A apresentação está carregando. Por favor, espere

A apresentação está carregando. Por favor, espere

Prof. Celso Cardoso Neto. 2 Roteiro b Introdução b Características do Firewall b Tipo de Firewall Filtro de PacotesFiltro de Pacotes Servidores ProxyServidores.

Apresentações semelhantes


Apresentação em tema: "Prof. Celso Cardoso Neto. 2 Roteiro b Introdução b Características do Firewall b Tipo de Firewall Filtro de PacotesFiltro de Pacotes Servidores ProxyServidores."— Transcrição da apresentação:

1 Prof. Celso Cardoso Neto

2 2 Roteiro b Introdução b Características do Firewall b Tipo de Firewall Filtro de PacotesFiltro de Pacotes Servidores ProxyServidores Proxy b Tipos avançados de Firewall Bastion HostBastion Host Firewalls híbridosFirewalls híbridos

3 3 Roteiro (cont) b Arquiteturas de Firewall Screened HostScreened Host Screened SubnetScreened Subnet b Conclusão

4 ESTÁ ASSOCIADO À POLÍTICA DE SEGURANÇA DE UMA EMPRESA INTERNET - TCP/IP - HÁ QUE SE ESCUTAR TODO O TRÁFEGO DE REDE, FILTRANDO O QUE PODE PASSAR OU NÃO FIREWALL É NA REALIDADE UM PODEROSO ROTEADOR INTERLIGANDO DUAS REDES E POSSUI PELO MENOR DUAS PLACAS DE REDE DE UM LADO A REDE É PÚBLICA (INSEGURA) E DE OUTRO A REDE É PRIVADA (SEGURA) FIREWALL FUNCIONA ANALISANDO CABEÇALHO DOS PACOTES UTILIZANDO REGRAS. SE O PACOTE NÃO SE ENQUADRAR EM NENHUMA REGRA, O FIREWALL PODE TOMAR DUAS DECISÕES: RECUSAR O RECEBIMENTO (DENY) OU DESCARTÁ-LO (DROP) INTRODUÇÃO

5 ESQUEMA BÁSICO DE IMPLANTAÇÃO DE UM FIREWALL ESQUEMA BÁSICO DE LIGAÇÃO DE UM FIREWALL PROTEGENDO UMA REDE CONECTADA À INTERNET

6 ESQUEMA EMPREGANDO UM FIREWALL E UM ROTEADOR PARA CONECTAR UMA REDE À INTERNET É MELHOR OPTAR POR ESTA CONFIGURAÇÃO, TENDO-SE UM ROTEADOR NA FRENTE E DEIXAR QUE O FIREWALL FAÇA APENAS O SEU TRABALHO DE FILTRAGEM DE PACOTES

7 ESQUEMA COM O SERVIDOR WEB FORA DA ZONA DE PROTEÇÃO DO FIREWALL A FUNÇÃO ORIGINAL DO FIREWALL ERA A DE ISOLAR COMPLETAMENTE A SUA REDE DA INTERNET. ESTE CONCEITO MUDOU. A CONFIGURAÇÃO COMEÇOU A TRAZER PROBLEMAS QUANDO EMPRESAS QUISERAM COLOCAR SERVIDORES WEB PARA DISPONIBILIZAR PÁGINAS WWW A SEUS VISITANTES UM HACKER QUE INVADISSE UM SERVIDOR WEB NA REDE INTERNA PODERIA CAUSAR DANOS NA REDE DA EMPRESA. ASSIM, SURGIU A SOLUÇÃO AO LADO. O SERVIDOR WEB FICA FORA DA ZONA DE PROTEÇÃO DO FIREWALL

8 ESQUEMA COM O SERVIDOR WEB FORA DA ZONA DE PROTEÇÃO DO FIREWALL, MAS COM O SERVIDOR DE BD WEB DENTRO A SOLUÇÃO COM O SERVIDOR WEB FORA DA ZONA DE PROTEÇÃO IMPEDIA QUE UM HACKER TOMASSE AÇÕES DESTRUTIVAS NA REDE INTERNA. NO PRINCÍPIO AS INFORMAÇÕES DISPONIBILIZADAS NÃO TINHAM GRANDE IMPORTÂNCIA. NO ENTANTO, ESTE QUADRO MUDOU. A QTDE DE HACKERS AUMENTOU E AS INFORMAÇÕES DISPONIBILIZADAS NA WEB CRESCERAM EM IMPORTÂNCIA A SOLUÇÃO APONTOU PARA O ESQUEMA AO LADO, COLOCANDO O BD NA REDE INTERNA E ABRINDO UMA REGRA NO FIREWALL PERMITINDO QUE O SERVIDOR WEB ACESSASSE ESTE BD. É SOLUÇÃO SEGURA ? NÃO.

9 QUAL A SOLUÇÃO PARA O PROBLEMA ? É SEPARAR O SERVIDOR DE BD DA REDE INTERNA, SEM COLOCÁ- LO NA REDE EXTERNA E, AO MESMO TEMPO, AUMENTAR A SEGURANÇA DO SERVIDOR WEB. COMO FAZER ISSO ? A MELHOR MANEIRA É CRIAR UMA REDE INTERMEDIÁRIA, ENTRE A REDE INTERNA E A EXTERNA --- ZONA DESMILITARIZADA --- DMZ (DEMILITARIZED ZONE NETWORK)

10 ZONA DESMILITARIZADA --- DMZ (DEMILITARIZED ZONE NETWORK) - FALHA) REQUER DOIS FIREWALLs. ENTRE ELES FICA A DMZ, ABRIGANDO OS SERVIDORES WEB E DE BD NO FIREWALL 1, SÃO CRIADAS REGRAS PERMITINDO ACESSO AO SERVIDOR WEB E BLOQUEANDO O ACESSO A TUDO O MAIS. O FIREWALL 2 TEM A FUNÇÃO DE BLOQUEAR O ACESSO À REDE INTERNA. AGORA TUDO ESTAVA PROTEGIDO, O ACESSO À REDE INTERNA NEGADO, MAS SE UM HACKER OBTÉM ACESSO AO SERVIDOR WEB TAMBÉM ACESSA O BD QUEM DESEJA ACESSO À REDE INTERNA SE JÁ TEM ACESSO AO BD DE UM HOME BANKING (POR EXEMPLO) ?

11 ZONA DESMILITARIZADA --- DMZ (DEMILITARIZED ZONE NETWORK) - SOLUÇÃO PARA A FALHA) OCORRERAM PROBLEMAS EM BANCOS. A SOLUÇÃO ESTÁ INDICADA NA FIGURA AGORA APENAS O SERVIDOR WEB ESTÁ NA DMZ. O FIREWALL 2 (INTERNO) PERMITE APENAS O ACESSO NECESSÁRIO AO BD, EVITANDO MUITAS DAS ALTERAÇÕES QUE UM ACESSO TOTAL À MÁQUINA ONDE ESTÁ O SERVIDOR PERMITIRIA

12 12 Objetivos b Alto índice de ataques a redes b Necessidade de controle de tráfego b Garantir integridade aos serviços b Alta demanda dos serviços da Internet

13 13 Firewall b Definição de Firewall b Funções do Firewall b Estrutura de um Firewall b Classificação básica

14 14 Firewall Ilustração:

15 15 Princípios Básicos b Toda solicitação chega ao Firewall b Somente tráfego autorizado passa pelo Firewall b O próprio Firewall deve ser imune a penetração

16 16 O que um Firewall pode fazer? b É um foco para a tomada de decisões Pode ser usado como um ponto de partida para a política de segurançaPode ser usado como um ponto de partida para a política de segurança b Pode gravar requisições b Limita a exposição da rede

17 17 O que um Firewall não pode fazer? b Proteger uma rede contra usuários internos b Proteger uma rede contra conexões que não passam por ele b Proteger contra ameaças completamente novas b Proteger contra vírus

18 18 Tipos de Firewall b Existem dois principais tipos: Filtro de Pacotes;Filtro de Pacotes; Servidores Proxy.Servidores Proxy.

19 19 Filtro de Pacotes b Filtrar = peneirar, separar b Controle do tráfego que entra e sai b Filtro de pacotes em Roteadores b Incrementa a segurança b Transparente aos usuários b Grande variedade no mercado

20 20 b As regras dos filtros se contém: Endereço IP de origemEndereço IP de origem Endereço IP de destinoEndereço IP de destino Protocolos TCP, UDP, ICMPProtocolos TCP, UDP, ICMP Portas TCP ou UDP origemPortas TCP ou UDP origem Portas TCP ou UDP destinoPortas TCP ou UDP destino Tipo de mensagem ICMPTipo de mensagem ICMP Filtro de Pacotes

21 Internet Roteador com Filtro de Pacotes Rede Interna Router 21 Filtro de Pacotes

22 22 b Filtragem por adapatador de rede – vantagem ao administrador b Principais problemas do filtro: IP SpoofingIP Spoofing Serviço troca de portaServiço troca de porta b Filtros de pacotes não tratam protocolos da camada de aplicação Filtro de Pacotes

23 23 b Filtragem = atraso no roteamento b Filtros com Inspeção com Estado Utilizam as flags do TCP (ACK, SYN, FIN)Utilizam as flags do TCP (ACK, SYN, FIN) Vantagens: maior controleVantagens: maior controle b Filtros de pacotes não são uma solução única – é um complemento Filtro de Pacotes

24 24 b Exemplos de regras do IP Filter: block in log on tun0 proto tcp from any to any pass in quick on eth0 proto tcp from any to port 23 flags S keep state keep frags Filtro de Pacotes

25 25 Servidores Proxy b Assumem requisições de usuários de uma rede b Atuam em nome do cliente de uma forma transparente b Não permitem que pacotes passem diretamente entre cliente e servidor

26 26 b Ilustração do funcionamento Servidores Proxy

27 27 b Métodos de utilização: Método da Conexão Direta;Método da Conexão Direta; Método do Cliente Modificado;Método do Cliente Modificado; Método do Proxy Invisível.Método do Proxy Invisível. Servidores Proxy

28 28 b Vantagens de utilização do proxy: Permite ao usuário acesso direto aos serviços na Internet;Permite ao usuário acesso direto aos serviços na Internet; Possui bons mecanismos de log;Possui bons mecanismos de log; Provê uma ótima separação entre as redes.Provê uma ótima separação entre as redes. Servidores Proxy

29 29 b Desvantagens do proxy: Cada serviço possui o seu servidor proxy;Cada serviço possui o seu servidor proxy; Deve ser desenvolvida uma nova aplicação para cada novo serviço;Deve ser desenvolvida uma nova aplicação para cada novo serviço; Existem alguns serviços inviáveis.Existem alguns serviços inviáveis. Servidores Proxy

30 30 Servidores Proxy X Filtro de Pacotes b Tomada de decisões: Servidor proxy toma decisões baseado em informações fornecidas pelo serviço;Servidor proxy toma decisões baseado em informações fornecidas pelo serviço; Filtro de pacotes utiliza o cabeçalho do pacote.Filtro de pacotes utiliza o cabeçalho do pacote.

31 31 b Desempenho: Filtro de pacotes possui uma vantagem por estar em nível mais baixo.Filtro de pacotes possui uma vantagem por estar em nível mais baixo. b Auditoria: Servidor proxy possui vantagem por permitir auditoria sobre o controle do tráfego.Servidor proxy possui vantagem por permitir auditoria sobre o controle do tráfego. Servidores Proxy X Filtro de Pacotes

32 32 Tipos Adicionais de Firewalls b Existem dois outros tipos de firewalls alternativos: Firewalls Híbridos;Firewalls Híbridos; Firewalls Bastion Hosts.Firewalls Bastion Hosts.

33 33 Firewalls Hibrídos b A maioria dos firewalls podem ser classificados como Filtro de Pacotes ou Servidores Proxy b Outros tipos de firewalls oferecem uma combinação entre estes dois

34 34 b Ilustração exemplo Firewalls Hibrídos

35 35 Firewalls Bation Hosts Hosts fortemente protegidos Único computador da rede que pode ser acessado pelo lado de fora do firewall Pode ser projetado para ser um servidor Web, servidor FTP, dentre outros

36 36 Firewalls Bation Hosts Ilustração :

37 37 Honey Pot Chamariz para crackers; Função de coletar dados de tentativas de invasão; Ferramentas de registros de logs são mantidas o mais seguro possível. Firewalls Bation Hosts

38 38 Arquiteturas de FW b O que é uma arquitetura de Firewall ? b Principais: Screened hostScreened host Screened subnetScreened subnet b Screened = proteger, peneirar, investigar

39 39 Screened host b Sem sub-rede de proteção b Elementos = 1 roteador e 1 bation host b Rede protegida sem acesso direto ao mundo b Bastion host realiza o papel de procurador – só ele passa pelo roteador

40 40 Ilustração desta arquitetura Screened host

41 41 Screened Subnet b Apresenta múltiplos níveis de redundância b É a mais segura b Componentes: Roteador externoRoteador externo Subrede intermediária (DMZ)Subrede intermediária (DMZ) Bastion HostBastion Host Roteador InternoRoteador Interno

42 42 b O que é a DMZ ( De Militarized Zone )? Sub-rede entre a rede externa e a protegida. Proporciona segurança.Sub-rede entre a rede externa e a protegida. Proporciona segurança. b Rede interna somente têm acesso ao Bastion Host b Somente a subrede DMZ é conhecida pela Internet Screened Subnet

43 43 b Ilustração desta arquitetura Screened Subnet

44 44 Conclusão b Importante ferramenta na proteção b Firewall não deve ser o único componente da política de segurança Qual é a melhor solução de projeto de firewall para redes?

45 45 Links Úteis b Firewalls – UFRJ - b Internet Firewalls – UFRGS -

46 46 Perguntas


Carregar ppt "Prof. Celso Cardoso Neto. 2 Roteiro b Introdução b Características do Firewall b Tipo de Firewall Filtro de PacotesFiltro de Pacotes Servidores ProxyServidores."

Apresentações semelhantes


Anúncios Google