Prof. Roberto Franciscatto 4º Semestre - TSI - CAFW. Free Powerpoint Templates Page 1

Tamanho: px

Começar a partir da página:

Download "Prof. Roberto Franciscatto 4º Semestre - TSI - CAFW. Free Powerpoint Templates Page 1"

William Balsemão Pais
8 Há anos
Visualizações:

1 Segurança na Web Cap. 3: Visão Geral das Tecnologias de Segurança Prof. Roberto Franciscatto 4º Semestre - TSI - CAFW Page 1

2 Introdução Projeto de segurança de Redes Page 2

3 Etapas: Segurança em camadas Este item inclui: roteador, firewall, switch, servidores e usuários Page 3

4 Etapas: Controle de acesso Uma das práticas altamente recomendáveis é tomar decisões de acesso com a mentalidade de bloquear tudo epermitirapenaso queénecessário também conhecida como política de menor privilégio(açãopadrão) Page 4

mentalidade de bloquear tudo epermitirapenaso

5 Etapas: Função específica de segurança Função do usuário na organização Ex.: desenvolvedor web precisa de acesso ao website da organização, enquanto o assistente administrativo não Page 5

6 Etapas: Conscientização do usuário Trocar as senhas de tempo em tempo e retomar as senhas antigas... Eles não compreendem o propósito da segurança Page 6

7 Etapas: Monitoração Monitoração através de Detecção de invasão e honeypots, é uma saída é necessário incluir a implantação de IDS quando se projeta a solução da segurança na rede Page 7

8 Etapas: Manter os sistemas atualizados Corrigir/atualizar os sistemas é uma tarefa fundamental e frequentemente esquecida pelos administradores Ferramentas: tarefas agendadas, scripts de inicialização, etc... Page 8

9 Filtragem de pacotes via ACL Access Control Informação que flui pela internet usa o TCP/IP Enviadas através de pacotes Filtros de pacotes são normalmente usados como a primeira defesa em combinação com ofirewall Page 9

de pacotes Filtros de pacotes são normalmente usados

10 Filtragem de pacotes via ACL Access Control A filtragem de pacotes faz a inspeção de pacotes disponíveis Filtragem baseada na origem ou destino do endereço IP Page 10

11 Filtragem de pacotes via ACL Access Control 5 Aplicação 4 - Transport Control Protocol (TCP) User Datagram Protocol (UDP) 3 - Internet Protocol (IP) 2 Enlace Proibido Permitido O tráfego é filtrado baseandose em regras especificadas, incluindo endereços IP de origem e destino 1 Físico Tráfego recebido Tráfego de saída permitido Page 11

Proibido Permitido O tráfego é filtrado baseandose em regras especificadas,

12 Filtragem de pacotes via ACL Access Control O método mais usado para configurar filtros de pacotes é conhecido como listas de controle de acesso(acls) Dividem-se em dois tipos padrão: ACLs padrão filtram baseadas no endereço IP ACLs estendidas procuram mais dentro do cabeçalho do pacote Page 12

acesso(acls) Dividem-se em dois tipos padrão: ACLs padrão filtram

13 Filtragem de pacotes via ACL Access Control Implementando um servidor proxy com o Squid Squid permite compartilhar a conexão entre vários micros, servindo como intermediário entre eles e a internet Page 13

permite compartilhar a conexão entre vários micros,

14 FiltragemdepacotesviaACL AccessControl Implementando um servidor proxy com o Squid Para colocar em funcionamento: # apt-get install squid # mv/etc/squid/squid.conf /etc/squid/squid.conf.orig Arquivo /etc/squid/squid.conf contendo as seguintes linhas: http_port 3128 visible_hostname servidor acl all src / http_access allow all Page 14

conf /etc/squid/squid.conf.orig Arquivo /etc/squid/squid.

15 FiltragemdepacotesviaACL AccessControl Implementando um servidor proxy comosquid Ex.: permissões Page 15

16 FiltragemdepacotesviaACL AccessControl Bloqueando por dominios ou palavras Bloqueandopordominiosoupalavras(comousemwww) Page 16

17 FiltragemdepacotesviaACL AccessControl Bloqueando por dominios ou palavras Bloqueandopordominiosoupalavras(comousemwww) Esearegraficarmuitogrande? Page 17

18 FiltragemdepacotesviaACL AccessControl É possível nestes casos criar um arquivo externo, inserir os dominios, linha-a-linha e posteriormente fazer uma chamada a este arquivo Ex.: Problema: Cada novo endereço descoberto deve ser inserido na lista Solução: OSargpodeajudarbastante Page 18

19 FiltragemdepacotesviaACL AccessControl Épossíveltambéminverteraregra,deformaqueeupossa bloquear tudo e ir liberando acesso a determinados sites Ex.: Nos proxys mais atuais tem-se o bloqueio de dominios associado aos respectivos Ips, evitando assim que o usuario digite diretamente o IP de um site... Page 19

20 FiltragemdepacotesviaACL AccessControl É possível bloquear também por endereços IP Descobrir o endereço IP associado a um dominio: #host(dominio) Page 20

21 FiltragemdepacotesviaACL AccessControl Bloqueando por palavras(incluidas na URL de acesso) Criarumarquivotextocomaspalavrasaserembloqueadas orkut, xxx, sexo, teens... Adicionar a regra contendo a localização do arquivo Problemas? Falsos positivos Page 21

22 FiltragemdepacotesviaACL AccessControl Mensagens de erro Adicionar a seguinte linha no squid "error_directory/usr/share/squid/errors/portuguese/" É possivel alterar os arquivos HTML de cada mensagem de forma personalizada... Page 22

23 Exercício Em dupla, logar no sistema linux e implementar as seguintes tarefas: Instalarosquid Efetuar os seguintes bloqueios: lista de palavras inapropriadas(criar arquivo) lista de sites bloqueados pela instituição(criar arquivo) bloquear acesso durante o período da aula do prof. Roberto bloquear acesso a arquivos com a extensão (avi, exe, mp3,mov,wmv,etc...) Quando estiver tudo rodando, apresente ao professor Page 23

24 Exercício Em dupla, logar no sistema linux e implementar as seguintes tarefas: Aindanosquid... Configure uma cache de paginas e arquivos TantocachedeRAMcomodeHD Proxy com autenticação Instalar pacote apache2-utils Cadastrar 5 usuarios diferentes InstalaroSarg Gerar os relatorios e monitorar acessos Page 24

25 Inspeção do estado dos pacotes O componente de inspeção de estado se preocupa com comootcpfazasconexões. RastrearoestadodaconexãoTCPéfeitaviaCamada4do modelo TCP/IP. Page 25

26 Inspeção do estado dos pacotes 5 Aplicação 4 - Transport Control Protocol (TCP) User Datagram Protocol (UDP) 3 - Internet Protocol (IP) 2 Enlace 1 Físico Proibido Permitido O tráfego é filtrado baseandose em regras especificadas, incluindo endereços IP de origem e destino Tráfego desconhecido é permitido apenas até a Camada 4 da Pilha de Rede Tráfego recebido Tráfego de saída permitido Page 26

27 Inspeção do estado dos pacotes Namaioriadoscasos,aSPIocorrenofirewall,quesesitua pordetrásdoroteadorqueconectaasuaredeainternet A colocação desta segurança adicional permite que a defesa seja aprofundada a um outro npivel da camada com o objetivo de proteger completamente a rede via múltiplas camadas de proteção Page 27

28 Fluxo detalhado de pacotes usando SPI Quando um pacote chega ao firewall, deve-se tomar uma decisão para determinar se o pacote deve ser permitido para a rede interna Firewall pega cada pacote recebido e inspeciona o seu cabeçalho verifica se o pacote é permitido, consultando o conjunto de regras pré-estabelecido(iptables, por exemplo) Page 28

29 Fluxo detalhado de pacotes usando SPI A inspeção ao cabeçalho do pacote inclui: endereçosdeorigemedestinodopacote tipo de protocolo(udp, TCP, ICMP,...) osflagsdefinidosnopacote(syn,ack,fin,rst) Page 29

30 Fluxo detalhado de pacotes usando SPI Estes dados inspecionados são comparados contra o conjuntoderegrasquedeterminaoquedeveserpermitidoe oquedeveserproibido. Page 30

31 Exemplos de Firewall WINDOWS Firewall do Windows ZoneAlarm Mcafee Security Center LINUX IPTABLES Firestarter Page 31

32 Exemplos de Firewall Firewall do Windows Firestarter Como bloqueio um aplicativo? Como libero acesso a determinada porta? Instalação Utilização Inserindo regras Controlando regras Monitorando os pacotes da rede Page 32

Documentos relacionados

Projeto e Instalação de Servidores Servidores Linux Aula 6 Firewall e Proxy

Projeto e Instalação de Servidores Servidores Linux Aula 6 Firewall e Proxy Prof.: Roberto Franciscatto Introdução FIREWALL Introdução Firewall Tem o objetivo de proteger um computador ou uma rede de computadores,