Oficina de ferramentas de Gerência para Redes em Linux

Transcrição

1 Oficina de ferramentas de Gerência para Redes em Linux

2 Introdução Mesmo as pessoas menos familiarizadas com a tecnologia sabem que a internet não é um "território" livre de perigos. É por esta razão que é importante conhecer e utilizar ferramentas de proteção para computadores e redes. Este texto trata de uma das opções de segurança mais importantes dos ambientes computacionais: o firewall.

3 O que é firewall? Firewall é uma solução de segurança baseada em hardware ou software (mais comum) que, a partir de um conjunto de regras ou instruções, analisa o tráfego de rede para determinar quais operações de transmissão ou recepção de dados podem ser executadas. "Parede de fogo", a tradução literal do nome, já deixa claro que o firewall se enquadra em uma espécie de barreira de defesa. A sua missão, por assim dizer, consiste basicamente em bloquear tráfego de dados indesejado e liberar acessos bem-vindos.

4 Representação básica de um firewall

5 Para compreender melhor, você pode imaginar um firewall como sendo uma portaria de um condomínio: Para entrar, é necessário obedecer a determinadas condições, como se identificar, ser esperado por um morador e não portar qualquer objeto que possa trazer riscos à segurança; para sair, não se pode levar nada que pertença aos condôminos sem a devida autorização.

6 Neste sentido, um firewall pode impedir uma série de ações maliciosas: um malware que utiliza determinada porta para se instalar em um computador sem o usuário saber, um programa que envia dados sigilosos para a internet, uma tentativa de acesso à rede a partir de computadores externos não autorizados, entre outros.

7 Como um firewall funciona? Em um modo mais versátil, um firewall pode ser configurado para permitir automaticamente o tráfego de determinados tipos de dados, como requisições HTTP (sigla para Hypertext Transfer Protocol - protocolo usado para acesso a páginas Web), e bloquear outras, como conexões a serviços de .

8 Filtragem de pacotes

9 Firewalls pessoais O tópico sobre arquiteturas mostra as opções de configuração de firewalls em redes. Mas, como você provavelmente sabe, há firewalls mais simples destinados a proteger o seu computador, seja ele um desktop, um laptop, um tablet, enfim. São os firewalls pessoais (ou domésticos), que DEVEM ser utilizados por qualquer pessoa.

10 Firewall de hardware Um firewall poder ser uma solução de software ou hardware, mas é necessário um complemento: o hardware nada mais é do que um equipamento com um software de firewall instalado.

11 Os firewalls em forma de hardware são equipamentos específicos para este fim e são mais comumente usados em aplicações empresariais. A vantagem de usar equipamentos desse tipo é que o hardware é dedicado em vez de compartilhar recursos com outros aplicativos. Dessa forma, o firewall pode ser capaz de tratar mais requisições e aplicar os filtros de maneira mais ágil.

12 Firewall Linux Existem muitos firewalls gráficos for Linux, como o GuardDog, o Shorewall e o Firestarter. Eles variam em nível de facilidade e recursos, oferecendo uma interface amigável e gerando as regras do Iptables de acordo com a configuração feita. Você pode escolher entre usar o programa que melhor atenda suas necessidades ou configurar diretamente o Iptables com as regras desejadas.

13 Funcionamento Através de regras poderemos fazer com que os pacotes possam ser ou não recebidos a rede toda, a determinada máquina, interface ou mesmo porta de conexão. O Iptables trabalha através de Tabelas, Chains e Regras.

14 Tabelas Existem 3 tabelas possíveis de serem utilizadas no Iptables, sendo que uma delas, a mangle raramente é usada, restando a filter, que é a padrão, utilizada nos tráfegos de dados comuns, sem ocorrência de NAT. Quando não especificamos qual tabela a ser utilizada é ela que será ativada. A outra geralmente utilizada é a nat, que como o próprio nome diz, usada quando há ocorrência de NAT.

15 Chains Através delas podemos especificar a situação do tratamento dos pacotes, seja qual tabela for. Quando utilizamos a tabela nat as Chains possíveis são: PREROUTING Quando os pacotes entram para sofrerem NAT. POSTROUTING Quando os pacotes estão saindo após sofrerem NAT OUTPUT Pacotes que são gerados na própria máquina e que sofrerão NAT

16 Já com a tabela filter as Chains são: INPUT - Pacotes cujo destino final é a própria máquina firewall. OUTPUT Pacotes que saem da máquina firewall FORWARD Pacote que atravessa a máquina firewall, cujo destino é uma outra máquina. Este pacote não sai da máquina firewall e sim de outra máquina da rede ou fonte. Neste caso a máquina firewall está repassando o pacote.

17 Regras As regras de firewall geralmente são compostas de uma Tabela, Opção, Chain, Dados e Ação. Através destes elementos podemos especificar o que fazer com os pacotes.

18

19 Dados -s : Especifica o origem do pacote. Este pode ser tanto uma rede ou host. -s /24 Máscara de rede = 8 Máscara de rede = 16 Máscara de rede = 24

20 Dados -d : Especifica o destino do pacote. A sintaxe é a mesma do -s -p : Protocolo usado na regra. Pode ser tcp, udp, icmp: -p tcp -p udp -p icmp

21 Dados -i : Interface de entrada, ou seja, placa de rede, modem ou interface de conexão que estará recebendo o pacote a ser tratado. -i eth0 -i eth1 -i ppp0

22 Ações As ações sempre vem após o parâmetro -j e geralmente são: ACCEPT Aceita e permite a passagem do pacote; DROP Não permite a passagem do pacote e abandona-o não dando sinais de recebimento; REJECT Assim como o DROP, não permite a passagem do pacote, mas envia um aviso ( icmp unreachable ); LOG Cria um Log referente a regra em /var/log/messages.

23 Com estes fatores podemos criar as nossas regras com a seguinte composição: # iptables -A FORWARD -s p icmp -j DROP Sendo: -A ( opção ) / FORWARD ( Chain ) / -s p icmp ( Dados ) -j DROP ( Ação ) No caso do exemplo a cima a regra determina que todos os pacotes icmp originários do endereço devem ser barrados.

24 #!/bin/bash echo "Iptables Pronto" #limpando tabelas iptables -F && iptables -X && iptables -t nat -F && iptables -t nat -X && #liberando acesso interno da rede iptables -A INPUT -p tcp --syn -s / j ACCEPT && iptables -A OUTPUT -p tcp --syn -s / j ACCEPT && iptables -A FORWARD -p tcp --syn -s / j ACCEPT && #compartilhando a web na rede interna iptables -t nat -A POSTROUTING -s / o eth1 -j MASQUERADE && echo 1 > /proc/sys/net/ipv4/ip_forward && # Protecao contra port scanners ocultos iptables -A INPUT -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT # Bloqueando tracertroute iptables -A INPUT -p udp -s 0/0 -i eth1 --dport 33435: j DROP #Protecoes contra ataques iptables -A INPUT -m state --state INVALID -j DROP #termina

25 Salve-o com um nome sugestivo, como por exemplo start-firewall. Dê permissão de execução: chmod +x start-firewall Pronto. Toda vez que quiser que ele seja habilitado é só executá-lo ( sempre como root ): # start-firewall Para não ter que ficar chamando o script toda vez que inicializar o sistema, podemos fazer com que ele seja ativado na inicialização. Para isso é preciso editar o arquivo /etc/rc.d/rc.local e incluir o comando no final do arquivo.

26 Exemplos de regras comumente utilizadas #Libera o apache pra web iptables -A INPUT -p tcp --destination-port j ACCEPT iptables -A INPUT -p tcp --destination-port 443 -j ACCEPT #Libera o loopback iptables -A OUTPUT -p tcp --syn -s / j ACCEPT #Bloqueando todos os endereços vindo de uma determinada rede para a minha máquina iptables -A INPUT -s /8 -j DROP #Liberando o endereço vindo de uma rede para a minha máquina iptables -A INPUT -s j ACCEPT #Gerando Logs de Portas proibidas iptables -A INPUT -p tcp --dport 21 -j --log-prefix "Serviço de FTP"

27 #Gerando log de Backdoors iptables -A INPUT -p tcp --dport j LOG -log-prefix "Wincrash" iptables -A INPUT -p tcp --dport j LOG -log-prefix "backorifice" iptables -A INPUT -p tcp --dport j LOG -log-prefix "backorifice" #Habilitando porta de FTP iptables -A INPUT -p tcp -s dport 21 -j ACCEPT #Habilitando porta de SSH iptables -A INPUT -p tcp -s dport 22 -j ACCEPT #Habilitando porta de SMTP iptables -A INPUT -p tcp -s dport 25 -j ACCEPT #Habilitando porta de DNS iptables -A INPUT -p tcp -s dport 53 -j ACCEPT

28 #Habilitando porta de POP3 iptables -A INPUT -p tcp -s dport 110 -j ACCEPT #Habilitando porta de DNS (UDP) iptables -A INPUT -p udp -s source-port 53 -j ACCEPT #Redirecionar Porta iptables -t nat -A PREROUTING -s IP_NET -i EXT_INT -j DNAT --to IP_DESTINO iptables -t nat -A POSTROUTING -s IP_NET -o EXT_INT -p tcp --dport PORT -j ACCEPT iptables -t nat -A POSTROUTING -s IP_DESTINO -o EXT_INT -j SNAT --to IP_NET iptables -t nat -A POSTROUTING -s IP_DESTINO -o EXT_INT --p tcp --dport PORT -j ACCEPT

29 #Fazendo redirecionamento de portas iptables -t nat -A PREROUTING -i FACE -p tcp --dport 80 -j REDIRECT --to-port 3128 FACE = interface de rede #Bloqueando todos os pacotes originários da rede para o host iptables -A FORWARD -s /8 -d -j DROP #Liberando todos os pacotes originários da rede para o host iptables -A FORWARD -s /8 -d -j ACCEPT

30 #Liberando todos os pacotes tcp destinados a porta 25 iptables -A FORWARD -p tcp --dport 25 -j ACCEPT #Liberando acesso interno da rede iptables -A INPUT -p tcp --syn -s /24 -j ACCEPT iptables -A OUTPUT -p tcp --syn -s /24 -j ACCEPT iptables -A FORWARD -p tcp --syn -s /24 -j ACCEPT

31 #compartilhando a web na rede interna iptables -t nat -A POSTROUTING -s / o eth1 -j MASQUERADE echo 1 > /proc/sys/net/ipv4/ip_forward && #Libera Bittorrent somente para esta maquina iptables -A INPUT -p tcp --destination-port 6881:6889 -j ACCEPT #Bloqueando tracertroute iptables -A INPUT -p udp -s 0/0 -i eth1 --dport 33435: j DROP #Protecoes contra ataques iptables -A INPUT -m state --state INVALID -j DROP

32 #Bloqueando uma máquina pelo endereço MAC iptables -A INPUT -m mac --mac-source XX:XX:XX:XX:XX:XX -j DROP #Proteção contra IP Spoofing iptables -A INPUT -s /16 -i ext_face -j DROP iptables -A INPUT -s /24 -i ext_face -j DROP iptables -A INPUT -s /24 -i ext_face -j DROP < ext_face = São as interfaces da internet como ppp e ethx >

33 #Proteção contra Syn-floods iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT #Proteção contra port scanners ocultos iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT #Proteção contra ping da morte iptables -A FORWARD -p icmp --icmp-type echorequest -m limit --limit 1/s -j ACCEPT

34 #Bloqueando ping de um ip iptables -A INPUT -p icmp -s /24 -j DROP #Bloqueando pacotes fragmentados iptables -A INPUT -i INTEXT -m unclean -j log_unclean iptables -A INPUT -f -i INTEXT -j log_fragment < INTEXT = Interface da INTERNET > #Anulando as respostas a ICMP 8 (echo reply) echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

35