ADRIANO ZUFFO A participação dos acadêmicos para a elaboração do estudo de caso ocorreu de forma homogênea. Foi decidida de forma unânime a ferramenta a ser testada, o número de computadores do estudo de caso, os critérios de aperfeiçoamento na política de segurança da informação, a instalação, configuração e testes do firewall e nas estações de trabalho e o planejamento do que ser escrito e as conclusões para este artigo. 1
Implantação do firewall Aker 6.1. na Prefeitura Municipal de Videira Adriano Zuffo, Bernardo Soerger, Marcos Demartini Curso de Redes e Segurança de Sistemas Pontifícia Universidade Católica do Paraná Curitiba, Abril de 2010 Resumo Um estudo de caso do Aker Firewall versão 6.1. na Prefeitura Municipal de Videira SC. Implantado em uma rede paralela a rede principal do Paço Municipal em cinco computadores (1 servidor e 4 clientes) onde foram realizados testes de segurança baseados na política de segurança da informação. O objetivo deste trabalho é apresentar os resultados dos experimentos realizados nestas cinco máquinas apontando os aspectos positivos e negativos que tivemos neste estudo de caso em particular. 1 Introdução A internet é um dos meios de comunicação que mais cresce atualmente. E com todo este crescimento surge a necessidade de se implantar mecanismos de segurança capazes de proteger as redes locais de acesso não autorizados e de programas mal intencionados. Um dos sistemas mais utilizados para se controlar o tráfego entre uma rede privada e a internet são os firewalls. Traduzindo para o sentido literal ele funcionará como uma barreira de fogo determinando o que poderá passar de uma rede à outra. No mercado existem firewalls com duas características básicas de funcionamento: As que determinam sua análise através da filtragem de dados (pacotes IP); e as que são realizadas por um servidor de proxy que determina se deve ou não estabelecer conexão. [1], [4]. Com o objetivo de se implantar um novo sistema de firewall na Prefeitura Municipal de Videira SC foi escolhido o produto Aker Firewall 6.1., da empresa Aker Security Solutions. O que motivou a escolha deste software foi o respeito do mercado de segurança da informação, o sistema ser nacional, facilitando o suporte e por possuir a característica de ser um firewall híbrido; ou seja, efetua a filtragem tanto de pacotes quanto servidor de proxy (em nível de aplicação na camada OSI). Este artigo está estruturado da seguinte forma. A seção 2 descreve o contexto onde este projeto foi desenvolvido, e os requisitos mínimos de hardware e software para utilização do firewall Aker. A seção 3 descreve os aspectos práticos para implantação do projeto indiciando a topologia da rede e o processo de instalação do firewall. No seção 4 relata as principais configurações e testes realizados no firewall. No capítulo 5 descreve os testes internos e externos realizados bem como exemplo de relatório baseado nos logs de acesso. O item 6 aponta os principais benefícios do projeto bem como as dificuldades encontradas e a avaliação geral do estudo de caso. 2 Descrição do Contexto 2
2.1 Prefeitura Municipal de Videira - SC O município de Videira está localizado no meio-oeste de Santa Catarina. A quatrocentos quilômetros de Florianópolis. Possui população de aproximadamente 47 mil habitantes. É a décima terceira economia do Estado. Sendo a agroindústria um dos principais meios produtivos. [6] Em seu Paço Municipal está instalada uma rede local (LAN Local Area Network) com aproximadamente oitenta microcomputadores interligados a um servidor central. O controle de acesso à internet é realizado por um firewall que realiza a filtragem dos pacotes e monitoramento e bloqueio de portas. 2.2 Aker firewall A versão utilizada foi a 6.1. A instalação do sistema possui como requisitos mínimos: - de hardware: Um computador Intel Pentium ou compatível 1.3 MHz, 256 Mbytes de memória RAM, 20 Gbytes de espaço em disco, leitor de CD-ROM, monitor, mouse, teclado e placas de rede. - de software: o sistema operacional Linux Fedora 8. Nesta versão possui basicamente dois módulos. O firewall propriamente dito e o controle de interface gráfico (chamado de Aker Control Center). Este pode ser instalado tanto no sistema operacional Windows quanto na plataforma Linux. Há a opção também de se utilizar a interface de configuração em modo texto e configurar servidor de log remoto. 3 Implantando o Aker Firewall 6.1. na Prefeitura Municipal de Videira SC 3.1 Visão geral Para a realização do estudo de caso foi criada uma rede local paralela a que se encontra instalada no Paço Municipal. Foram utilizados cinco microcomputadores sendo quatro clientes. A versão do Aker Firewall foi a 6.1. e a interface gráfica foi a Aker Control Center na versão para Linux 2.0, release 7, copiados diretamente do site da companhia. Para o firewall funcionar foi necessário a requisição de uma chave de ativação. A requisição para os testes foi solicitada através de uma revenda da empresa. Foi necessário informar o endereço IP da interface externa para que todos os recursos do software fossem ativados. A chave de ativação é de demonstração para um período de teste de 30 dias corridos. [2] Os motivos para a instalação de uma rede paralela foram o de não interferir no funcionamento normal das atividades da prefeitura e o de se verificar se o firewall testado atende melhor ao cumprimento da política de segurança implantada no órgão. A configuração de hardware do servidor foi um Intel Pentium IV, 2,8 MHz, com 1024 Mbytes de memória RAM., 80 Gbytes de disco rígido. Duas placas de rede 10/100 Mbps. As estações de acesso utilizaram o sistema operacional em sua versão XP Professional. Já o sistema operacional do servidor foi o Linux Fedora 8. 3
A placa de rede chamada eth0, foi utilizada para se conectar ao link de acesso a internet, de velocidade de 2 Mbytes. E a eth1, para se conectar a rede interna. Para interligar os computadores em rede, foi utilizado um switch Alcatel, 24 Portas. 3.2 Instalando o Aker Firewall 6.1 Após a instalação na versão básica do Fedora 8, foi realizada a instalação do Aker Firewall 6.1. Descompactado o arquivo do instalador, através do comando tar xvzf fw610-instbr-fc8.gz e executando o instalador pelo comando./fwinst. Aceito os termos da licença, reiniciado o micro, prosseguindo a instalação (através do comando./fwinst), digitado a chave de ativação, chega o momento de configuração das interfaces. Para interface externa, foi configurada a eth0, e inserido o IP 201.41.XXX.XX, máscara 255.255.255.248, informações omitidas por questão de segurança. Terminada a configuração da interface externa, foi criado o usuário administrador (para usar no Aker Control Center 2.0). A senha deve ter 6 a 14 caracteres. Não foi criado o segredo, pois não foi instalado o aplicativo Aker Control Manager. Finalizada a instalação, reiniciada a máquina, o aplicativo entrará funcionando automaticamente. 3.3 Instalando o Aker Control Center 2.0 Conforme citado anteriormente, a versão do Aker Control Center utilizado foi a versão para Linux 2.0, release 7. Do site da empresa, foi efetuado download do arquivo akercontrolcenter-2.0.7-xx-fc8-akerfirewall_6.1.10.rpm. Para a instalação do programa foi executado o comando rpm ivh akercontrolcenter-2.0.7-xx-fc8- akerfirewall_6.1.10.rpm. Este sistema administra e configura o firewall. Originalmente vem com um dispositivo remoto padrão denominado demo. Não é possível efetuar alterações nele. Para o estudo de caso criou-se o dispositivo remoto chamado aker. Nele foram implantadas todas as configurações que seriam aplicadas no firewall. 4 Configurando o firewall pelo sistema de Control Center 4.1 Entidades Este recurso tem como função representar objetos do mundo real. Podem representar máquinas, redes e serviços. Uma das vantagens é que se precisar alterar uma entidade será propagada aos locais de referência. Há nove tipos de entidades: máquinas, máquinas IPV6, redes, rede IPV6, conjuntos, conjuntos IPV6, serviços, autenticadores e interfaces. As entidades usadas no estudo de caso foram: - Entidades de Redes: A LAN recebeu o nome de entidade Rede Interna, com o IP 192.168.1.0, máscara 255.255.255.255. Com intervalo de rede 192.168.1.0 a 4
192.168.1.255. Outra entidade de rede foi a Net, para representar o acesso externo. De IP 0.0.0.0, máscara 0.0.0.0. Intervalo de 0.0.0.0 a 255.255.255.255. - Entidades do tipo máquinas: As máquinas cadastradas nesse item representam virtualmente o endereço da máquina do firewall e das interfaces internas e externas - Entidades do tipo conjuntos: Essa entidade pode representar tanto máquinas como redes. Nela se pode referir a um determinado grupo usando uma única entidade. Neste caso foi criado um item chamado Todas as redes, no qual foi incluído a entidade rede interna somente. - Entidades do Tipo Serviço: Serviços são protocolos de redes ou de transporte com uma porta conhecida. O Aker Firewall vem com sessenta e seis tipos de serviços já cadastrados. Dentre eles os protocolos HTTP (porta 80), FTP (porta 21), HTTPS (porta 443) de outros protocolos de transporte TCP, UDP, etc. - Entidades do tipo Listas: As entidades do tipo listas controlam o acesso a internet. Através das listas podem-se construir regras para liberar ou bloquear visitas a determinados sites ou programas. Foram usados três tipos: a) lista de e-mails, b) lista de tipos de arquivos e c) lista de padrões de busca. a) Lista de e-mails: São entidades usadas pelo proxy do MSN. Definem quais pessoas o usuário poderá conversar. Apenas os e-mails listados poderão conversar e/ou compartilhar arquivos. b) Lista de tipos de arquivos: São fixados os tipos de arquivos que podem ser transferidos pelo MSN. Adotou-se as extensões txt, doc, docx,xls e xlsx. c) Lista de padrões de busca: São relações de palavras que são adotados como padrões para bloqueio ou liberação. Neste caso o bloqueio ou acesso é feito por palavra-chave. Alguns exemplos estão citados abaixo: - Sites de relacionamento: orkut, badoo gazzag, facebook, parperfeito, hi5, etc. - Páginas de compartilhamento de arquivos: easyshare, rapidshare, 4shared, megaupload, etc. - Programas P2P: ares, e-mule, kazaa, napster, morpheus, e-donkey, etc. - Sites pornográficas: pornô, sexo, sex, playboy, redtube etc. - Páginas diversas: youtube, rádio, vídeo, Proxy, powerscrap, etc. 4.2 Perfis de acesso Com o objetivo de realizar os testes de acordo com a disposição dos cargos e ocupações dos funcionários da Prefeitura Municipal de Videira foi realizado o cadastro de três tipos de perfis. Autoridades, Padrão e Padrão Reforçado. De início, em todos os perfis de acesso foram selecionadas na guia Geral a opção de bloqueio de URLs com endereço IP. O objetivo principal desta opção foi o de evitar a utilização de servidores de proxy que pudessem transpor as regras do firewall. 5
Através do Proxy HTTP, adicionou-se duas regras básicas que restringem alguns acessos através de palavras presentes na URL (Uniform Resource Locator), tais acessos são direcionados automaticamente à página oficial da prefeitura.[8] Apesar de algumas pessoas não estarem submetidas a todas as regras de bloqueio de acesso deste firewall, todos os perfis obedecem à restrição em páginas de relacionamento, programas P2P e páginas pornográficas. O principal ícone de distinção destes perfis é o uso do Windows Live Messenger. Para o perfil Autoridades, o qual engloba o prefeito e secretários, seu uso é liberado. O perfil Padrão Reforçado obedece à regra de MSN rastreado, no qual o funcionário somente poderá conversar com as pessoas de e-mails cadastrados na lista de e-mails e trocar arquivos autorizados na lista de tipos de arquivos. O perfil Padrão não poderá utilizar esta ferramenta. Para estes o bloqueio foi realizado desmarcando a seleção Permitir MSN Messenger. 4.3 Autenticação Através da autenticação os usuários estão submetidos às regras do firewall. Para a realização dos testes foram cadastrados três usuários: Marcos, Adriano e Bernardo. Os critério para a criação das senhas seguiram a política de segurança local com no mínimo seis caracteres com letras e números. Para que se possam realizar os acessos, todos os usuários devem estar vinculados aos perfis, cadastrados em um grupo, podendo-se distinguir cada um pelo seu grupo. Todos os usuários cadastrados são pertencente ao grupo Trabalho. A forma de autenticação será somente por usuário e senha como demonstra a figura 1. Figura 1 Tela de autenticação nas estações de trabalho 4.4 Conversões de Endereços IP A conversão de endereços permite que as máquinas de uma rede interna (que possui endereços reservados) possam acessar a internet. Isso é possível devido ao 6
firewall realizar uma ponte entre a Internet e a rede interna, processo chamado de NAT (Network Address Translation). Toda vez que uma máquina da rede interna necessitar acessar a internet, o firewall traduz o IP reservado da máquina em um IP válido. A máquina de destino responderá a este IP válido e o firewall fará o processo contrário, traduzindo-o para um IP reservado e repassando as informações ao solicitante. Foram adotadas duas regras de NAT. A primeira onde todas as redes acessam todas as redes, sem restrições. E outra onde a rede interna acessa a internet, através de uma entidade virtual (interface externa do firewall). Ou seja, qualquer máquina pertencente a rede interna poderá acessar a internet convertendo o seu IP ao da entidade virtual, como pode demonstrar a figura 2. 4.5 Regras de Filtragem Figura 2 Configuração do NAT Considerada a principal parte do firewall. Uma vez definidas as regras conforme a política de segurança da informação, o sistema efetuará a filtragem dos pacotes IP, permitindo ou não o acesso a determinadas páginas ou aplicativos. As regras funcionam baseadas na idéia de uma entidade de origem acessar ou não uma entidade de destino por meio de serviços. As principais regras efetuadas foram: - Bloqueio de acesso proibido: A configuração permite que todo o acesso externo ao firewall e a interface externa (através dos protocolos ICMP, TCP, UDP e IP) seja descartado a todo o tempo em que o Aker Firewall estiver on-line. - Permissão de autenticação e proxies socks/ww: Regra que permite o acesso aos proxies do firewall. 7
- Permissão de acesso interno à internet: Permite o acesso de todas as máquinas da rede interna à internet. O conjunto de regras configuradas pode ser mais bem entendido com a figura 3. 5 Logs e Avaliação dos resultados 5.1 Testes locais Figura 3 Algumas regras de filtragem Os testes efetuados no firewall trouxeram pontos positivos e negativos. Foram realizados de diversas maneiras no intuito de aprimorar cada vez mais as configurações. Foram realizados testes nas regras de filtragem como a comunicação da rede interna com a internet, permissão para autenticação e proxies, e ping externo. Todos resultados obtidos foram positivos nas quatro máquinas clientes. Todas realizaram login e efetuaram comunicação com a internet de forma eficiente. Os comandos ping da rede interna para a internet foram realizados com sucesso, porém quando realizado de forma 8
contrária, ou seja, de uma máquina externa para o servidor de firewall não se obteve resposta, excedendo o tempo limite de solicitação. As regras de restrição cadastradas nos perfis foram respeitadas por todos os usuários. Em todos os perfis foram configurados regras de bloqueio a sites pornográficos, de relacionamento, P2P e outros. Nas tentativas de acesso a sites como Orkut, Playboy, Facebook, jogos on-line dentre vários, houve a ação de encaminhar o acesso para a página www.videira.sc.gov.br com sucesso. Nos testes efetuados com o MSN, o usuário Marcos, vinculado ao perfil Autoridades pode acessá-lo, sem restrições. O usuário Adriano, vinculado ao perfil Padrão, não pode acessá-lo. O usuário Bernardo vinculado ao Padrão Reforçado, o qual possuía o MSN rastreado, só pode receber mensagens de pessoas com seus e-mails cadastrados na lista de e-mails do firewall. No teste realizado o e-mail do usuário Marcos não foi cadastrado na lista. Portanto, não pode conversar com o usuário Bernardo retornando uma mensagem automática de controle de acesso. Conforme pode ser observado na figura 4. Foi observado também que o MSN com filtros tornou o recebimento e envio de mensagens instantâneas mais lento que o normal. Figura 4 Teste de bloqueio de MSN O firewall monitora todo o tráfego entre uma rede interna e a internet. Estas informações ficam gravadas em logs. Monitorar constantemente o tráfego é uma importante rotina do administrador de rede. Ali ele poderá ver possíveis tentativas de ataques e tirar relatórios de controle de acesso dos usuários. Durante o período de testes não foi verificado nenhum tipo de acesso mal intencionado. Além disso, foram realizados testes no relatório de acesso a internet dos usuários. Um exemplo de relatório pode ser visto na Figura 5. 9
Figura 5 Exemplo de relatório de acesso 5.2 Teste externo Foi verificado através do site da Audit My PC a vulnerabilidade das portas a partir de acessos externos ao firewall. Não foram encontradas portas abertas. O resultado foi encaminhado por e-mail conforme a figura 6. [7] 6 - Conclusão Figura 6 Resultados obtido do AuditMyPC Dentre as particularidades oferecidas pelo sistema consideramos como positivo o módulo Aker Control Center que possibilita a administração do firewall a partir de uma máquina qualquer conectada à internet e de sua acessibilidade em plataformas Linux e Windows. Interessante também o recurso Entidades ao permitir a virtualização desde rede completas, máquinas e serviços agilizou a inclusão e manutenção de regras tanto de NAT quanto regras de acesso. Além disso, os assistentes de configuração tornam a inclusão de novas configurações mais didáticas otimizando o tempo. Porém, foi considerada complexa a navegabilidade a determinados recursos do software com muitas barras de rolagem. Para a configuração de aplicativos como o MSN Messenger foi necessário criação de regras de filtragem em vários locais do programa como Proxy Messenger, HTTP e em MSN Messenger. O manual está confuso e incompleto. De uma maneira geral o programa atendeu as expectativas sobre os quesitos de segurança. Mostrando ser um firewall completo, possibilitando a filtragem tanto de pacotes de IP quanto na camada de aplicação. 7 Referências Bibliográficas [1] GONÇALVES, Marcus. Firewalls, Guia Completo. Editora Ciência Moderna, Rio de Janeiro. [2] AKER SECURITY SOLUTIONS. Site oficial. http://www.aker.com.br [3] AKER SECURITY SOLUTIONS. Manual Oficial. Versão 4. http://www.aker.com.br 10
[4] FERREIRA, Fernando Nicolau Freitas. Segurança da Informação. Editora Ciência Moderna, Rio de Janeiro. [5] TIBET, Chuck V. Tibet. Linux, Administração e Suporte. Editora Novatec. São Paulo. [6] IBGE, Instituto Brasileiro de Geografia e Estatística. Videira, SC. http://www.ibge.gov.br/cidadesat/painel/painel.php?codmun=421930 [7] Audit My PC.com. Firewall Test http://www.auditmypc.com/firewall-test.asp [8] Prefeitura Municipal de Videira. Site Oficial. http://www.videira.sc.gov.br 11