SEGURANÇA E CONTROLE DE ACESSO - PDF
Download "SEGURANÇA E CONTROLE DE ACESSO"
João Guilherme Gabeira Machado
1 SEGURANÇA E CONTROLE DE ACESSO
2 Produzido por: Professor Elber AULA 01 -FIREWALL
3 - O QUE É FIREWALL? A palavra firewall tem estado cada vez mais comum no nosso cotidiano, ainda mais agora que a segurança digital está dia após dia mais em evidência. Mesmo as pessoas menos familiarizadas com a tecnologia sabem que a internet não é um "território" livre de perigos. É por esta razão que é importante conhecer e utilizar ferramentas de proteção para computadores e redes. Firewall - "Parede de fogo", a tradução literal do nome, já deixa claro que o firewall se enquadra em uma espécie de barreira de defesa.
4 - O QUE É FIREWALL? Firewall
5 - O QUE É FIREWALL? A necessidade de utilização cada vez maior da Internet pelas organizações e a constituição de ambientes cooperativos levam a uma crescente preocupação quanto à segurança. Como consequência, pode-se ver uma rápida evolução nessa área, principalmente com relação ao firewall, que é um dos principais, mais conhecidos e antigos componentes de um sistema de segurança. Sua fama, de certa forma, acaba contribuindo para a criação de uma falsa expectativa quanto à segurança total da organização.
6 - O QUE É FIREWALL? Firewall é um software ou um hardware que verifica informações provenientes da Internet ou de uma rede, e as bloqueia ou permite que elas cheguem ao seu computador. Um firewall pode ajudar a impedir que hackers ou softwares malintencionados (como worms) obtenham acesso ao seu computador através de uma rede ou da Internet. Um firewall também pode ajudar a impedir o computador de enviar software malintencionado para outros computadores.
7 - O QUE É FIREWALL? Um firewall bem configurado é um instrumento importante para implantar a política de segurança da sua rede. Ele pode reduzir a informação disponível externamente sobre a sua rede, ou, em alguns casos, até mesmo barrar ataques a vulnerabilidades ainda não divulgadas publicamente (e para as quais correções não estão disponíveis). Firewall é uma solução de segurança baseada em hardware ou software (mais comum) que, a partir de um conjunto de regras ou instruções, analisa o tráfego de rede para determinar quais operações de transmissão ou recepção de dados podem ser executadas.
8 - O QUE É FIREWALL? A sua missão, por assim dizer, consiste basicamente em bloquear tráfego de dados indesejado e liberar acessos bem-vindos. FIREWALLS NÃO SÃO INFALÍVEIS. A SIMPLES INSTALAÇÃO DE UM FIREWALL NÃO GARANTE QUE SUA REDE ESTEJA SEGURA CONTRA INVASORES. UM FIREWALL NÃO PODE SER A SUA ÚNICA LINHA DE DEFESA; ELE É MAIS UM DENTRE OS DIVERSOS MECANISMOS E PROCEDIMENTOS QUE AUMENTAM A SEGURANÇA DE UMA REDE. Ficam entre um link de comunicação e um computador, checando e filtrando todo o fluxo de dados. Esse tipo de solução serve tanto para aplicações empresariais quanto para domiciliar, protegendo não só a integridade dos dados na rede mas também a confidencialidade deles.
9 - FUNCIONALIDADES DO FIREWALL O firewall é composto por uma série de componentes, sendo que cada um deles tem uma funcionalidade diferente e desempenha um papel que influi diretamente no nível de segurança do sistema. Algumas dessas funcionalidades formam os chamados componentes clássicos de um firewall. As quatro primeiras funcionalidades são: 1- filtros; 2- proxies; 3- bastion hosts; 4- Zonas Desmilitarizadas DMZ.
10 - FUNCIONALIDADES DO FIREWALL
11 - FUNCIONALIDADES DO FIREWALL Outras três funcionalidades: 1- Network Address Translation NAT; 2- Virtual Private Network VPN; 3- Autenticação, foram inseridas no contexto, devido à evolução natural das necessidades de segurança. O balanceamento de cargas e a alta disponibilidade também possuem uma grande importância, principalmente porque todo o tráfego entre as redes deve passar pelo firewall.
12 - FUNCIONALIDADES DO FIREWALL 1- FILTROS Os filtros realizam o roteamento de pacotes de maneira seletiva, ou seja, aceitam ou descartam pacotes por meio da análise das informações de seus cabeçalhos. Essa decisão é tomada de acordo com as regras de filtragem definidas na política de segurança da organização. Os filtros podem, além de analisar os pacotes comparando um conjunto de regras de filtragem estáticas com as informações dos cabeçalhos dos mesmos, tomar decisões com base nos estados das conexões.
13 - FUNCIONALIDADES DO FIREWALL 2- PROXIES Os proxies são sistemas que atuam como um gateway entre duas redes, permitindo as requisições dos usuários internos e as respostas dessas requisições, de acordo com a política de segurança definida. Eles podem atuar simplesmente como um relay, podendo também realizar uma filtragem mais apurada dos pacotes, por atuar na camada de aplicação do modelo OSI.
14 - FUNCIONALIDADES DO FIREWALL 3- BASTION HOSTS Os bastion hosts são os equipamentos em que são instalados os serviços a serem oferecidos para a Internet. Como estão em contato direto com as conexões externas, os bastion hosts devem ser protegidos da melhor maneira possível. Essa máxima proteção possível significa que o bastion host deve executar apenas os serviços e aplicações essenciais, bem como executar sempre a última versão desses serviços e aplicações, sempre com os patches de segurança instalados imediatamente após sua criação. Assim, os bastion hosts podem ser chamados também de servidores fortificados, com a minimização dos possíveis pontos de ataque.
15 - FUNCIONALIDADES DO FIREWALL * Uma grande interação ocorre entre os bastion hosts e a zona desmilitarizada (DMZ), pois os serviços que serão oferecidos pela DMZ devem ser inequivocamente instalados em bastion hosts.
16 - FUNCIONALIDADES DO FIREWALL 4- ZONA DESMILITARIZADA A zona desmilitarizada (DeMilitarized Zone DMZ), ou perimeter network, é uma rede que fica entre a rede interna, que deve ser protegida, e a rede externa. Essa segmentação faz com que, caso algum equipamento dessa rede desmilitarizada (um bastion host) seja comprometido, a rede interna continue intacta e segura.
17 - FUNCIONALIDADES DO FIREWALL 5- NETWORK ADDRESS TRANSLATION (NAT) O NAT não foi criado com a intenção de ser usado como um componente de segurança, mas sim para tratar de problemas em redes de grande porte, nas quais a escassez de endereços IP representa um problema. Dessa maneira, a rede interna pode utilizar endereços IP reservados (Request For Comments, RFC 1918), sendo o NAT o responsável pela conversão desses endereços inválidos e reservados para endereços válidos e roteáveis, quando a rede externa é acessada. Sob o ponto de vista da segurança, o NAT pode, assim, esconder os endereços dos equipamentos da rede interna e, consequentemente, sua topologia de rede, dificultando os eventuais ataques externos.
18 - FUNCIONALIDADES DO FIREWALL 6- REDE PRIVADA VIRTUAL (VPN) A Virtual Private Network (VPN) foi criada, inicialmente, para que redes baseadas em determinados protocolos pudessem se comunicar com redes diferentes, como o tráfego de uma rede X.25 passando por uma rede baseada em Internet Protocol (IP). Como não é aceitável que as informações, normalmente de negócios, trafeguem sem segurança pela Internet, a VPN passou a utilizar conceitos de criptografia para manter o sigilo dos dados. Mais do que isso, o IP Security (IPSec), protocolo-padrão de fato das VPNs, garante, além do sigilo, a integridade e a autenticação desses dados.
19 - FUNCIONALIDADES DO FIREWALL 7- AUTENTICAÇÃO/CERTIFICAÇÃO A autenticação e a certificação dos usuários podem ser baseadas em endereços IP, senhas, certificados digitais, tokens, smartcards ou biometria. Tecnologias auxiliares são a infra-estrutura de chaves públicas (Public Key Infrastructure PKI) e o Single Sign-On (SSO). * Single Sign On (SSO) é um mecanismo pelo qual é possível que um usuário obtenha acesso a múltiplos serviços após autenticar-se somente uma vez em qualquer um destes serviços.
20 - FUNCIONALIDADES DO FIREWALL 8- BALANCEAMENTO DE CARGAS E ALTA DISPONIBILIDADE Como pode ser visto pela sua própria definição, o firewall deve ser o único ponto de acesso a uma determinada rede, de modo que todo o tráfego passe por ele. Assim, ele pode representar também o gargalo dessa rede, sendo recomendável que mecanismos de contingência sejam utilizados.
21 - FUNCIONALIDADES DO FIREWALL O balanceamento de cargas de firewalls é um desses mecanismos, que visa à divisão do tráfego entre dois firewalls que trabalham paralelamente. Um método de balanceamento pode ser, por exemplo, o round robin (1), no qual cada firewall da lista recebe uma conexão de cada vez. Outros métodos de balanceamento de carga podem ser baseados em pesos, na conexão menos utilizada ou na prioridade. Os firewalls com a carga balanceada devem operar exatamente com a mesma política de segurança, para que a consistência entre os dois sistemas esteja sempre em ordem. Mecanismos de sincronização das regras de filtragem podem ser usados para a manutenção da consistência.
22 - FUNCIONALIDADES DO FIREWALL round robin (1) : é um mecanismo de equilíbrio local de carga, usado para compartilhar e distribuir cargas entre dois ou mais dispositivos da rede.
23 - FUNCIONALIDADES DO FIREWALL Já a alta disponibilidade tem como objetivo o estabelecimento de mecanismos para a manutenção dos serviços, de modo que eles estejam sempre acessíveis para os usuários. A disponibilidade pode ser mantida, por exemplo, se o firewall tem problemas e fica indisponível, é necessário que o backup do firewall passe a funcionar no lugar do original. A verificação da disponibilidade ou não do firewall pode ser feita com mecanismos conhecidos como heartbeat, por exemplo. * heartbeat: sua responsabilidade é de monitorar os serviços em produção e, em caso de falha, realizar automaticamente os procedimentos para preservar o funcionamento do sistema como um todo.
24 - A EVOLUÇÃO Os primeiros firewalls foram implementados em roteadores, no final da década de 80, por serem os pontos de ligação natural entre duas redes. As regras de filtragem dos roteadores, conhecidas também como lista de controle de acesso (Access Control List ACL), tinham como base decisões do tipo permitir ou descartar os pacotes, que eram tomadas de acordo com a origem, o destino e o tipo das conexões.
25 - A EVOLUÇÃO Os novos requisitos de segurança fizeram com que os firewalls se tornassem mais complexos, resultando nos avanços verificados nas tecnologias de filtro de pacotes, proxies, filtragem de pacotes baseado em estados, híbridos e adaptativos. Os dois últimos são, na realidade, uma mistura das tecnologias já existentes, diferentes nomes surgiram para tecnologias de firewalls supostamente novas, tais como o firewall reativo e o firewall individual ou pessoal, mas que, são, na realidade, apenas firewalls com novas funcionalidades ou fins específicos.
26 - A EVOLUÇÃO Além dos avanços da tecnologia e das funcionalidades inseridas nos firewalls, outros serviços da rede e de segurança passaram a ser incorporados. Alguns desses serviços são: * Autenticação. * Criptografia (VPN). * Qualidade de serviço. * Filtragem de conteúdo. * Antivírus. * Filtragem de URL. * Filtragem de palavras-chave para s. * Filtragem de spam.
27 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL - FILTRO DE PACOTES A tecnologia de filtro de pacotes funciona na camada de rede e de transporte da pilha TCP/IP, de modo que realiza as decisões de filtragem com base nas informações do cabeçalho dos pacotes, tais como o endereço de origem, o endereço de destino, a porta de origem, a porta de destino e a direção das conexões. O sentido das conexões pode ser verificado com base nos flags SYN, SYN-ACK e ACK do handshake do protocolo TCP, assim como os serviços (portas TCP/UDP relacionadas) permitidos ou proibidos.
28 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL - AS VANTAGENS DO FILTRO DE PACOTES SÃO: - Baixo overhead/alto desempenho da rede. - É barato, simples e flexível. - É bom para o gerenciamento de tráfego. - É transparente para o usuário.
29 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL - AS DESVANTAGENS DO FILTRO DE PACOTES SÃO: - Permite a conexão direta para hosts internos de clientes externos. - É difícil de gerenciar em ambientes complexos. - É vulnerável a ataques como o IP spoofing (consiste na troca do IP original por um outro, podendo assim se passar por um outro host), a menos que seja configurado para que isso seja evitado. - Não oferece a autenticação do usuário. - Dificuldade de filtrar serviços que utilizam portas dinâmicas, como o RPC. - Deixa brechas permanentes abertas no perímetro da rede (ocorrem porque as conexões que possuem regras específicas de permissão passam livremente pelo firewall e são estáticas.).
30 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL - FILTRO DE PACOTES BASEADO EM ESTADOS Os filtros de pacotes dinâmicos (dynamic packet filter), também conhecidos como filtros de pacotes baseados em estados (stateful packet filter), tomam as decisões de filtragem tendo como referência dois elementos: - As informações dos cabeçalhos dos pacotes de dados, como no filtro de pacotes. - Uma tabela de estados, que guarda os estados de todas as conexões.
31 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL O firewall trabalha verificando somente o primeiro pacote de cada conexão. A tabela de conexões que contém informações sobre os estados das mesmas ganha uma entrada quando o pacote inicial é aceito, e os demais pacotes são filtrados utilizando-se as informações da tabela de estados. Como o filtro de pacotes, o filtro de pacotes baseado em estados trabalha na camada de rede, tendo, um bom desempenho. A diferença quanto ao filtro de pacotes é que o estado das conexões é monitorado a todo instante, permitindo que a ação do firewall seja definida de acordo com o estado de conexões anteriores mantidas em sua tabela de estados.
32 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL AS VANTAGENS DO FILTRO DE PACOTES BASEADO EM ESTADO SÃO: - Aberturas apenas temporárias no perímetro da rede. - Baixo overhead/alto desempenho da rede. - Aceita quase todos os tipos de serviços. AS DESVANTAGENS DO FILTRO DE PACOTES BASEADO EM ESTADOS SÃO: - Permite a conexão direta para hosts internos a partir de redes externas. - Não oferece autenticação do usuário, a não ser via gateway de aplicação (application gateway).
33 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL - PROXY O proxy funciona por meio de relays de conexões TCP, ou seja, o usuário se conecta a uma porta TCP no firewall, que então abre outra conexão com o mundo exterior. O proxy pode trabalhar tanto na camada de sessão ou de transporte (circuit level gateway) quanto na camada de aplicação (application level gateway), o que lhe dá mais controle sobre a interação entre o cliente e o servidor externo.
34 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL A conexão direta entre um usuário interno e o servidor externo não é permitida por meio dessa tecnologia e o reendereçamento do tráfego, ao fazer com que o tráfego pareça ter origem no proxy, mascara o endereço do host interno, garantindo assim uma maior segurança da rede interna da organização. Uma das grandes vantagens dos proxies é a possibilidade de registrar todo o tráfego, seja ele com origem interna ou externa, podendo assim ativar um sistema de alarme quando um tráfego não apropriado estiver em andamento. Alguns proxies podem realizar também a cache, comuns em proxies HTTP, enquanto outros podem realizar filtragem de s.
35 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL - AS VANTAGENS DO PROXY SÃO: - Não permite conexões diretas entre hosts internos e hosts externos. - Aceita autenticação do usuário. - Analisa comandos da aplicação no payload dos pacotes de dados, ao contrário do filtro de pacotes. - Permite criar logs do tráfego e de atividades específicas.
36 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL - AS DESVANTAGENS DO PROXY SÃO: - É mais lento do que os filtros de pacotes (somente o applicationlevel gateway). - Requer um proxy específico para cada aplicação. - Não trata pacotes ICMP. - Não aceita todos os serviços. - Requer que os clientes internos saibam sobre ele (isso vem mudando com o proxy transparente (1) ).
37 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL Proxy transparente (1) : O proxy transparente é um servidor proxy modificado, que exige mudanças na camada de aplicação e no kernel do firewall. Esse tipo de proxy redireciona as sessões que passam pelo firewall para um servidor proxy local de modo transparente, eliminando a necessidade de modificações no lado cliente ou na interface com o usuário. Os clientes (software e usuário) não precisam saber que suas sessões são manipuladas por um proxy, de modo que suas conexões são transparentes, como se elas fossem diretas para o servidor.
38 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL continuação proxy transparente (1) : Um exemplo pode ser visto no Linux, quando o redirecionamento transparente dos pacotes para o proxy (squid, no exemplo) é manipulado pelo IPtables: 1- iptables -t nat -A PREROUTING -i eth0 -s! endereço-squid -p tcp dport 80 -j DNAT to endereço-squid: iptables -t nat -A POSTROUTING -o eth0 -s rede-local -d endereçosquid j SNAT to endereço-iptables 3- iptables -A FORWARD -s rede-local -d endereço-squid -i eth0 -o eth0 -p tcp dport j ACCEPT
39 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL continuação proxy transparente (1) : A primeira regra envia os pacotes que não têm como origem eles próprios para o proxy Squid, que está funcionando na porta 8080 no exemplo. A segunda regra é importante para que a resposta seja enviada de volta ao IPtables, em vez de ser enviada diretamente ao cliente. Já a terceira regra é a responsável pelo direcionamento dos pacotes do IPtables para o Squid.
40 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL - FIREWALLS HÍBRIDOS Os firewalls híbridos misturam os elementos de três tecnologias: Filtro de pacote, Filtro de pacote baseado em estados e Proxy, de modo a garantir a proteção dos proxies para os serviços que exigem alto grau de segurança e a segurança do filtro de pacotes, ou do filtro de pacotes com base em estados, para os serviços em que o desempenho é o mais importante. Assim, os serviços mais bem manipulados pelos filtros de pacotes, como o Telnet, utilizam o filtro de pacotes, enquanto os serviços que necessitam de filtragem no nível de aplicação, como o FTP, utilizam o proxy. Atualmente, a maioria dos firewalls comerciais é híbrida, aproveitando as melhores características para cada um dos serviços específicos.
41 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL - PROXIES ADAPTATIVOS o proxy adaptativo (adaptative proxy) utiliza mecanismos de segurança em série, o que traz benefícios para o nível de segurança da rede da organização. O firewall híbrido utiliza os mecanismos de segurança paralelamente, o que não representa aumento no nível de segurança, apenas uma maior flexibilidade na utilização de filtros de pacotes, filtros de pacotes baseado em estados e proxies para serviços específicos. A diferença entre o firewall híbrido e o proxy adaptativo está na forma de usar diferentes tecnologias simultaneamente.
42 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL A arquitetura de proxy adaptativo tem duas características que não são encontradas em outros tipos de firewall: - Monitoramento bidirecional e mecanismo de controle entre o proxy adaptativo e o filtro de pacotes baseado em estados. - Controle dos pacotes que passam pelo proxy adaptativo, com a habilidade de dividir o processamento do controle e dos dados entre a camada de aplicação (application-level gateway)e a camada de rede (filtro de pacotes e filtro de pacotes baseado em estados).
43 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL Com o uso dessas duas características, o proxy adaptativo direciona o controle dos pacotes de acordo com as regras por ele definidas. Caso seja determinado que os pacotes necessitam de maior segurança, esse fluxo de pacotes é direcionado para o proxy de aplicação (application-level gateway), que realiza um controle no nível de aplicação. Caso determinados pacotes precisem de maior desempenho, o proxy adaptativo direciona esse fluxo para os filtros de pacotes e de estados.
44 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL - FIREWALLS REATIVOS Os firewalls reativos incluem funções de detecção de intrusão e alarmes, de modo que a segurança é mais ativa que passiva. Com a adição dessas funções, o firewall pode policiar acessos e serviços, além de ser capaz de mudar a configuração de suas regras de filtragem de modo dinâmico, enviar mensagens aos usuários e ativar alarmes. O lado negativo dessa característica é que o firewall pode ser alvo de ataques de negação de serviços (Denial-of-Service - DoS). Os firewalls são, primariamente, designados para o controle de conexões. Estes firewalls, que apresentam integração com sistemas de detecção de intrusão (Intrusion Detection System, ou IDS) e sistemas de respostas, são chamados de firewalls reativos.
45 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL - FIREWALLS INDIVIDUAIS Uma realidade que pode ser observada é que, cada vez mais, as organizações precisam, além do controle da rede, também do controle dos hosts. O uso das tecnologias como o Peer-to-Peer (P2P) e a rede privada virtual (VPN), combinadas com o acesso de banda larga, mostram essa necessidade de maior segurança nos hosts. Um problema que pode ser verificado na discussão dos aspectos de segurança do cliente VPN é que, com os usuários se tornando remotos, um firewall atuando no limite da rede não será mais suficiente para garantir a segurança da empresa.
46 - AS PRINCIPAIS TECNOLOGIAS DE FIREWALL Um firewall individual, ou firewall pessoal, é uma das alternativas para a proteção das conexões de hosts individuais e a característica desse tipo de firewall é que ele atua não na borda da rede da organização, mas no próprio equipamento do usuário.
47 - REFERÊNCIAS: 1- FIREWALL: Livro: Segurança de Redes em Ambientes Cooperativos Autor: Emilio Tissato Nakamura e Paulo Lício de Geus * Diversos trechos dos textos destes slides foram baseados nos sites citados nas referencias. As imagens foram retiradas dos sites relacionados.
Segurança de Redes de Computadores Ricardo José Cabeça de Souza www.ricardojcsouza.com.br O conceito de Hardening caracteriza medidas e ações que visam proteger um determinado sistema de invasores Dentre