Pós Graduação Tecnologia da Informação UNESP Firewall

Transcrição

1 Pós Graduação Tecnologia da Informação UNESP Firewall Douglas Costa Fábio Pirani Fernando Watanabe Jefferson Inoue

2 Firewall O que é? Para que serve? É um programa usado para filtrar e dar segurança em redes. Protege a máquina contra acessos indesejados, tráfego indesejado. Protege serviços que estejam rodando na máquina e bloqueia a passagem de coisas que você não deseja receber (como conexões vindas da internet para sua rede local, evitando acesso aos dados corporativos de uma empresa ou a seus dados pessoais).

3 Tipos de Firewalls Existem basicamente dois tipos de firewalls: Nível de aplicação: Este tipo de firewall analisa o conteúdo do pacote para tomar suas decisões de filtragem. Firewalls deste tipo são mais intrusivos (pois analisam o conteúdo de tudo que passa por ele) e permitem um controle relacionado com o conteúdo do tráfego.

4 Tipos de Firewalls Nível de pacotes: Este tipo de firewall toma as decisões baseadas nos parâmetros do pacote, como porta/endereço de origem/destino, estado da conexão, e outros parâmetros do pacote. Obs: devemos lembrar que a segurança do sistema depende do controle das regras que serão criadas por você, as falhas humanas são garantia de mais de 95% de sucesso nas invasões.

5 Como funciona o Firewall Na figura observamos um esquema típico de firewall usado para proteger uma rede local conectada a internet.

6 Como funciona o Firewall Um firewall não funciona de forma automática (instalando e esperando que ele faça as coisas por você), é necessário pelo menos conhecimentos básicos de rede tcp/ip, roteamento e portas para criar as regras que farão a segurança de seu sistema. Antes de iniciar a construção do firewall é bom pensar nos seguintes pontos: Quais serviços precisamos proteger; Que tipo de conexões eu posso deixar passar e quais bloquear.

7 IPTABLES O que é? É um sistema de Firewall vinculado ao kernel do linux que se extendeu a partir do kernel 2.4. Ao igual que o anterior IPChains, um firewall IPTables não é como um servidor que iniciamos ou finalizamos ou que se pode finalizar por um erro de programação. Realmente o que se tem que fazer é aplicar as regras. Para isso se executa o comando iptables, com que adicionamos, excluimos ou criamos regras. Pelo que vemos um firewall IPTables nada mais é que um simples script de shell no que são executadas as regras do firewall

8 IPTABLES Características Especificação de portas/endereço de origem/destino Suporte a protocolos TCP/UDP/ICMP (incluindo tipos de mensagens icmp) Tratamento de tráfego dividido em chains (para melhor controle do tráfego que entra/sai da máquina e tráfego redirecionado. Permite um número ilimitado de regras por chain Possui mecanismos internos para rejeitar automaticamente pacotes duvidosos ou mal formados. Suporte a módulos externos para expansão das funcionalidades padrões oferecidas pelo código de firewall

9 IPTABLES Características Suporte completo a roteamento de pacotes, tratadas em uma área diferente de tráfegos padrões. Permite especificar exceções para as regras ou parte das regras Permite enviar alertas personalizados ao syslog sobre o tráfego aceito/bloqueado. Redirecionamento de portas Suporte a SNAT (modificação do endereço de origem das máquinas para um único IP ou faixa de IP's). Suporte a DNAT (modificação do endereço de destino das máquinas para um único IP ou fixa de IP's)

10 IPTABLES Ficha Técnica Pacote: iptables iptables: Sistema de controle principal para protocolos ipv4 ip6tables: Sistema de controle principal para protocolos ipv6 iptables-save: Salva as regras atuais em um arquivo especificado como argumento. Este utilitário pode ser dispensado por um shell script contendo as regras executado na inicialização da máquina. iptables-restore: Restaura regras salvas pelo utilitário iptables-save.

11 IPTABLES - Instalação apt-get install iptables O pacote iptables contém o utilitário iptables necessários para inserir suas regras no kernel.

12 IPTABLES Arquivo de Log Arquivos de logs criados pelo iptables Todo tráfego que for registrado pelo iptables é registrado por padrão no arquivo /var/log/kern.log.

13 Firewall - Prática Tabelas: Existem 3 tabelas possíveis de serem utilizadas no Iptables, sendo que uma delas, a mangle raramente é usada, restando a filter, que é a padrão, utilizada nos tráfegos de dados comuns, sem ocorrência de NAT. Quando não especificamos qual tabela a ser utilizada é ela que será ativada. A outra geralmente utilizada é a nat, que como o próprio nome diz, usada quando há ocorrência de NAT. Chains: Através delas podemos especificar a situação do tratamento dos pacotes, seja qual tabela for.

14 Firewall - Prática Quando utilizamos a tabela nat as Chains possíveis são: PREROUTING Quando os pacotes entram para sofrerem NAT. POSTROUTING Quando os pacotes estão saindo após sofrerem NAT OUTPUT Pacotes que são gerados na própria máquina e que sofrerão NAT Já com a tabela filter as Chains são: INPUT - Pacotes cujo destino final é a própria máquina firewall. OUTPUT Pacotes que saem da máquina firewall FORWARD Pacote que atravessa a máquina firewall, cujo destino é uma outra máquina. Este pacote não sai da máquina firewall e sim de outra máquina da rede ou fonte. Neste caso a máquina firewall está repassando o pacote.

15 Firewall - Prática Tabela Mangle - Utilizada para alterações especiais de pacotes (como modificar o tipo de serviço (TOS), antes das tabelas de filter e nat: Já com a tabela Mangle as Chains são: INPUT - Consultado quando os pacotes precisam ser modificados antes de serem enviados para o chain INPUT da tabela filter. FORWARD - Consultado quando os pacotes precisam ser modificados antes de serem enviados para o chain FORWARD da tabela filter. PREROUTING - Consultado quando os pacotes precisam ser modificados antes de ser enviados para o chain PREROUTING da tabela nat. POSTROUTING - Consultado quando os pacotes precisam ser modificados antes de serem enviados para o chain POSTROUTING da tabela nat. OUTPUT - Consultado quando os pacotes precisam ser modificados antes de serem enviados para o chain OUTPUT da tabela nat.

16 Firewall - Prática Identificação das placas de Rede (Rede Interna/Internet) Primeiro passo: Identificar qual seria a placa de rede que ficaria com a rede interna e qual ficaria com a Internet (eth0 e eth1). Usando o comando ifconfig eu consigo ver a configuração das minhas placas. Utilizando o comando PING rodando para uma máquina da rede interna foi retirado o cabo de rede de uma das placas, verificando o ping. Se parou significa que aquela placa é da rede interna, e por exclusão foi assumido que a outra placa é da internet.

17 Firewall - Prática Configuração: IP/Sub-Rede/Gateway e DNS Segundo passo: Definir um IP para a placa da rede interna (IP: , Sub-rede: ) e para a placa de rede da internet (IP: , Sub-Rede: , DNS: ). Em cada estação foi configurado com um ip, na rede e o gateway ficou setado para (placa de rede interna do servidor)

18 Firewall - Prática NAT Network Address Translation Habilitar o IP Forwardin usando o seguinte comando no terminal: echo 1 > /proc/sys/net/ipv4/ip_forward Obs: mas para que isso ocorra toda vez que o servidor é ligado se faz necessário habilitar o IP Forwarding editando o arquivo /etc/sysctl.conf na linha net.ipv4.ip_forward=0 (mude o 0 para 1) Habilitar o NAT, para que todas as máquinas pertencente a rede possam acessar a internet. iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE service iptables save service network restart

19 Firewall - Prática Regra no Firewall Com a intenção de bloquear todos os pacotes do servidor da rede 2, o seguinte comando no firewall: iptables A INPUT s j REJECT Resultado: O comando foi testado com um ping do servidor para o servidor que contém a regra e o mesmo foi bloqueado. Para bloquear o acesso de uma máquina da rede interna à internet, foi usado o seguinte comando: iptables A OUTPUT s j REJECT

20 Firewall - Segurança

21 Firewall - Segurança A segurança de produtos firewall é de suma importância. Embora não existam padrões para a segurança de firewall, o fornecedor independente ICSA (International Computer Security Association) executa um programa de certificação para testar a segurança de produtos de firewall disponíveis comercialmente. A ICSA testa um número significativo de firewalls disponíveis no mercado atual. Para obter mais informações, consulte a seguinte URL: (em inglês)

22 Firewall - Escalabilidade A escalabilidade de firewalls é determinada basicamente pelas características de desempenho dos dispositivos usados. É prudente selecionar um tipo de firewall que será escalado para atender às situações que enfrentará na prática. Há duas maneiras básicas para se alcançar a escalabilidade:

23 Firewall - Escalabilidade Escala vertical (ascendente) Se o firewall for um dispositivo de hardware ou uma solução de software executada em um servidor, a variação de graus de escalabilidade poderá ser atingida com o aumento da quantidade de memória, da capacidade de processamento da CPU e da taxa de transferência de interfaces de rede. No entanto, há um limite para cada dispositivo ou servidor no que se refere à distância em que pode ser escalada verticalmente. Escala horizontal (lateral) Uma vez que um servidor tenha sido escalado verticalmente até o seu limite, a escala horizontal passará a ser importante. A maioria dos firewalls (baseados em hardware e software) pode ser escalada lateralmente usando alguma forma de balanceamento de carga. Em uma situação como essa, vários servidores são organizados em um cluster e vistos como um pelos clientes na rede.

24 Firewall - Consolidação Significa incorporar o serviço de firewall em outro dispositivo ou incorporar outros serviços no firewall. Exemplos: Adição de serviços de firewall a um roteador: A maioria dos roteadores pode ter um serviço de firewall incorporado. Os recursos desse serviço de firewall podem ser muito simples em roteadores de baixo custo, mas os roteadores high end geralmente terão um serviço de firewall muito eficiente. É provável que você tenha pelo menos um roteador conectando os segmentos da Ethernet na sua rede interna. Mesmo que você implemente dispositivos de firewall específicos, a implantação de alguns recursos de firewall nos roteadores poderá ajudar a limitar as invasões internas. Adição de serviços de firewall ao switch interno: Dependendo do switch interno selecionado, é possível adicionar o firewall interno como "blade", reduzindo custos e melhorando o desempenho.

25 Firewall Padrões e Diretrizes A maioria dos protocolos de Internet que usa a versão 4 do protocolo IP (IPv4) pode ser protegida por um firewall. Isso inclui os protocolos de nível inferior, como o TCP e o UDP, e os protocolos de nível superior, como o HTTP, o SMTP e o FTP. Ao analisar o produto de firewall que pretende adquirir, verifique se ele realmente oferece suporte ao tipo necessário de tráfego. Alguns firewalls também podem interpretar o GRE, que é o protocolo de encapsulamento para o protocolo PPTP (Point to point Tunneling Protocol), usado em algumas implementações de VPN. Alguns firewalls têm filtros da camada de aplicativo embutidos para protocolos, como HTTP, SSL, DNS, FTP, SOCKS v4, RPC, SMTP, H. 323 e POP (Post Office Protocol). Deve se considerar também o futuro do protocolo TCP/IP e IPv6, bem como se esse será um requisito obrigatório para qualquer firewall, mesmo se o IPv4 estiver sendo usado no momento.

26 Firewall Conclusão Nenhum firewall é 100% seguro. A única maneira de se garantir que a rede não será atacada eletronicamente pelo lado de fora é implementar uma barreira entre ele e todos os outros sistemas e as outras redes. O resultado seria uma rede segura quase inutilizável. Os firewalls permitem implementar um nível adequado de segurança, quando sua rede é conectada a uma rede externa ou são unidas duas redes internas.

27 Firewall Referências Mais informações sobre o design e a implantação de serviços de firewall podem ser encontradas nas seguintes URLs: Para obter informações detalhadas de segurança sobre o Microsoft Server 2003, consulte o módulo "Windows Server 2003 Security Center", na seguinte URL: (em inglês) Para obter informações sobre o firewall Microsoft Internet Security & Acceleration Server e cache da Web, consulte a seguinte URL: (em inglês) Para obter um serviço de notificação gratuito por que a Microsoft usa para enviar informações sobre a segurança dos produtos Microsoft aos assinantes, visite o site Microsoft Security Notification Service, na seguinte URL: Os recursos de segurança do Instituto SANS (SysAdmin, Audit, Network, and Security) estão disponíveis no seguinte site: A empresa CERT (Computer Emergency Response Team) registra e publica alertas de segurança e um centro para especialistas em segurança na seguinte URL: