Criptografia e Segurança de rede Lição 20

Apresentação em tema: "Criptografia e Segurança de rede Lição 20"— Transcrição da apresentação:

1 Criptografia e Segurança de rede Lição 20
4ª Edição by William Stallings Lecture slides by Lawrie Brown Lecture slides by Lawrie Brown for “Cryptography and Network Security”, 4/e, by William Stallings, Chapter 20 – “Firewalls”.

2 Lição 20 – Firewalls A função de uma forte posição é fazer com que as forças de exploração sejam praticamente imbatível. —On War, Carl Von Clausewitz Opening quote.

3 Introdução visto a evolução dos sistemas de informação
agora todos querem estar na Internet e para interligar redes existem persistentes preocupações de segurança não pode facilmente obter todos os sistemas em org normalmente usam um Firewall para fornecer perímetro de defesa como parte da estratégia de segurança Sistemas de informação em empresas, agências governamentais e outras organizações têm sofrido uma evolução constante de mainframes para LANs. Conectividade de Internet já não é facultativa, com informações e serviços essenciais para a organização. Além disso, os utilizadores querem e precisam de acesso à Internet. No entanto, enquanto o acesso à internet traz vantagens, permite que o mundo exterior para atingir e interagir com a rede local, criando uma ameaça para a organização. Embora seja possível equipar cada estação de trabalho e o servidor da rede local com fortes características de segurança, esta não é uma abordagem prática em geral. Os firewalls podem ser um meio eficaz de proteger um sistema local ou a rede de sistemas com base em ameaças à segurança e ao mesmo tempo que dão acesso ao mundo exterior através da vasta área da Internet. Porém eles precisam ser parte de uma estratégia mais ampla de segurança.

4 O que é uma Firewall? Um ponto de estrangulamento de controle e monitoramento interconecta redes com diferentes restrições impõe restrições à rede de serviços apenas autoriza o tráfego que é permitido autenticação e controlo do acesso pode implementar com alarmes para comportamento anormal fornece NAT e usa monitoramento implementa VPNs usando IPSec deve ser imune à penetração Um firewall é inserido entre as instalações de rede e da Internet para estabelecer um link controlado e para erguer uma parede ou perímetro de segurança exterior, formando um único ponto de estrangulamento de segurança e de autenticação podendo ser impostas. Um firewall: 1. define um ponto de estrangulamento que mantém usuários não autorizados fora da rede protegida, proíbe serviços potencialmente vulneráveis que entrem ou saiam da rede, e oferece proteção contra vários tipos de ataques de falsificação e roteamento de IP. 2. fornece um local para monitorar eventos relacionados à segurança. 3. é uma plataforma conveniente para a várias funções da Internet que não estão relacionadas com segurança, tais como NAT ou logs de registros da utilização da Internet Um firewall pode servir como plataforma para o IPSec para implementar redes privadas virtuais. O firewall propriamente dito deve ser imune à penetração, pois ele será um alvo de ataque.

5 Limitações do Firewall
não pode proteger contra ataques que contornam o firewall por exemplo, redes de espiões, utilitário de modens, organizações e serviços confiáveis (por exemplo SSL/SSH) não pode proteger contra ameaças internas por exemplo, funcionários descontentes ou coniventes não pode proteger contra transferência de programas ou arquivos infectados com vírus. devido à enorme gama de O/S e tipos de arquivo Firewalls têm as suas limitações, incluindo estes: 1. não pode proteger contra os ataques que ignoram o firewall, por exemplo, PCs com conexão dial-out capacidade para um ISP, ou modem dial-pool em uso 2. não protegem contra as ameaças internas, por exemplo, ou um empregado descontente que coopera com um atacante 3. não pode proteger contra a transmissão de vírus, programas ou arquivos infectados, dada ampla variedade de O / S e aplicações suportadas

6 Firewalls – Pacotes de Filtros
simples e mais rápido componente de firewall base de qualquer sistema de firewall examinar cada pacote IP (sem conteudo), permiti ou nega, de acordo com as regras por consequencia, restringi o acesso a serviços (portas) possíveis políticas padrões: que não é expressamente permitido é proibido que não é expressamente proibido é permitido Um roteador de filtragem de pacote aplica um conjunto de regras para cada entrada e saída de pacotes IP para transmitir ou descartar o pacote. Regras de filtragem se baseiam em informações contidas em um pacote de rede, como endereços IP origem e destino, transporte protocolo e interface. Algumas vantagens são a simplicidade, transparência e rapidez. Se não existir correspondência com qualquer regra e, em seguida, um padrão de duas políticas são aplicadas: que não é expressamente permitido é proibido que não é expressamente proibido é permitido

7 Firewalls – Pacotes de Filtros
Stallings Figura 20.1a ilustra o pacote de filtros do firewall colocado no perímetro de segurança do roteador, entre o externo menos confiável - Internet, e na parte confiável - rede privada.

8 Firewalls – Pacotes de Filtros
Stallings Tabela 20.1 dá alguns exemplos de pacotes de filtragem com regra fixa. Em cada conjunto, as regras são aplicadas de cima para baixo. A. recebimento de é permitido apenas um gateway host (porta 25 é para SMTP recebidas) B. declaração explícita da política padrão C. tenta especificar que qualquer host interno pode enviar para o exterior, mas tem um problema que outra máquina pode ser configurada para ter outra aplicação ligadas à porta 25 D. implementa corretamente regra de envio de , através da verificação ACK flag de um segmento TCP é definido E. esta regra definida é uma abordagem para tratar conexões FTP

9 Ataques em Pacotes de Filtros
Falsificação de endereço IP (spoofing) fornece endereço falso para ser aceito adicionar filtros no roteador para bloquear Ataques de roteamento da origem ataque utilizando uma rota diferente da padrão descartar todos os pacotes que usam essa opção Ataques de fragmento pequenos informações de cabeçalho dividida em vários pacotes pequenos rejeitar ou descartar todos os fragmentos subsequentes Alguns dos ataques que podem ser feitos em roteadores de filtragem de pacotes e as contramedidas são: • Falsificação de endereço IP (spoofing): onde intrusos transmite pacotes vindos de fora com um campo de endereço de IP de origem falso, necessitando filtrar e descartar tais pacotes • Ataques de roteamento da origem: em que origem especifica o caminho que um pacote deverá tomar para contornar as medidas de segurança, deve rejeitar todos os pacotes que usam essa opção • Ataques de fragmento pequenos: intruso utiliza a fragmentação de IP para criar fragmentos extremamente pequenos e forçar as informações de cabeçalho TCP em um pacote de fragmentos separados. Contorna as regras de filtragem que necessitam informações de cabeçalho completos, pode valer fragmento tamanho mínimo para incluir cabeçalho completo.

10 Firewalls – Pacotes de Filtros com Estado
filtros de pacotes tradicionais não analisam contexto da camada superior Pacotes de Filtros com Estado (stateful packet filters) aborda essa necessidade examinar cada pacote IP acompanha sessões de cliente-servidor verificar e valida cada pacote de IP são capazes de detectar falsos pacotes enviados fora do contexto. Um filtro de pacotes tradicionais toma decisões de filtragem com base em um pacote individual e não leva em consideração qualquer contexto de camada superior. A inspecção “stateful packet filter” reforça as regras para o tráfego TCP através da criação de um diretório de ligações de saída TCP, e irá permitir o tráfego de portas de números altos para os pacotes que se encaixam no perfil de uma das entradas neste diretório. Assim, eles são mais capazes de detectar falsos pacotes enviados fora do contexto.

11 Firewalls – Nível de Aplicação Gateway (ou Proxy)
têm aplicação específica gateway / proxy  tendo pleno acesso ao protocolo usuário solicita serviço de proxy proxy valida pedido retornando o resultado para o usuário autorizando login / autenticação de tráfego em nível aplicação necessita proxy separado para cada serviço alguns serviços comuns suportam proxy outros são mais problemáticas Um pedido de nível de tráfego (ou um servidor proxy), funciona como um relé (relays) de aplicação de nível de tráfego. Um usuário conectado a porta de entrada de alguns serviços, fornecendo detalhes do serviço, a máquina remota autentica as informações, sobre a aplicação do host remoto e retransmite todos os dados entre os dois desfechos. Se o gateway não executa o código proxy para uma aplicação específica, então não é suportado e não pode ser utilizado. Observe que alguns serviços comuns proxy, enquanto outros são mais problemáticas. Aplicação passagens de nível tendem a ser mais seguro do que filtros de pacotes, e pode fazer login e autenticação de tráfego no nível aplicação.

12 Firewalls - Nível de Aplicação Gateway (ou Proxy)
Stallings Figura 20.1b ilustra uma aplicação de nível de transporte (ou um servidor proxy), enfatizando que ela suporta apenas uma lista específica de serviços de aplicação.

13 Firewalls - Gateway em Nível de Circuito
Stallings Figura 20.1c ilustra um circuito de nível de gateway, mostrando os relés (relays) entre 2 conexões TCP. Perceba que ele pode ser executado em um sistema stand-alone ou pode ser uma função em uma aplicação especializada de nível gateway para determinadas aplicações. Note também que a afinação pacotes UDP é mais problemático, devido à falta de ligação, e que requerem uma conexão TCP paralelas para fornecer esses detalhes.

14 Bastion Host Sistema de host altamente seguro
executa circuito / aplicação em nível gateways ou presta serviços acessíveis externamente garante suporte para: hardened O/S, essential services, extra auth proxies pequenos, seguro, independente, não-privilegiado pode servir de suporte para duas ou mais conexões à rede confiável para aplicar políticas de confiança na separação entre conexões de rede Um bastion host é um sistema identificado pelo administrador do firewall como um ponto forte crítico na segurança da rede. Normalmente, o bastion host serve como uma plantaforma para um gateway em nível de aplicação ou em nível de circuito. Algumas características comuns de uma bastion host são: • executa uma versão segura do seu O/S, tornando-se um sistema confiável • tem apenas os serviços essenciais instalados no bastion host acolhimento • pode exigir autenticação adicional antes de um usuário é autorizado a acessar o serviço de proxy • é configurado para dar suporte a apenas um subconjunto do conjunto de comandos de aplicação padrão • mantém log de auditoria detalhadas informações por todo o tráfego • cada proxy é um pacote de software muito pequeno, projetado apenas para segurança da rede • cada proxy é independente de outros proxies no bastion host • um proxy geralmente não realiza acesso ao disco além de ler seu arquivo de configuração inicial • cada proxy é executado como usuário não privilegiado em um diretório privado e protegido no bastion host Um bastion host pode ter duas ou mais interfaces de rede (ou portas), e deve ser confiável para executar separação entre essas conexões de rede, apenas o tráfego de acordo com a configuração da política.

15 Configurações do Firewall
além da utilização de uma configuração simples que consiste de um sistema único, a mais complexas configurações são possíveis. Stallings Figura 20/2 ilustra três configurações comuns de firewall. Figura 20.2a mostra o “firewall com host filtrado, single-homed Bastion", onde o firewall é composto por dois sistemas: um pacote de filtragem roteado - permite que o pacotes de internet / para o Bastion Host apenas um Bastion Host - desempenha funções de autenticação e proxy Esta configuração tem uma maior segurança, uma vez que implementa ambos pacotes de nível e de aplicação de filtragem, forças um intruso penetre em dois sistemas distintos dificultando comprometer a segurança interna, e também oferece a flexibilidade no acesso direto à Internet para específicos servidores internos (por exemplo, Web) se desejado.

16 Configurações do Firewall
Stallings Figura 20.2b ilustra o “firewall com host filtrado, dual-homed bastion", que separa fisicamente as redes internas e externas, garantindo dois sistemas devem sem brecha de segurança. As vantagens da dupla camadas de segurança anterior também estão presentes aqui. Novamente, um servidor de informação ou de outros hosts podem ter comunicação direta com o roteador se este estiver em conformidade com a política de segurança, sendo separados da rede interna.

17 Configurações do Firewall
Stallings Figura 20.2c mostra o “firewall com sub-rede filtrada", sendo a mais segura. São usados dois roteadores de filtragem de pacotes, um entre o bastion host e a internet e um entre o bastion host e a rede interna. Essa configuração cria uma sub-rede isolada, que pode consistir simplesmente no bastion host, mas também pode incluir um ou mais servidores de informação e modes para recursos de discagem. Esta configuração oferece várias vantagens: • Existem agora três níveis de defesa para impedir intrusos • O roteador externo anuncia a existência da sub-rede filtrada para a Internet, pois a rede interna fica invisível para a Internet • Da mesma forma, o roteador interno anuncia a existência da sub-rede filtrada para a rede interna, portanto, os sistemas na rede interna não podem criar rotas diretas para Internet.

18 Controle de Acesso dado o usuário o sistema identifica
determina o recurso que ele pode acessar modelo geral da matriz de acesso: sujeito – entidade ativa (usuário, aplicação) objeto - entidade passiva (arquivos ou recursos) Direito de acesso – modo em que o objeto é acessado pelo sujeito. pode decompor-se : colunas como listas de controlo de acesso linhas como capacidade de tickets Após logon a bem sucedida, o usuário recebe acesso a um host ou a um conjunto de hosts e aplicações. Associado a cada usuário, pode existir um perfil que especifica operações e acesso de arquivos permissíveis. Um modelo geral de controle de acesso de uma matriz, os elementos básicos são: • Sujeito: Uma entidade capazes de acessar objetos • Objeto: Qualquer coisa para a qual o acesso seja controlado, por exemplo, imagens, trechos de arquivos, programas, memória segmentos • direito de acesso: A forma pela qual um objeto é acessado por um sujeito, por exemplo. ler, escrever e executar. Um eixo de uma matriz constituída de acesso identificados podem tentar o acesso aos dados, e outros objetos que podem ser acessados, e cada entrada na matriz indica que os direitos de acesso dos sujeitos para esse objeto. Na prática, um acesso à matriz é geralmente escassa e é executado pela decomposição em uma das duas maneiras. Se decompostos por colunas, tem listas de controlo de acesso, que lista os usuários e seus direitos de acesso permitido para cada objeto. Se decompostos por linhas que produz capacidade bilhetes, que especificam autorizado objetos e as operações de um usuário.

19 Matrix de Controle de Acesso
Stallings Figure20.3a ilustra uma matriz um controle de acesso.

20 Sistemas Confiáveis segurança da informação é cada vez mais importante
apresentam diferentes graus de sensibilidade na informação cf militar classificações das informações: confidencial, secreto etc sujeitos (pessoas ou programas) têm diferentes direitos de acesso a objetos (informações) máximo nível de segurança objetos com classificação de nível de segurança criar formas de reforçar a confiança nos sistemas Outro requisito que é amplamente aplicável para proteger os dados ou recursos com base nos níveis de segurança, como é comumente encontrado nos militares onde a informação é categorizada como não classificada (U), confidenciais (C), secreto (S), top secret (TS) , ou superior. Aqui sujeitos (pessoas ou programas) têm diferentes direitos de acesso a objetos (informações) com base em suas classificações. Isto é conhecido como segurança multiníveis.

21 Modelo Bell LaPadula (BLP)
um dos mais famosos modelos de segurança com políticas obrigatórias implementadas no sistema existem duas políticas fundamentais: Nenhuma leitura acima (no read up) Um sujeito só pode ler um objeto que tenha um nível de segurança inferior ou igual ao seu. Nenhuma escrita abaixo (no write down) Um sujeito só pode escrever em um objeto que tenha um nível de segurança maior ou igual ao seu. A declaração geral do requisito da segurança multiníveis é um assunto a um nível elevado, não pode transmitir informações a um objecto a um nível inferior ou incompatível a menos que o fluxo seja fiel à vontade de um usuário autorizado. Isso pode ser implementado utilizando o modelo Bell LaPadula, em que um sistema seguro multinível deve valer: • Nenhuma leitura acima (no read up) : Um sujeito só pode ler um objeto que tenha um nível de segurança inferior ou igual ao seu. • Nenhuma escrita abaixo (no write down): Um sujeito só pode escrever em um objeto que tenha um nível de segurança maior ou igual ao seu. Estas duas normas, se devidamente aplicadas, proporcionam segurança multiníveis.

22 Monitor de Referência Stallings Figure20.4 ilustra a o monitor de referência como um elemento de controle H / W e O / S de um computador. Ela regulamenta o acesso dos indivíduos a objetos na base da sua segurança. Tem acesso para a segurança de dados do kernel, que enumera os privilégios(segurança individual) de cada sujeito e para proteção atributos (classificação nível) de cada objeto. O monitor de referência impõe as regras de segurança. E tem as seguintes propriedades: • Medição Complete: regras de segurança são aplicadas em cada acesso • Isolamento: monitor referencia e banco de dados são protegidos contra modificações não autorizadas • Verificabilidade: a exatidão do monitor de referência precisa ser demonstrável. Estes requisitos são rígidos, normalmente preenchidos apenas por um sistema confiável.

23 Sistema de Avaliação governos avaliam os sistemas de TI
contra uma série de normas: TCSEC, IPSEC e CC - Common Criteria defini uma série de "níveis" de avaliação, com testes cada vez mais rigorosos são publicadas listas de produtos avaliados visando a utilização no governo pode ser útil também na indústria Sistemas confiáveis precisam ser avaliados através de um conjunto adequado de critérios, aprovados por uma agência governamental. Foi desenvolvida a norma TCSEC no início dos anos 80 pela US DoD & NSA. Posteriormente outras normas foram desenvolvidas por outros países, como UE, com o IPSEC (que também foi utilizado na Austrália), e agora internacional, com os Critérios Comuns. Essas normas definem um certa série de "níveis" de avaliação, com teste de avaliação cada vez mais rigorososn onde um centro avalia produtos disponíveis comercialmente verificando os requisitos de segurança especificados, dentro de uma determinada funcionalidade na área. Essas avaliações são necessárias para a Defesa pública, e são publicados e disponibilizados gratuitamente, podendo servir como uma orientação para clientes comerciais para a compra de equipamentos off-the-shelf.

24 CC - Common Criteria incorporando normas anteriores define normas para
Iniciativa internacional das agências para desenvolver padrões e definir critérios de avaliação incorporando normas anteriores por exemplo: CSEC, ITSEC, CTCPEC (Canadian), Federal (US) define normas para critérios de avaliação metodologia para aplicação dos critérios procedimentos administrativos para avaliação, certificação e regimes de aprovação O Common Criteria (CC) for Information Technology and Security Evaluation é uma iniciativa internacional das agências de padrões em diversos países para desenvolver padrões internacionais para especificar requisitos de segurança e definir sritérios de avaliação. Ela fornece normas para os critérios de avaliação, a metodologia para aplicação destes critérios, e os procedimentos administrativos utilizados para a avaliação, certificação e regimes de aprovação.

25 CC - Common Criteria define conjunto de requisitos de segurança
tem um Alvo de Avaliação (Target Of Evaluation (TOE)) requisitos podem estar em duas categorias funcionais garantia ambos organizados em classes de diversas famílias e componentes O CC define um conjunto comum de requisitos de segurança em potencial para uso na avaliação. O termo Alvo de Avaliação (Target Of Evaluation (TOE)) refere-se aquela parte do produto ou sistema sujeita à avaliação. Os requisitos podem estar em uma destas duas categorias: • Requisitos funcionais: definem comportamento de segurança desejado. Documentos CC estabelecem um conjunto de componentes funcionais de segurança que oferece uma forma padrão de expressar os requisitos funcionais de segurança para um TOE. • Requisitos de garantia: base para se assegurar de que as medidas de segurança afirmadas são eficazes e foram implementadas corretamente. Tanto os requisitos funcionais quanto os de garantia são organizados em classes.

26 Requisitos do Common Criteria
Requisitos funcionais Auditoria, suporte criptográficos, comunicações, proteção de dados do usuário, identificação e autenticação, gerenciamento de segurança, privacidade,proteção das funções TOE, acesso TOE e canais confiáveis Requisitos de garantia Gerenciamento de configuração, entrega e operação, desenvolvimento, documento de orientação, suporte do ciclo de vida, testes… O CC define uma ampla funcionalidade de requisitos que devem ser abordadas como são mostrado, a partir Stallings Tabela Também define a garantia de requisitos, extraídos Stallings Tabela 20.4.

27 Common Criteria O CC também define dois tipos de documentos que podem ser gerados usando os requisitos definidos: • perfis de proteção (PPs): define um conjunto independente de implementação com requisitos e objetivos de segurança para uma categoria de produtos ou sistemas que atendem a necessidade do consumidor para segurança de TI. • Alvos de segurança (STs): contem os objetivos e requisitos de segurança da TI de um TOE específico identificado e define as medidas funcionais e de garantia oferecidas por esse TOE para atender aos requisitos declarados. Stallings 20/6 Figura ilustra a relação entre as exigências e os perfis e metas.

28 Critérios Comuns Stallings Figure 20.7 mostra o que é conhecido nos documentos CC como paradigma dos requisitos funcionais de segurança. Essa ilustração é baseada no conceito de monitor de referência, mas utiliza a terminologia e filosofia de projeto do CC.

29 Sumário Assuntos vistos: firewalls tipos de firewalls configurações
controle de acesso sistemas confiáveis Common Criteria Chapter 20 summary.