Auditoria e Segurança da Informação GSI536. Prof. Rodrigo Sanches Miani FACOM/UFU

Transcrição

1 Auditoria e Segurança da Informação GSI536 Prof. Rodrigo Sanches Miani FACOM/UFU

2 Tópicos

3 Motivação Utilização cada vez maior da Internet e a criação de ambientes cooperativos, levam a uma crescente preocupação quanto à segurança; Consequentemente, pode-se ver uma rápida evolução em sistemas de segurança, principalmente nos Firewalls; Firewall é um dos principais, mais conhecidos e antigos componentes de um sistema de segurança; Sua fama, acabou contribuindo para a criação de uma falsa expectiva quanto à segurança total da organização.

4 Conceitos relacionados ao termo Firewall Tecnologia do firewall filtro de pacotes, proxy ou filtro de pacotes baseados em estados; Arquitetura do firewall utiliza componentes como roteadores, proxies, zonas desmilitarizadas (DMZ) e bastion hosts; Produtos comerciais Check Point Firewall-1, Network Associates Inc s Gauntlet, Cisco Pix Firewall, Watchguard e outros;

5 Definição 1 A mais antiga definição para firewalls foi dada por Bill Cheswick e Steve Bellovin em 1994 no livro Firewalls and Internet Security: Repelling the Wily Hacker: Firewall é um ponto entre duas ou mais redes, no qual circula todo o tráfego. A partir desse único ponto, é possível controlar e autenticar o tráfego, além de registrar, por meio de logs, todo o tráfego da rede, facilitando a auditoria.

6 Definição 2 Chapman (Building Internet Firewalls,1995) como: define firewall Um componente ou conjunto de componentes que restringe o acesso entre uma rede protegida e a Internet, ou entre outro conjuntos de redes

7 Definição 1 + Definição 2 Partindo das duas definições anteriores, pode-se dizer que: Firewall é um ponto entre duas ou mais redes, que pode ser um componente ou um conjunto de componentes, por onde passa todo o tráfego, permitindo o controle, a autenticação e os registros de todo o tráfego

8 Definição de Firewall- Exemplo

9 Definições e funções Esse ponto único constitui um mecanismo utilizado para proteger, geralmente, uma rede confiável de uma rede não confiável; Pode ser utilizado também para separar diferentes sub-redes, grupos de trabalho ou redes locais (LANs); Um firewall é tão seguro quanto a política de segurança com que ele trabalha; Um firewall muito restritivo e, portanto, mais seguro, não é sempre transparente ao usuário; Usuários podem tentar driblar a política de segurança da organização para poder realizar as tarefas que estavam acostumados...

10 Definições e funções Firewall : Componentes Funcionalidades Arquitetura Tecnologias O firewall é um conjunto de componentes, funcionalidades, arquiteturas e tecnologias;

11 Funcionalidades

12 Funcionalidades Firewall é composto por uma série de componentes, sendo que cada um deles tem uma funcionalidade diferente e desempenha uma papel que influi diretamente no nível de segurança do sistema; Principais componentes: Filtros; Proxy; Bastion Hosts; Zonas Desmilitarizadas.

13 Funcionalidades- Filtros Filtros realizam o roteamento de pacotes de maneira seletiva, ou seja, aceitam ou descartam pacotes por meio da análise das informações de seus cabeçalhos; A decisão é tomada de acordo com as regras de filtragem definidas na política de segurança da organização; Dois tipos de filtros: 1) Estático analisa os pacotes comparando a um conjunto de regras fixo; 2) Baseado em estados realiza a filtragem com base no estado das conexões.

14 Filtro de pacotes- Estático A tecnologia de filtro de pacotes funciona na camada de rede e de transporte; Realiza as decisões de filtragem com base nas informações do cabeçalho dos pacotes Endereço de origem; Endereço de destino; Porta de origem; Porta de destino; Direção das conexões. Flags TCP (SYN, ACK);

15 Filtro de pacotes- Estático O fato de trabalhar na camada de rede e de transporte, faz com que ele seja simples, fácil, barato e flexível de ser implementado; Porém, o filtro de pacotes garante um menor grau de segurança, pois os pacotes podem ser falsificados ou criados especificamente para que passem pelas regras de filtragem definidas; Serviços como FTP, RPC e H.323 não são simples de serem implementados;

16 Filtro de pacotes- Estático Regra End. Origem Porta Origem 1 Qualquer endereço da rede interna 2 Qualquer endereço 3 Qualquer endereço End. Destino > 1023 Qualquer endereço 80 Qualquer endereço da rede interna Qualquer porta Qualquer endereço Porta Destino Ação 80 Permitir > 1023 Permitir Qualquer porta Negar

17 Filtro de pacotes baseado em estados São conhecidos também como filtros de pacotes dinâmicos (dynamic packet filter) e filtros de pacotes baseados em estados (stateful packet filter); Tomam as decisões de filtragem tendo como referência dois elementos: Informações dos cabeçalhos dos pacotes, como no filtro de pacotes; Uma tabela de estados, que guarda os estados de todas as conexões. Também trabalha na camada de rede e transporte.

18 Filtro de pacotes baseado em estados- Funcionamento 1) Cliente inicia uma conexão; 2) O pacote inicial é checado da mesma forma que um filtro de pacotes; 3) Se o pacote não passar pelas regras do filtro de pacotes, ele é descartado; 4) Caso o pacote seja aceito, a sessão é inserida na tabela de estados do firewall; 5) Para os demais pacotes, se a sessão estiver na tabela e o pacote fizer parte dessa sessão, ele será aceito; 6) Se os pacotes não fizerem parte de nenhuma sessão presente na tabela de estados, eles serão descartados.

19 Filtro de pacotes baseado em estados- Funcionamento

20 Filtro de pacotes baseado em estados O desempenho do sistema melhora, pois apenas os pacotes SYN são comparados com a tabela de regras do filtro de pacotes; Pacotes restantes são comparados com a tabela de estados; O conjunto de regras na tabela do filtro de pacotes é menor, pois leva em conta somente os inícios das conexões; O conjunto de regras fica mais enxuto e, consequentemente mais fácil de administrar.

21 Funcionalidades- Proxy Proxies são sistemas que atuam como um gateway entre duas redes, permitindo as requisições dos usuários internos e as respostas dessas requisições, de acordo com política de segurança definida; Exemplo: Proxy HTTP Squid; Proxy DNS;

22 Funcionalidades- Proxy

23 Funcionalidades Bastion hosts Bastion hosts são equipamentos em que são instalados os serviços a serem oferecidos para a Internet; Como estão em contato direto com as conexões externas, os bastion hosts devem ser protegidos da melhor maneira possível; Bastion hosts devem executar apenas os serviços e aplicações essenciais, bem como executar sempre a última (ou mais estável) versão desses serviços e aplicações; Geralmente os serviços que são oferecidos pela DMZ devem ser instalados em bastion hosts.

24 Funcionalidades Zona desmilitarizada Zona desmilitarizada (DeMilitarized Zone DMZ), ou rede de perímetro, é uma rede que fica entre a rede interna e a rede externa; Essa segmentação faz com que, caso algum equipamento dessa rede desmilitarizada seja comprometido, a rede interna continue intacta e segura.

25 Arquiteturas

26 As arquiteturas A arquitetura de um firewall deve ser definida de acordo com as necessidades da organização, utilizando os componentes e funcionalidades descritos anteriormente; Serão apresentadas quatro arquiteturas: Dual-homed (Chapman); Screened host (Chapman); Screened subnet (Chapman); Firewall coorporativo (Geus e Nakamura).

27 Arquitetura Dual-homed host

28 Arquitetura Dual-homed host Equipamento com duas interfaces de rede, separando duas redes; Sistemas internos têm de ser conectados ao firewall para que possam se comunicar com os serviços externos; Conexões externas são realizadas por meio de proxies ou conexões em duas etapas (primeiro ao host dual-homed e depois ao servidor externo); Acesso externo não é transparente; Essa arquitetura possui um único ponto de falha.

29 Arquitetura Screened host

30 Arquitetura Screened host É formada por um filtro de pacotes e um bastion host; O filtro deve ter regras que permitam o tráfego para a rede interna somente por meio do bastion host; Usuários externos que queiram acessar um sistema da rede interna, devem primeiramente se conectar ao bastion host; Bastion host pode funcionar como um proxy; Se o bastion host for comprometido, o invasor já estará dentro da rede interna da organização; Filtro de pacotes e o bastion host formam um único ponto de falha se atacado a comunicação da organização com a Internet fica comprometida, assim como a rede interna.

31 Arquitetura Screened subnet

32 Arquitetura Screened subnet Adiciona uma rede DMZ; Na arquitetura Screened host um ataque ao bastion host significava qu o invasor já estaria com a rede interna disponível, isso não ocorre nessa arquitetura; Os filtros externos e internos devem ser muito bem configurados; O filtro externo deve permitir o tráfego dos serviços disponíveis na DMZ, bem como o tráfego das requisições dos usuários internos; O filtro interno deve permitir somente a passagem das requisições e respostas dos serviços permitidos para os usuários internos; Tráfego do bastion host para a rede interna deve ser bloqueado.

33 Arquitetura Screened subnet - Variação

34 Arquitetura Firewall coorporativo

35 Arquitetura Firewall coorporativo Adiciona os novos componentes, como a VPN (Redes Privadas Virtuais) e a PKI (Infraestrutura de chaves públicas); Outros componentes podem ser adicionados como proxies e IDS (Detectores de intrusão); Outros exemplos serão mostrados ao longo do curso.

36 Problemas relacionados

37 Problemas relacionados A falta de alguns cuidados pode tornar todos os esforços inválidos e instaurar um perigoso falso senso de segurança; Os problemas que mais resultam em perigo são: Instalações de firewalls mal configurados; Implementação incorreta da política de segurança; Gerenciamento falho; Falta de atualizações. Vulnerabilidades em firewalls como o Cisco PIX, Gauntlet e CheckPoint Firewall-1 já foram encontradas e exploradas;

38 O firewall nãoé a soluçãototal de segurança

39 O firewallnãoé a soluçãototal de segurança! É importante ter em mente que o firewall é apenas uma parte de um conjunto de componentes de um sistema de segurança para a proteção das organizações; Firewalls podem ser uma faca de dois gumes : representam uma primeira linha de defesa e são necessários em uma infraestrutura que envolve a segurança; Porém, tendem a tranquilizar as organizações com uma falsa sensação de segurança;

40 O firewallnãoé a soluçãototal de segurança! Serviços legítimos, como acesso ao servidor Web, devem ser permitidos pelo firewall; Ou seja, a segurança não depende somente do firewall, mas sim dos próprios serviços legítimos; Uma autenticação eficiente à um banco de dados, por exemplo, passa a ser fundamental; Assim, o enfoque da segurança, agora, está em selecionar os usuários que podem acessar a rede, definir os direitos que eles têm e monitorar o que eles estão fazendo;