FIREWALL. Prof. Fabio de Jesus Souza. Professor Fabio Souza

Transcrição

1 FIREWALL Prof. Fabio de Jesus Souza Professor Fabio Souza

2 O que são Firewalls? Os firewalls são sistemas de segurança que podem ser baseados em: um único elemento de hardware; um único elemento de software instalado num computador ; ou, em casos mais complexos, em uma combinação de equipamentos e softwares trabalhando em conjunto, numa arquitetura mais sofisticada.

3 Por que usar firewalls? Ao se conectar uma rede privativa diretamente à Internet, para usufruir os recursos de comunicação e ter acesso a outras redes, também está se permitindo que outras redes vejam e tenham acesso à rede privativa, deixando a mesma à mercê de vários tipos de ataque e susceptível à invasão por indivíduos mal intencionados.

4 O que fazem os firewalls? Um sistema de firewall pode restringir e controlar o tipo de tráfego que entra e sai da rede, mantendo um ponto único de controle e monitoração; Protege contra ataques e invasões provenientes da rede pública; Gera relatórios de tudo o que acontece na interface entre a rede interna e a rede externa.

5 Posicionamento do firewall na rede Rede Pública Rede Privativa Internet Sistema de Firewall E mail WEB FTP

6 Vantagens de um sistema de firewall Fornece proteção contra ataques e invasões externas; Reforça a política de segurança da empresa; Fornece um ponto único (centralizado) para monitoramento da segurança; Permite a seleção criteriosa de quais serviços podem ou não ser acessados; Geram logs, de tudo o que acontece na rede, para eventuais auditorias; São programáveis; Ocultam a rede corporativa por meio de serviços de procuração (Proxies) e/ou tradução automática de endereços (NAT).

7 Limitações de um sistema de firewall Não é capaz de proteger contra ataques internos; Não protege contra engenharia social; Não evita que informações sejam roubadas por meio de disquete, CD RW ou memory keys; Não pode proteger contra vírus de computador ou cavalos de tróia; Só é capaz de filtrar e monitorar o tráfego que passa exclusivamente por ele. Não pode prever novos tipos de ataques.

8 Elementos de um sistema de firewall Um sistema de firewall pode evoluir de uma arquitetura mais simples (um único dispositivo) até uma mais sofisticada (com vários elementos combinados) dependendo do nível de segurança que se pretende alcançar na periferia da rede Os elementos mais importantes encontrados num sistema de firewall são os seguintes: Filtros de pacotes; Hosts de Segurança a ( (Bastion hosts); Servidores proxy; NAT (Network Address Translation)

9 O que são Bastion Hosts? Bastion host é o nome dado a um tipo especial de computador que tem funções críticas de segurança dentro da rede e que, por essa razão, é configurado de uma forma mais rigorosa (segurança reforçada). O termo bastião tem origem nas antigas construções medievais existentes nos flancos dos castelos que tinham por finalidade ser pontos estratégicos de defesa em caso de ataques.

10 Posicionamento dos Bastion Hosts Rede Pública Sistema de Firewall Rede Privativa DMZ E mail WEB FTP Bastion Hosts Internet Rede segura

11 Para que servem os Bastion Hosts? Podem assumir o papel de servidor de WEB (onde fica armazenada a página da empresa), servidor de FTP, servidor de DNS, servidor de e mail, servidor Proxy, etc. Em alguns casos, podem acumular tanto a função de filtro de pacotes quanto a de servidor proxy, caracterizando assim um dual homed host, ou seja, um host com área de atuação dupla. Neste caso será necessário que o mesmo tenha duas interfaces: uma para conectá lo à rede interna e outra para conectá lo à rede externa.

12 Configuração dos Bastion Hosts Por serem altamente suscetíveis a ataques externos, uma vez que são acessíveis a partir da rede pública, somente os serviços estritamente necessários devem ser habilitados. Outra característica importante é que os mesmos devem executar uma versão segura de sistema operacional de modo a garantir que não sejam susceptíveis às vulnerabilidades conhecidas de uma ou outra plataforma.

13 Serviços de proxy Um serviço de proxy é um programa que roda num servidor especial, intermediando as solicitações de conexão dos protocolos da camada de aplicação, tais como o HTTP, o FTP e o TELNET. Na maioria dos casos, existe um serviço de proxy específico para cada serviço de internet disponível na camada de aplicação

14 Componentes do serviço de Proxy O princípio básico de funcionamento de um serviço de proxy consiste em interceptar as solicitações de conexão, provenientes de máquinas da rede interna, e assumir o controle sobre o estabelecimento da sessão. Para que isso seja possível o serviço conta com dois componentes básicos: um cliente proxy e um servidor proxy

15 Vantagens do uso de proxies Podem fazer cache de páginas visitadas com freqüência; Permitem ocultamento dos usuários da rede interna; Podem filtrar URLs não permitidas; Gravam logs de todas as transações efetuadas; São capazes de filtrar conteúdo suspeito; São um ponto central de monitoramento; Permitem reforçar a política de segurança da empresa.

16 Desvantagens do uso de proxies São pontos de falha centralizados; É necessário que haja um serviço de proxy para cada serviço da camada de aplicação; Podem causar um gargalo na rede; Não protegem contra todas as fraquezas dos protocolos; Freqüentemente, requerem configurações específicas nos clientes internos.

17 Tradução de endereços com NAT A tradução de endereços usando NAT (Network Address Translation) é um recurso que permite ocultar os hosts da rede interna por meio do mascaramento de seus endereços IP. Esta técnica surgiu, originalmente, da necessidade de se estender a quantidade de endereços disponíveis para uso na rede privada sem que fosse necessário registrar tais endereços.

18 Tradução de endereços com NAT Com o uso da NAT os endereços públicos registrados podem ser reutilizados nas redes privadas sem que isso cause conflitos. No entanto,o mais comum é implementar se esquemas de endereçamento baseados no que se chama de endereços privativos, que são espaços de endereço reservados para uso em redes particulares.

19 Endereços privativos Abaixo estão as faixas de endereços privativos para uso com NAT : Classe A: A até ( até hosts ) Classe B: B até ( até hosts ) Classe C Classe C: até ( até hosts )

20 Conversão estática de endereços Usada quando um host externo tem que se conectar a um host interno específico, como um servidor de e mail, por exemplo. Neste caso o endereço usado na conversão nunca muda e, por essa razão, não existe o mascaramento, somente a conversão de um endereço privativo para um endereço público.

21 Conversão dinâmica de endereços Os endereços dos hosts internos são convertidos para um endereço público que é vinculado a um nº de porta escolhido dinamicamente. Tais n os de porta só estão disponíveis enquanto a sessão estiver ativa. Só o host externo, ao qual foi feita a conexão, consegue conversar com o host interno.

22 Limitações da NAT Se for usada conversão estática de endereços, praticamente não haverá segurança; Mesmo a conversão dinâmica de endereços não é capaz de evitar que uma conexão seja estabelecida com o host de um hacker, se esta conexão for solicitada de dentro da rede. A NAT só opera no nível das camadas 3 e 4 do modelo OSI, portanto, não tem condições de verificar o conteúdo transportado no interior dos pacotes