo TCP/IP Camada Física/Enlace TCP/IP não define nenhum protocolo específico Suporta todos os protocolos-padrão e proprietários Exemplo Redes: LAN WAN Etc.

16 Arquitetura TCP/IP REDE FÍSICA (INTRA-REDE) Padrões: EIA/TIA 568 (Electronic Indrustry Association/Telecommunications Industry Association) Coaxial Fibra Ótica Transmissão Sem Fio ISDN (Integraded Services Digital Network) ATM (Asynchronous Transfer Mode ) EIA encerrou operações em fev/2011 e atribuíu suas atividades ao ECIA - Electronic Components Industry Association.

17 Arquitetura TCP/IP REDE FÍSICA (INTRA-REDE) Padrões: EIA/TIA 568 (Electronic Indrustry

18 Protocolo TCP/IP,SCTP

19 Camada Enlace CAMADA DE INTERFACE DE REDE (ENLACE) Fornece interface de serviço a camada de rede Determina como os bits da camada física serão agrupados em quadros(frames) Trata os erros de transmissão Controle de fluxo de quadros

20 Camada Enlace PROTOCOLOS NÍVEL DE ENLACE Ethernet ATM (Asynchronous Transfer Mode) FDDI (Fiber Distributed Data Interface) HDLC (High-level Data Link Control) Protocolo síncrono, orientado a bit, de caráter geral para canais full-duplex (ponto-a-ponto ou multiponto) HDLC é o tipo de encapsulamento padrão para cada porta serial em roteadores

21 Camada Física/Enlace Protocolo TCP/IP Principal protocolo utilizado: Ethernet

22 Camada Enlace ETHERNET Os elementos básicos do Ethernet QUADRO(Frame) Conjunto padronizado bits usados para transporte dados Protocolo MEDIA ACCESS CONTROL(MAC) Regras de acesso COMPONENTES DE SINALIZAÇÃO Dispositivos eletrônicos para enviar e receber dados MEIO FÍSICO Cabos ou outros meios

23 Camada Enlace O Quadro Ethernet

24 Camada Física/Enlace Protocolo TCP/IP Principal protocolo utilizado: Ethernet Frame(Quadro) Ethernet Fonte:

25 Camada Enlace PROTOCOLO MAC (Media Access Control) Regras de controle de acesso à mídia CSMA/CD Sinal está sendo transmitido PORTADORA Quando deseja transmitir AUSÊNCIA DE PORTADORA Canal ocioso espera breve tempo IFG (InterFrame Gap 96 bits) TRANSMITE QUADRO Duas estações transmitem simultaneamente DETECÇÃO DE COLISÃO REPROGRAMAR TRANSMISSÃO

26 Protocolo ARP Address Resolution Protocol Utilizado para mapear endereço IP(Nível superior) para endereço físico (MAC) Permite que o host origem encontre o endereço MAC do host destino

27 Protocolo TCP/IP Address Resolution Protocol (ARP) Utilizado para mapear endereço IP(Nível superior) para endereço físico (MAC) Permite que o host origem encontre o endereço MAC do host destino Funções: Determinar endereço físico Responder pedidos outros hosts Funcionamento Antes de enviar: Verifica cache Se encontrar endereço, envia frame Se não encontrar, envia broadcast pedido ARP

28 Protocolo TCP/IP Address Resolution Protocol (ARP)

29 Protocolo TCP/IP Rede Local

30 Protocolo TCP/IP Rede Remota

31 Protocolo ARP Fonte Imagem:

32 Protocolo ARP Comandos do ARP arp /? help arp a exibe as entradas atuais

33 Protocolo TCP/IP Spanning Tree Protocol (STP) É um protocolo de rede que protege a topologia da rede com loops gerados por algum dispositivo na rede local Ethernet STP é um protocolo da camada de enlace (Data Link Layer) Padronizado pelo IEEE como 802.1D Cada LAN é acessada pelas outras LANs através de um único caminho, sem loops

34 Protocolo TCP/IP Spanning Tree Protocol (STP) A topologia lógica sem loops criada é chamada de árvore É uma topologia lógica em estrela ou em estrela estendida Spanning-tree (árvore de espalhamento) porque todos os dispositivos da rede podem ser alcançados ou estão abrangidos por ela O algoritmo usado para criar essa topologia lógica sem loops é o algoritmo spanning-tree Esse algoritmo pode levar um tempo relativamente longo para convergir Para reduzir o tempo que uma rede leva para computar uma topologia lógica sem loops, foi desenvolvido um novo algoritmo, chamado rapid spanning-tree

35 Protocolo TCP/IP Se o switch A parar, o segmento 2 continua ativo em razão da redundância garantida pelo switch B

36 Protocolo TCP/IP Spanning Tree Protocol (STP) STP adiciona portas em estado de bloqueio

37 Protocolo TCP/IP Spanning Tree Protocol (STP) A cada Bridge é associado um ID e a que possuir o menor ID na topologia física é eleita a Bridge Raiz (root bridge) da Árvore STP Cada Bridge, exceto a Bridge Raiz, terá uma única Porta Raiz (root port) que será a que possuir o menor custo (largura de banda, saltos e/ou delay de propagação de frames) no caminho desta à Bridge Raiz. Pode ser determinada pelo STP ou pelo Administrador da Rede Para cada LAN, é determinada uma Bridge Designada que é aquela que possui o menor custo entre a LAN e a Bridge Raiz. A porta que conecta a LAN à Bridge Designada é denominada Porta Designada Se duas Bridges tiverem o mesmo custo para atingir a Bridge Raiz, a que tiver o menor ID será considerada a Bridge Designada

38 Protocolo TCP/IP Spanning Tree Protocol (STP) 1. STP estabelece um nó raiz chamado de bridge raiz 2. Constrói uma topologia que tem um caminho para alcançar todos os nós da rede, a partir de uma árvore com origem na bridge raiz 3. Os links redundantes que não fazem parte da árvore do caminho mais curto são bloqueados

39 Segurança de Redes Segurança Camada Enlace Alguns Ataques Sniffer ARP Ataques

40 Segurança de Redes SNIFFING É o procedimento realizado por uma ferramenta conhecida como Sniffer Também conhecido como Packet Sniffer, Analisador de Rede, Analisador de Protocolo, Ethernet Sniffer em redes do padrão Ethernet ou ainda Wireless Sniffer em redes wireless Constituída de um software ou hardware capaz de interceptar e registrar o tráfego de dados em uma rede de computadores

41 Segurança de Redes Sniffer Fonte imagem:

42 Segurança de Redes Sniffer Usado para furto de informações: nomes de usuários, senhas, conteúdo de e- mails, - conversas chat, dados internos em uma empresa Ataques internos (funcionários hostis) Ataques remotos, via Internet, com acesso privilegiado a um gateway (roteador de perímetro), que fica entre a rede interna e a externa

43 Segurança de Redes Sniffer Ferramentas: IPTraf Wireshark EtherDetect Kismet

44 Segurança de Redes ARP Poisoning/ARP Spoofing/MITM(Man In The Middle) Quando uma falsa resposta é dada em consultas ARP Um endereço MAC é associado a um IP que na realidade não é o seu correspondente e então é adicionado na tabela ARP Consiste em modificar a tabela ARP de um computador se passando por outro Essa técnica permite desviar mensagens que seriam destinadas a outro computador para o seu Conhecido também como ARP Spoofing e Man In The Middle

45 Segurança de Redes ARP Poisoning/MITM(Man In The Middle) Fonte imagem:

46 Segurança de Redes ARP Poisoning/ARP Spoofing/MITM(Man In The Middle) Ferramentas: Arpwatch/ Winarpwatch É um programa de monitoração da tabela ARP em uma rede A partir de uma cópia da tabela que ele mantém armazenada, este software de vigilância consegue detectar qualquer alteração no ARP cache Ao detectar alguma mudança na tabela, o Arpwatch gera relatórios e pode enviar mensagens de aviso por

47 Segurança de Redes Segurança Camada Física VLAN (Virtual Local Area Network ou Virtual LAN) Estruturas capazes de segmentar, logicamente, uma rede local em diferentes domínios de broadcast Possibilita a partição de uma rede local em diferentes segmentos lógicos (criação de novos domínios broadcast), permitindo que usuários fisicamente distantes (por exemplo, um em cada andar de um edifício) estejam conectados a mesma rede

48 Segurança de Redes Benefícios VLAN Controle Tráfego broadcast Segmentação lógica Redução de custos e facilidade de gerenciamento Independência da topologia física Maior segurança

49 Segurança de Redes Segurança Camada Física Tipo de VLAN Modelo 1 VLAN de nível 1 (também chamada VLAN por porta, em inglês Port-Based VLAN) Define uma rede virtual em função das portas de conexão no comutador Configuração é rápida e simples Desvantagem:» Movimentação dos usuários reconfiguração VLAN

50 Segurança de Redes VLAN Membros de uma VLAN podem ser definidos de acordo com as portas da ponte/comutador utilizado

51 Segurança de Redes Fonte Imagem:

53 Segurança de Redes Segurança Camada Enlace Tipo de VLAN - Modelo 2 VLAN de nível 2 (igualmente chamada VLAN MAC, em inglês MAC Address-Based VLAN) Consiste em definir uma rede virtual em função dos endereços MAC das estações Este tipo de VLAN é muito mais flexível que a VLAN por porta, porque a rede é independente da localização da estação

54 Segurança de Redes Tipo de VLAN - Modelo 2 VLAN de nível 2 (igualmente chamada VLAN MAC, em inglês MAC Address-Based VLAN) Os membros da rede virtual são identificados pelo endereço MAC (Media Access Control) da estação de trabalho O comutador reconhece o endereço MAC pertencente a cada VLAN

55 Segurança de Redes Tipo de VLAN - Modelo 2 VLAN de nível 2 (igualmente chamada VLAN MAC, em inglês MAC Address-Based VLAN) Quando uma estação de trabalho é movida, não é necessário reconfigurá-la para que esta continue pertencendo a mesma VLAN, já que o endereço MAC faz parte da sua placa de interface de rede Problema: membro de uma VLAN deve ser inicialmente especificado, obrigatoriamente.

56 Segurança de Redes Segurança Camada Enlace Tipo de VLAN - Modelo 3 VLAN de nível 2 Membros de uma VLAN camada 2 também podem ser identificados de acordo com o campo "tipo de protocolo" encontrado no cabeçalho da camada 2

57 Segurança de Redes Segurança Camada Enlace Tipo de VLAN - Modelo 3 VLAN de nível 2 Membros de uma VLAN camada 2 também podem ser identificados de acordo com o campo "tipo de protocolo" encontrado no cabeçalho da camada 2

58 Segurança de Redes Segurança Camada Enlace Tipo de VLAN - Modelo 4 VLAN de nível 2 Membros de uma VLAN camada 2 também podem ser identificados de acordo com o campo tagged" inserido no protocolo do cabeçalho da camada 2 Especificação 802.1Q É conseguido introduzindo um TAG com um identificador de VLAN (VID) entre 1 e em cada frame As portas do Switch com protocolo 802.1Q podem ser configuradas para transmitir frames com tagged ou untagged

59 Segurança de Redes Fonte imagem:

63 Referências FOROUZAN, Behrouz A. Comunicação de dados e redes de computadores. 4. ed. São Paulo: McGraw-Hill, CIFERRI, Cristina D. A. CIFERRI, Ricardo R. FRANÇA, Sônia V. A. Firewall. Lima, Marcelo. Nakamura, Emílio. Segurança de Redes e Sistemas. Versão Escola Superior de Redes RNP:2007. MEDEIROS, Carlos Diego Russo. SEGURANÇA DA INFORMAÇÃO: Implantação de Medidas e Ferramentas de Segurança da Informação. Universidade da Região de Joinville UNIVILLE, NIC BR Security Office. Cartilha de Segurança para Internet. Parte VII: Incidentes de Segurança e Uso Abusivo da Rede. Versão 2.0, NIC BR Security Office. Cartilha de Segurança para Internet. Parte II: Riscos Envolvidos no Uso da Internet e Métodos de Prevenção. Versão 2.0, 2003.