Componentes de um sistema de firewall - II. Segurança de redes

Transcrição

1 Componentes de um sistema de firewall - II Segurança de redes

2 O que são Bastion Hosts? Bastion host é o nome dado a um tipo especial de computador que tem funções críticas de segurança dentro da rede e que, por essa razão, é configurado de uma forma mais rigorosa (segurança reforçada). O termo bastião tem origem nas antigas construções medievais existentes nos flancos dos castelos que tinham por finalidade ser pontos estratégicos de defesa em caso de ataques.

3 Para que servem os Bastion Hosts? Podem assumir o papel de servidor de WEB (onde fica armazenada a página da empresa), servidor de FTP, servidor de DNS, servidor de , servidor Proxy, etc. Em alguns casos, podem acumular tanto a função de filtro de pacotes quanto a de servidor proxy, caracterizando assim um dual homed host, ou seja, um host com área de atuação dupla. Neste caso será necessário que o mesmo tenha duas interfaces: uma para conectá-lo à rede interna e outra para conectá-lo à rede externa.

4 Configuração dos Bastion Hosts Por serem altamente suscetíveis a ataques externos, uma vez que são acessíveis a partir da rede pública, somente os serviços estritamente necessários devem ser habilitados. Outra característica importante é que os mesmos devem executar uma versão segura de sistema operacional de modo a garantir que não sejam susceptíveis às vulnerabilidades conhecidas de uma ou outra plataforma.

5 Serviços de proxy Um serviço de proxy é um programa que roda num servidor especial, intermediando as solicitações de conexão dos protocolos da camada de aplicação, tais como o HTTP, o FTP e o TELNET. Na maioria dos casos, existe um serviço de proxy específico para cada serviço de internet disponível na camada de aplicação

6 Componentes do serviço de Proxy O princípio básico de funcionamento de um serviço de proxy consiste em interceptar as solicitações de conexão, provenientes de máquinas da rede interna, e assumir o controle sobre o estabelecimento da sessão. Para que isso seja possível o serviço conta com dois componentes básicos: um cliente proxy e um servidor proxy

7 Funcionamento do serviço de proxy Servidor Público Resposta Proxy de Aplicação Resposta encaminhada Cliente interno Solicitação encaminhada Cliente Proxy Análise das solicitações de conexão Servidor Proxy Solicitação Servidor Proxy

8 Vantagens do uso de proxies Podem fazer cache de páginas visitadas com freqüência; Permitem ocultamento dos usuários da rede interna; Podem filtrar URLs não permitidas; Gravam logs de todas as transações efetuadas; São capazes de filtrar conteúdo suspeito; São um ponto central de monitoramento; Permitem reforçar a política de segurança da empresa.

9 Desvantagens do uso de proxies São pontos de falha centralizados; É necessário que haja um serviço de proxy para cada serviço da camada de aplicação; Podem causar um gargalo na rede; Não protegem contra todas as fraquezas dos protocolos; Freqüentemente, requerem configurações específicas nos clientes internos.

10 Tradução de endereços com NAT A tradução de endereços usando NAT (Network Address Translation) é um recurso que permite ocultar os hosts da rede interna por meio do mascaramento de seus endereços IP. Esta técnica surgiu, originalmente, da necessidade de se estender a quantidade de endereços disponíveis para uso na rede privada sem que fosse necessário registrar tais endereços.

11 Tradução de endereços com NAT Com o uso da NAT os endereços públicos registrados podem ser reutilizados nas redes privadas sem que isso cause conflitos. No entanto,o mais comum é implementar-se esquemas de endereçamento baseados no que se chama de endereços privativos, que são espaços de endereço reservados para uso em redes particulares.

12 Endereços privativos Abaixo estão as faixas de endereços privativos para uso com NAT : Classe A: até ( até hosts ) Classe B: até ( até hosts ) Classe C: até ( até hosts )

13 Servidor Público INTERNET Funcionamento básico da NAT Rede privativa Cliente interno Firewall Cria entrada na tabela de conversão De: :1100 Para: : 80 Inicia conexão com servidor externo Recebe solicitação e responde De: :12345 Para: : 80 De: : xxxx Para: :12345 Converte o endereço de saída Se o pacote é válido, converte o endereço de entrada De: : xxxx Para: :1100 Recebe a resposta via firewall Sessão encerrada De: :12345 Para: : 80 Remove entrada da tabela De: :1100 Para: : 80 Encerrar conexão

14 Conversão estática de endereços Usada quando um host externo tem que se conectar a um host interno específico, como um servidor de , por exemplo. Neste caso o endereço usado na conversão nunca muda e, por essa razão, não existe o mascaramento, somente a conversão de um endereço privativo para um endereço público.

15 Conversão dinâmica de endereços Os endereços dos hosts internos são convertidos para um endereço público que é vinculado a um nº de porta escolhido dinamicamente. Tais n os de porta só estão disponíveis enquanto a sessão estiver ativa. Só o host externo, ao qual foi feita a conexão, consegue conversar com o host interno.

16 Limitações da NAT Se for usada conversão estática de endereços, praticamente não haverá segurança; Mesmo a conversão dinâmica de endereços não é capaz de evitar que uma conexão seja estabelecida com o host de um hacker, se esta conexão for solicitada de dentro da rede. A NAT só opera no nível das camadas 3 e 4 do modelo OSI, portanto, não tem condições de verificar o conteúdo transportado no interior dos pacotes