Gestão de Sistemas e Redes

Transcrição

1 Gestão de Sistemas e Redes Firewalls Paulo Coelho 2005 Versão Acessos do exterior A ligação da rede de uma empresa a um sistema aberto como a Internet merece muitíssimo cuidado Três preocupações a ter em conta: Que os dados provenientes de redes públicas são realmente de utilizadores autorizados Que os dados não foram alterados na travessia da rede pública Manter dados confidenciais longe do alcance dos hackers 2

2 Firewall Mantêm os utilizadores não autorizados fora da rede A melhor solução seria usar Ipsec. Mas é complexo e difícil de implementar Os Firewalls são considerados desnecessários por muitos puristas da área da segurança Violam muitos conceitos básicos inerentes à filosofia das redes Mas eles são uma realidade nas redes actuais Facilidade de implementação 3 Firewall Computador ou router entre o exterior e a rede privada para restringir os acessos Filtros de pacotes seleccionam e filtram os pacotes de acordo com o seu conteúdo Gateways de aplicação são firewalls baseados em proxies que funcionam ao nível da aplicação (por exemplo, podem fazer filtros com base em URLs dentro de um dado servidor) Firewall logging Os ficheiros de log são uma excelente ferramenta para medir a segurança 4

3 A ideia básica Internet não fiável Fornece mecanismos que impedem que muitos dos pacotes entrem na rede Mas permite a entrada de alguns Os que forem endereçados a serviços que se pretendem exportar E permite que pedidos como http possam sair para o exterior 5 Tipos de firewalls Filtros de pacotes Firewalls de aplicação (proxies) Firewalls baseados no estado Filtro de pacotes Baseado num router (Router modificado) São configurados através de listas de controlo de acessos (ACL) especificadas normalmente de forma estática ATRAVÉS DE 4 TUPLOS (source-host, source-port, dest-host, dest-port) ( , 1234, , 80) Permitem utilização de wild cards ( *, *, servidor-web-publico, 80 ) ( o-meu-computador-casa, *, computador-empresa, *) 6

4 Firewalls de aplicação O firewall corre um processo proxy para cada serviço que se pretende expor. Qualquer pedido para esse serviço é processado primeiro pelo proxy. Firewall Web Server proxy Web server xyx Service proxy xyx service 7 Filtros de pacotes Vantagens: Baixo custo Facilidade de configuração Inconvenientes Degradação do desempenho do router Relativa facilidade em cometer erros de configuração das listas de acesso Só actuam nos níveis protocolares inferiores (camada 3 e 4), o que impede filtragem com base nas aplicações e no comportamento dos utilizadores Exemplo: suponha que se pretende ter algumas páginas web públicas e outras só disponíveis para determinados utilizadores? É necessário filtrar mais que apenas o endereço do pacote É necessário analisar e filtrar os pedidos HTTP. 8

5 Ipchains packet traversal Input Chain Routing Forward Chain Output Chain Deny Deny Deny Local Processes 9 Evolução do mecanismo de firewall do Linux ipfwadm : Linux kernel ipchains : Linux kernel 2.2.* iptables : Linux kernel 2.4.* 10

6 Iptables Cadeias de filtragem de pacotes R outing Forward Chain Deny Input Chain Local Processes Output Chain Deny Deny 11 Sintaxe básica do iptables iptables --flush iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT iptables --policy INPUT DROP iptables --policy OUTPUT DROP iptables --policy FORWARD DROP 12

7 Acções do iptables (Targets) ACCEPT o pacote é aceite. REJECT o pacote é descartado e a fonte é informada disso. DROP LOG faz o descarte do pacote, sem notificar a fonte. regista cada ocorrência de pacotes que obedeçam a este filtro nos logs do sistema. RETURN sai da cadeia de processamento actual, retornando à cadeia anterior que havia invocado a actual. 13 Acções do iptables (Targets) SNAT source network address translation altera o endereço de origem dos pacotes. DNAT Destination NAT altera o endereço de destino dos pacotes. MASQUERADE executa IP masquerading: idêntico ao SNAT. REDIRECT redirecciona os pacotes IP para outro porto da própria máquina. MIRROR troca os endereços de origem e destino. 14

8 Sintaxe do iptables iptables -I INPUT -i eth1 -p tcp -s \ --sport 1024: d dport 22 \ -j ACCEPT iptables -I OUTPUT -o eth1 -p tcp! --syn \ -s sport 22 -d \ --dport 1024: j ACCEPT 15 Forwarding de pacotes iptables -A FORWARD -i <internal interface> \ -o <external interface> -s sport \ 1024: m state --state \ NEW,ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -i <external interface> \ -o <internal interface> -m state --state \ ESTABLISHED,RELATED -j ACCEPT *Não esquecer /proc/sys/net/ipv4/ip_forward 16

9 iptables -L -v -n Chain INPUT (policy DROP 280 packets, bytes) pkts bytes target prot opt in out source destination K ACCEPT tcp -- eth1 * tcp dpt: LOG all -- eth0 * / /0 LOG flags 0 level 4 378K 46M LOG all -- eth1 * / /0 LOG flags 0 level ACCEPT all -- lo * / / LOG all -- * * / /0 LOG flags 0 level 4 Chain FORWARD (policy DROP 0 packets, 0 bytes) pkts bytes target prot opt in out source destination K LOG all -- eth1 eth / /0 LOG flags 0 level K LOG all -- eth0 eth / /0 LOG flags 0 level ACCEPT tcp -- eth0 eth / tcp dpt:22 state NEW K ACCEPT all -- eth1 eth / /0 state RELATED,ESTABLISHED K ACCEPT all -- eth0 eth / /0 state RELATED,ESTABLISHED ACCEPT tcp -- eth1 eth / tcp dpt:22 state NEW ACCEPT tcp -- eth0 eth / tcp dpt:22 state NEW Chain OUTPUT (policy DROP 7 packets, 588 bytes) pkts bytes target prot opt in out source destination K ACCEPT tcp -- * eth tcp spt: LOG all -- * eth / /0 LOG flags 0 level K LOG all -- * eth / /0 LOG flags 0 level ACCEPT all -- * lo / /0 17 LOG extensão para registo de logs LOG --log-level --log-prefix --log-tcp-sequence --log-tcp-options --log-ip-options iptables -A OUTPUT -o eth0 -j LOG iptables -A INPUT -m state --state INVALID -j LOG --log-prefix "INVALID input: " 18

10 Ficheiro de Logs Jun 25 09:05:11 hebe kernel: IN=eth1 OUT= MAC=00:00:92:a7:df:05:02:07:01:23:5e:29:08:00 SRC= DST= LEN=44 TOS=0x00 PREC=0x00 TTL=60 ID=7276 PROTO=TCP SPT=47785 DPT=10003 WINDOW=16384 RES=0x00 SYN URGP=0 Jun 25 09:05:11 hebe kernel: IN=eth1 OUT= MAC=00:00:92:a7:df:05:02:07:01:23:5e:29:08:00 SRC= DST= LEN=44 TOS=0x00 PREC=0x00 TTL=60 ID=7276 PROTO=TCP SPT=47785 DPT=10003 WINDOW=16384 RES=0x00 SYN URGP=0 Jun 25 09:05:12 hebe kernel: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:06:5b:d1:24:bb:08:00 SRC= DST= LEN=241 TOS=0x00 PREC=0x00 TTL=128 ID=547 PROTO=UDP SPT=138 DPT=138 LEN=221 Jun 25 09:05:12 hebe kernel: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:06:5b:d1:24:bb:08:00 SRC= DST= LEN=241 TOS=0x00 PREC=0x00 TTL=128 ID=547 PROTO=UDP SPT=138 DPT=138 LEN=221 Jun 25 09:05:12 hebe kernel: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:50:04:74:0b:81:08:00 SRC= DST= LEN=78 TOS=0x00 PREC=0x00 TTL=64 ID=44852 PROTO=UDP SPT=137 DPT=137 LEN=58 Jun 25 09:05:12 hebe kernel: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:50:04:74:0b:81:08:00 SRC= DST= LEN=78 TOS=0x00 PREC=0x00 TTL=64 ID=44852 PROTO=UDP SPT=137 DPT=137 LEN=58 Jun 25 09:05:15 hebe kernel: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:60:cf:20:2d:37:08:00 SRC= DST= LEN=78 TOS=0x00 PREC=0x00 TTL=1 ID=60733 DF PROTO=UDP SPT=137 DPT=137 LEN=58 Jun 25 09:05:15 hebe kernel: IN=eth1 OUT= MAC=ff:ff:ff:ff:ff:ff:00:60:cf:20:2d:37:08:00 SRC= DST= LEN=78 TOS=0x00 PREC=0x00 TTL=1 ID=60733 DF PROTO=UDP SPT=137 DPT=137 LEN=58 Jun 25 09:05:23 hebe kernel: IN=eth1 OUT= MAC=00:00:92:a7:df:05:02:07:01:23:5e:29:08:00 SRC= DST= LEN=44 TOS=0x00 PREC=0x00 TTL=60 ID=11698 PROTO=TCP SPT= Análise de logs do iptables 3 Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP Chain: input Interface: eth0 >> => TCP

11 NAT (Network Address Translation) Suponha que dispõe apenas de um endereço IP válido e uma rede com estações com endereços IP inválidos. Atribuir o endereço IP válido ao Router R. Para cada pedido para o exterior da (EstaçãoX, P) da rede privada, mapear para (R, P ) do lado da Internet. Lembrar a associação. Quando chega uma resposta é mapeada para o endereço original (IP inválido) associado à estação que fez o pedido Para: X, p De: R, 122 Internet 2 Para: R, 122 De: X, q 3 End. R Router 1 Para: X, p De: H1,491 Para: H1,491 De: X, q End. F Rede Local Host H1 Host H2 21 NAT com o iptables Source NAT O endereço de origem do pacote é modificado. Processa-se na Chain POSTROUTING. Inclui funcionalidades de MASQUERADE. Destination NAT O endereço de destino é modificado. Processa-se na Chain PREROUTING ou OUTPUT. 22

12 Exemplo de Masquerade iptables -t nat -A POSTROUTING -o eth0 -j \ MASQUERADE iptables -A FORWARD -i eth1 -o eth0 -m state \ --state NEW, ESTABLISHED, RELATED -j ACCEPT iptables -A FORWARD -o eth1 -m state --state \ ESTABLISHED, RELATED -j ACCEPT 23 Exemplo de SNAT iptables -t nat -A POSTROUTING -o \ <external interface> -j SNAT --to-source \ <external address> iptables -A FORWARD -i <internal interface> \ -o <external interface> -m state --state \ NEW,ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -o <internal interface> \ -m state --state ESTABLISHED,RELATED -j ACCEPT 24

13 DNAT criação de um servidor virtual iptables -t nat -A PREROUTING -i <external interface> \ -p tcp --sport 1024: d <external address> --dport 80 \ -j DNAT --to-destination <local server> iptables -A FORWARD -i <external interface> \ -o <internal interface> -p tcp --sport 1024:65535 \ -d <local server> --dport 80 -m state \ --state NEW,ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -i <internal interface> \ -m state --state ESTABLISHED,RELATED -j ACCEPT 25 DNAT avançado Redirecionamento de portos: iptables -t nat -A PREROUTING -i <external interface> \ -p tcp --sport 1024: d <external address> --dport 80 \ -j DNAT --to-destination <local server>:81 Server Farms: iptables -t nat -A PREROUTING -i <external interface> \ -p tcp --sport 1024: d <external WEB address> \ --dport 80 -j DNAT \ --to-destination

14 Optimização do Firewall Definir as regras de loopback o mais cedo possível. Definir as regras de forwarding o mais cedo possível. Usar os módulos de estado das conexões, para evitar filtrar o tráfego de conexões já estabelecidas. Combinar regras para conexões cliente/servidor standards numa única regra usando listas de portos. Definir as regras para serviços que provocam muito tráfego o mais cedo possível. 27 Bibliografia de suporte PETERSON, Larry, Bruce Davie, Computer Networks: A Systems Approach, Morgan Kaufmann 2000 Oskar Andreasson, Iptables Tutorial < 28