8. Segurança de Rede DIN/CTC/UEM 2008
: o que é? Dispositivo que permite conectividade segura entre redes (interna e externa) com vários graus de confiabilidade Utilizado para implementar e impor as regras de comunicação e segurança da rede Oferece um ponto de acesso controlado
s podem: Restringir os tráfegos de entrada e saída por endereço IP, número de porta, ou usuário Impedir o trânsito de pacotes inválidos Coletar informações sobre o tráfego s não podem: Atuar sobre o tráfego que não passa por ele (exemplo, tráfego interno) Proteger quando configurados incorretamente Proteger contra vírus Proteger contra ameaças inesperadas (novas) Interno Proteção diferenciada de partes da rede interna
Duas poĺıtica de acesso: Permite todos os serviços exceto os bloqueados Proibe todos os serviços exceto os permitidos Primeira poĺıtica é menos segura e pode permitir inadvertidamente acesso para serviços perigosos Segunda poĺıtica é mais segura mas pode causar impacto/desconforto aos usuários Administrador deve encontrar a mistura apropriada que permita máxima segurança e mínima interferência para o usuário
Filtragem de pacotes Pacotes são verificados quando em trânsito Pacotes são analisados um a um Nenhuma informação de estado é armazenada Feita de modo transparente a usuários Autoriza todos ou nenhum Regras de filtragem podem conter: Endereço IP de origem ou destino Porta TCP/UDP origem ou destino Protocolos TCP, UDP, ICMP Tipo de mensagem ICMP Flags do TCP (ACK, SYN, FIN) Filtros não tratam protocolos da camada de aplicação Problemas: IP Spoofing Quando serviço troca de porta
Filtragem de pacotes Exemplos Regra Proibe tráfego UDP e Telnet Configuração Bloquear se campo IP protocol 17 e porta destino ou origem 23 Proibe clientes externos de Bloquear se entrada TCP ACK 0 estabelecer conexões TCP Proibe acesso externo a Internet Bloquear se saída qualquer IP e porta 80 Proibe conexões TCP de entrada Bloquear se entrada TCP SYN 1 qualquer IP exceto do servidor da cia. exceto 130.207.244.203 e porta 80 Proibe rádio online Bloquear se entrada UDP exceto DNS e broadcast do roteador Previne smurf attack Bloquear se ICMP endereço broadcast (exemplo 130.207.255.255) Previne aparição no traceroute Bloquear se saída ICMP
Filtragem de pacotes Access Control List (ACL) Lista de permisssões aplicadas de cima para baixo Exemplo: Endereço Porta Ação Origem Destino Prot. Origem Destino Flags Permite 222.22/16 / 222.22/16 TCP > 1023 80 qquer Permite / 222.22/16 222.22/16 TCP 80 > 1023 ACK Permite 222.22/16 / 222.22/16 UDP > 1023 53 Permite / 222.22/16 222.22/16 UDP 53 > 1023 Bloqueia qquer qquer qquer qquer qquer qquer
Filtragem de pacotes Vantagens Rápido, flexível e transparente Considerado uma alternativa barata Em geral necessita apenas configuração dos roteadores Desvantagens Vulnerável a spoofing de endereço e porta Poucos recursos de logging Praticamente imposível identificar quando rede está sob ataque Ausência de identificação de usuário forte Regras para filtragem podem ser complexas e podem provocar vulnerabilidade inconsciente RPC (remote procedure call), que atribui número de porta aleatóreamente, é difícil filtragem
Filtragem de sessão Filtragem dinâmica de pacotes que depende do estado da conexão Controle de acesso baseado no contexto Mantém o estado de cada conexão TCP e determina quais pacotes fazem sentido Termina conexões que estejam inativas por muito tempo Ofecere mais inteligência nas decisões quando comparado a filtragem simples de pacotes
Servidor de Proxy Recebem e encaminham as requisições dos usuários da rede Atuam em nome do usuário de forma transparente Não permitem trânsito direto de pacotes entre cliente e servidor Duplicam as comunicações que precisam ser feitas Mantém um registro de todas as conexões realizadas Devem entender as aplicações porque atuam como os 2 lados da conexão Utiliza recursos intensivamente Um processo por conexão Deixam passar apenas os serviços para os quais existe proxy
Servidor de Proxy e Filtro de pacotes Tomada de decisões Servidor de proxy: decisões baseadas no serviço Filtro de pacotes: decisões baseadas no cabeçalho do pacote Desempenho Filtro de pacotes atua em nível mais baixo Auditoria Servidor de proxy permite auditoria do tráfego
Arquitetura Dual Homed Máquina possui ao menos 2 placas de rede Vulnerabilidade proporcional ao número de aplicações rodando na máquina dual homed Apropriado para pequenas redes
Arquitetura Screened Host Componentes: screened router e bastion host Bastion host pode atuar como servidor de proxy Bastion host pode ser a única máquina que recebe conexões da rede externa Pode também permitir que outras máquinas abram conexões externas para determinados serviços
Arquitetura Screened Subnet Componentes: 2 screened routers e bastion host Acrescenta uma camada extra de segurança (a demilitarized zone DMZ) Bastion host pode atuar como servidor de proxy Maior parte da filtragem de pacotes ocorre no roteador interno