Bezpieczeństwo sieci - zapory

Prawie każda organizacja o średniej i dużej skali jest obecna w Internecie i ma podłączoną do niej sieć organizacyjną. Partycjonowanie sieci na granicy między zewnętrznym Internetem a siecią wewnętrzną ma zasadnicze znaczenie dla bezpieczeństwa sieci. Czasami sieć wewnętrzna (intranet) jest określana jako strona „zaufana”, a zewnętrzny Internet jako strona „niezaufana”.

Rodzaje zapory

Zapora to urządzenie sieciowe, które izoluje wewnętrzną sieć organizacji od większych sieci zewnętrznych / Internetu. Może to być sprzęt, oprogramowanie lub złożony system, który zapobiega nieautoryzowanemu dostępowi do lub z sieci wewnętrznej.

Wszystkie pakiety danych wchodzące lub wychodzące z sieci wewnętrznej przechodzą przez zaporę, która sprawdza każdy pakiet i blokuje te, które nie spełniają określonych kryteriów bezpieczeństwa.

Wdrażanie zapory na granicy sieci przypomina agregację zabezpieczeń w jednym punkcie. Jest to analogiczne do zamykania mieszkania przy wejściu, a niekoniecznie przy każdych drzwiach.

Zapora jest uważana za niezbędny element zapewniający bezpieczeństwo sieci z następujących powodów:

• Jest mało prawdopodobne, aby sieć wewnętrzna i hosty były odpowiednio zabezpieczone.

• Internet to niebezpieczne miejsce, w którym przebywają przestępcy, użytkownicy konkurencyjnych firm, niezadowoleni byli pracownicy, szpiedzy z nieprzyjaznych krajów, wandale itp.

• Aby uniemożliwić atakującemu przeprowadzanie ataków typu „odmowa usługi” na zasoby sieciowe.

• Aby zapobiec nielegalnej modyfikacji / dostępowi do danych wewnętrznych przez osobę atakującą z zewnątrz.

Zapora dzieli się na trzy podstawowe typy -

• Filtr pakietów (bezstanowy i stanowy)
• Brama na poziomie aplikacji
• Brama na poziomie obwodu

Te trzy kategorie nie wykluczają się jednak wzajemnie. Nowoczesne zapory sieciowe mają różne możliwości, które mogą umieszczać je w więcej niż jednej z trzech kategorii.

Bezstanowa i stanowa zapora filtrująca pakiety

W tego typu wdrożeniu zapory sieć wewnętrzna jest połączona z siecią zewnętrzną / Internetem za pośrednictwem zapory routera. Zapora sieciowa sprawdza i filtruje dane pakiet po pakiecie.

Packet-filtering firewalls zezwalaj lub blokuj pakiety głównie w oparciu o kryteria, takie jak źródłowe i / lub docelowe adresy IP, protokół, numery portów źródłowych i / lub docelowych oraz różne inne parametry w nagłówku IP.

Decyzja może być oparta na czynnikach innych niż pola nagłówka IP, takich jak typ wiadomości ICMP, bity TCP SYN i ACK itp.

Reguła filtra pakietów składa się z dwóch części -

• Selection criteria - Jest używany jako warunek i dopasowanie wzorców do podejmowania decyzji.

• Action field- Ta część określa działanie, jakie należy podjąć, jeśli pakiet IP spełnia kryteria wyboru. Akcją może być zablokowanie (odmowa) lub zezwolenie (zezwolenie) na przesyłanie pakietu przez zaporę.

Filtrowanie pakietów jest zwykle realizowane poprzez skonfigurowanie list kontroli dostępu (ACL) na routerach lub przełącznikach. ACL to tabela reguł filtrowania pakietów.

Gdy ruch wchodzi lub wychodzi z interfejsu, zapora stosuje listy ACL od góry do dołu do każdego przychodzącego pakietu, znajduje pasujące kryteria i zezwala lub odrzuca poszczególne pakiety.

Stateless firewalljest rodzajem sztywnego narzędzia. Sprawdza pakiet i pozwala mu, jeśli spełnia kryteria, nawet jeśli nie jest częścią żadnej ustanowionej komunikacji.

Dlatego takie zapory są zastępowane przez stateful firewallsw nowoczesnych sieciach. Ten typ zapór oferuje bardziej dogłębną metodę inspekcji w porównaniu z jedynymi opartymi na ACL metodami inspekcji pakietów w bezpaństwowych zaporach.

Zapora stanowa monitoruje konfigurację połączenia i proces rozłączania, aby kontrolować połączenia na poziomie TCP / IP. Pozwala im to śledzić stan połączeń i określać, które hosty mają otwarte, autoryzowane połączenia w dowolnym momencie.

Odnoszą się do podstawy reguł tylko wtedy, gdy wymagane jest nowe połączenie. Pakiety należące do istniejących połączeń są porównywane z tabelą stanu otwartych połączeń zapory i podejmowana jest decyzja o zezwoleniu lub zablokowaniu. Ten proces oszczędza czas i zapewnia dodatkowe bezpieczeństwo. Żaden pakiet nie może przekroczyć firewalla, chyba że należy do już ustanowionego połączenia. Może przekroczyć limit czasu nieaktywnych połączeń w zaporze, po czym nie będzie już przyjmować pakietów dla tego połączenia.

Bramy aplikacji

Brama na poziomie aplikacji działa jako węzeł przekaźnikowy dla ruchu na poziomie aplikacji. Przechwytują przychodzące i wychodzące pakiety, uruchamiają serwery proxy, które kopiują i przekazują informacje przez bramę i działają jakoproxy server, uniemożliwiając bezpośrednie połączenie między zaufanym serwerem lub klientem a niezaufanym hostem.

Serwery proxy są specyficzne dla aplikacji. Mogą filtrować pakiety w warstwie aplikacji modelu OSI.

Serwery proxy specyficzne dla aplikacji

Serwer proxy specyficzny dla aplikacji akceptuje pakiety wygenerowane tylko przez określoną aplikację, dla której jest przeznaczony do kopiowania, przesyłania dalej i filtrowania. Na przykład tylko serwer proxy Telnet może kopiować, przekazywać i filtrować ruch Telnet.

Jeśli sieć opiera się tylko na bramie na poziomie aplikacji, pakiety przychodzące i wychodzące nie mogą uzyskać dostępu do usług, które nie mają skonfigurowanych serwerów proxy. Na przykład, jeśli brama obsługuje serwery proxy FTP i Telnet, tylko pakiety generowane przez te usługi mogą przechodzić przez zaporę. Wszystkie inne usługi są zablokowane.

Filtrowanie na poziomie aplikacji

Brama proxy na poziomie aplikacji bada i filtruje poszczególne pakiety, zamiast po prostu kopiować je i ślepo przesyłać dalej przez bramę. Serwery proxy specyficzne dla aplikacji sprawdzają każdy pakiet przechodzący przez bramę, weryfikując zawartość pakietu w warstwie aplikacji. Te serwery proxy mogą filtrować określone rodzaje poleceń lub informacji w protokołach aplikacji.

Bramy aplikacji mogą ograniczać wykonywanie określonych akcji. Na przykład bramę można skonfigurować tak, aby uniemożliwić użytkownikom wykonywanie polecenia „FTP put”. Może to zapobiec modyfikowaniu informacji przechowywanych na serwerze przez atakującego.

Przezroczysty

Chociaż bramy na poziomie aplikacji mogą być przezroczyste, wiele implementacji wymaga uwierzytelnienia użytkownika, zanim użytkownicy będą mogli uzyskać dostęp do niezaufanej sieci, co zmniejsza prawdziwą przejrzystość. Uwierzytelnianie może być inne, jeśli użytkownik pochodzi z sieci wewnętrznej lub z Internetu. W przypadku sieci wewnętrznej prosta lista adresów IP może łączyć się z aplikacjami zewnętrznymi. Jednak ze strony internetowej należy wdrożyć silne uwierzytelnianie.

Brama aplikacji w rzeczywistości przekazuje segmenty TCP między dwoma połączeniami TCP w dwóch kierunkach (Klient ↔ Proxy ↔ Serwer).

W przypadku pakietów wychodzących brama może zastąpić źródłowy adres IP własnym adresem IP. Proces ten nazywany jest translacją adresów sieciowych (NAT). Zapewnia, że ​​wewnętrzne adresy IP nie są ujawniane w Internecie.

Brama na poziomie obwodu

Brama na poziomie obwodu jest rozwiązaniem pośrednim między filtrem pakietów a bramą aplikacji. Działa w warstwie transportowej i dlatego może działać jako proxy dla dowolnej aplikacji.

Podobnie jak w przypadku bramy aplikacji, brama na poziomie obwodu również nie zezwala na połączenie TCP typu end-to-end przez bramę. Tworzy dwa połączenia TCP i przekazuje segmenty TCP z jednej sieci do drugiej. Ale nie sprawdza danych aplikacji, takich jak brama aplikacji. Dlatego czasami nazywa się to „Pipe Proxy”.

SKARPETY

SOCKS (RFC 1928) odnosi się do bramki na poziomie obwodu. Jest to sieciowy mechanizm proxy, który umożliwia hostom po jednej stronie serwera SOCKS uzyskanie pełnego dostępu do hostów po drugiej stronie bez konieczności bezpośredniego dostępu do adresu IP. Klient łączy się z serwerem SOCKS na firewallu. Następnie klient rozpoczyna negocjacje w sprawie używanej metody uwierzytelniania i uwierzytelnia się za pomocą wybranej metody.

Klient wysyła żądanie przekazania połączenia do serwera SOCKS, zawierające żądany docelowy adres IP i port transportowy. Serwer akceptuje żądanie po sprawdzeniu, czy klient spełnia podstawowe kryteria filtrowania. Następnie w imieniu klienta brama otwiera połączenie z żądanym niezaufanym hostem, a następnie ściśle monitoruje następujące po nim uzgadnianie protokołu TCP.

Serwer SOCKS informuje o tym klienta iw przypadku powodzenia rozpoczyna przekazywanie danych między dwoma połączeniami. Bramy na poziomie obwodów są używane, gdy organizacja ufa użytkownikom wewnętrznym i nie chce sprawdzać zawartości lub danych aplikacji przesyłanych w Internecie.

Wdrażanie zapory w strefie DMZ

Firewall to mechanizm używany do kontrolowania ruchu sieciowego „wchodzącego” i „wychodzącego” z wewnętrznej sieci organizacji. W większości przypadków systemy te mają dwa interfejsy sieciowe, jeden dla sieci zewnętrznej, takiej jak Internet, a drugi dla strony wewnętrznej.

Proces firewalla może ściśle kontrolować, co może przechodzić z jednej strony na drugą. Organizacja, która chce zapewnić zewnętrzny dostęp do swojego serwera WWW, może ograniczyć cały ruch przychodzący do zapory sieciowej, poza portem 80 (standardowy port http). Cały inny ruch, taki jak ruch pocztowy, FTP, SNMP itp., Nie jest przepuszczany przez zaporę do sieci wewnętrznej. Na poniższym schemacie przedstawiono przykład prostej zapory.

W powyższym prostym wdrożeniu, chociaż wszystkie inne dostępy z zewnątrz są zablokowane, osoba atakująca może skontaktować się nie tylko z serwerem WWW, ale z każdym innym hostem w sieci wewnętrznej, który przypadkowo lub w inny sposób pozostawił otwarty port 80.

Dlatego problemem, z którym boryka się większość organizacji, jest umożliwienie legalnego dostępu do usług publicznych, takich jak sieć WWW, FTP i poczta elektroniczna, przy jednoczesnym zachowaniu ścisłego bezpieczeństwa sieci wewnętrznej. Typowe podejście polega na wdrażaniu zapór ogniowych w celu zapewnienia strefy zdemilitaryzowanej (DMZ) w sieci.

W tej konfiguracji (zilustrowanej na poniższym diagramie) wdrażane są dwie zapory; jeden między siecią zewnętrzną a DMZ, a drugi między DMZ a siecią wewnętrzną. Wszystkie serwery publiczne są umieszczone w strefie DMZ.

Przy takiej konfiguracji można mieć reguły zapory, które umożliwiają publiczny dostęp do serwerów publicznych, ale wewnętrzna zapora może ograniczać wszystkie połączenia przychodzące. Posiadanie DMZ zapewnia odpowiednią ochronę serwerów publicznych zamiast umieszczać je bezpośrednio w sieci zewnętrznej.

System wykrywania / zapobiegania włamaniom

Zapory ogniowe filtrujące pakiety działają w oparciu o reguły obejmujące tylko nagłówki TCP / UDP / IP. Nie próbują ustalać kontroli korelacji między różnymi sesjami.

System wykrywania / zapobiegania włamaniom (IDS / IPS) przeprowadza głęboką inspekcję pakietów (DPI), patrząc na zawartość pakietu. Na przykład, sprawdzanie ciągów znaków w pakiecie z bazą danych znanych wirusów, ciągi znaków ataku.

Bramy aplikacji sprawdzają zawartość pakietu, ale tylko pod kątem określonych aplikacji. Nie szukają podejrzanych danych w pakiecie. IDS / IPS szuka podejrzanych danych zawartych w pakietach i próbuje zbadać korelacje między wieloma pakietami, aby zidentyfikować wszelkie ataki, takie jak skanowanie portów, mapowanie sieci, odmowa usługi i tak dalej.

Różnica między IDS i IPS

IDS i IPS są podobne w wykrywaniu anomalii w sieci. IDS jest narzędziem „widoczności”, podczas gdy IPS jest uważany za narzędzie „kontroli”.

Systemy wykrywania włamań znajdują się z boku sieci, monitorując ruch w wielu różnych punktach i zapewniają wgląd w stan bezpieczeństwa sieci. W przypadku zgłoszenia anomalii przez IDS działania naprawcze są inicjowane przez administratora sieci lub inne urządzenie w sieci.

Systemy zapobiegania włamaniom są jak zapora ogniowa i znajdują się w linii między dwiema sieciami i kontrolują przepływający przez nie ruch. Wymusza określoną politykę wykrywania anomalii w ruchu sieciowym. Ogólnie rzecz biorąc, odrzuca wszystkie pakiety i blokuje cały ruch sieciowy po zauważeniu anomalii do czasu zaadresowania anomalii przez administratora.

Rodzaje IDS

Istnieją dwa podstawowe typy IDS.

• Signature-based IDS

  • Potrzebuje bazy danych znanych ataków wraz z ich sygnaturami.

  • Sygnatura jest definiowana przez typy i kolejność pakietów charakteryzujących dany atak.

  • Ograniczeniem tego typu IDS jest to, że można wykryć tylko znane ataki. Ten IDS może również wywołać fałszywy alarm. Fałszywy alarm może wystąpić, gdy normalny strumień pakietów pasuje do sygnatury ataku.

  • Dobrze znanym przykładem publicznego IDS typu open source jest IDS „Snort”.

• Anomaly-based IDS

  • Ten typ IDS tworzy wzorzec ruchu normalnego działania sieci.

  • W trybie IDS sprawdza wzorce ruchu, które są statystycznie nietypowe. Na przykład nietypowe obciążenie ICMP, wykładniczy wzrost skanowań portów itp.

  • Wykrywanie wszelkich nietypowych wzorców ruchu generuje alarm.

  • Głównym wyzwaniem dla tego typu wdrożeń IDS jest trudność w odróżnieniu normalnego ruchu od nietypowego ruchu.

Podsumowanie

W tym rozdziale omówiliśmy różne mechanizmy stosowane do kontroli dostępu do sieci. Podejście do bezpieczeństwa sieci poprzez kontrolę dostępu różni się technicznie od implementacji kontroli bezpieczeństwa na różnych warstwach sieci omówionych we wcześniejszych rozdziałach tego samouczka. Jednakże, chociaż podejścia do realizacji są różne, to wzajemnie się uzupełniają.

Kontrola dostępu do sieci składa się z dwóch głównych komponentów: uwierzytelniania użytkownika i ochrony granic sieci. RADIUS to popularny mechanizm zapewniający centralne uwierzytelnianie w sieci.

Zapora zapewnia ochronę granic sieci, oddzielając sieć wewnętrzną od publicznego Internetu. Zapora może działać na różnych warstwach protokołu sieciowego. IDS / IPS pozwala na monitorowanie anomalii w ruchu sieciowym w celu wykrycia ataku i podjęcia działań zapobiegawczych przeciwko nim.