Componentes de um sistema de firewall - I - PDF
Download "Componentes de um sistema de firewall - I"
Vitorino Álvaro Estrada
1 Componentes de um sistema de firewall - I
2 O que são Firewalls? Os firewalls são sistemas de segurança que podem ser baseados em: um único elemento de hardware; um único elemento de software instalado num computador ; ou, em casos mais complexos, em uma combinação de equipamentos e softwares trabalhando em conjunto, numa arquitetura mais sofisticada.
3 Por que usar firewalls? Ao se conectar uma rede privativa diretamente à Internet, para usufruir os recursos de comunicação e ter acesso a outras redes, também está se permitindo que outras redes vejam e tenham acesso à rede privativa, deixando a mesma à mercê de vários tipos de ataque e susceptível à invasão por indivíduos mal intencionados.
4 O que fazem os firewalls? Um sistema de firewall pode restringir e controlar o tipo de tráfego que entra e sai da rede, mantendo um ponto único de controle e monitoração; Protege contra ataques e invasões provenientes da rede pública; Gera relatórios de tudo o que acontece na interface entre a rede interna e a rede externa.
5 Posicionamento do firewall na rede Rede Pública Rede Privativa Internet Sistema de Firewall WEB FTP
6 Evolução dos sistemas de firewall Firewalls da 1ª geração (Packet Filters): Começaram a se difundir no final da década de 80 e implementavam, basicamente, a filtragem de pacotes baseada nos protocolos de camada 3 e camada 4 do modelo de referência OSI. Verifica as informações carregadas nos cabeçalhos de camada 3 e 4 dos pacotes de dados e, baseado numa lista de regras de filtragem, decide quais pacotes têm permissão para entrar ou sair da rede
7 Evolução dos sistemas de firewall 2ª geração (Circuit level firewalls ): Surgiu pouco mais tarde permitindo o controle baseado nas sessões estabelecidas entre dois hosts (comunicações orientadas à conexão). Permitem verificar quais comunicações são válidas e quais podem estar sendo forjadas, monitorando-se os bits de estabelecimento de conexão que existem nos pacotes
8 Evolução dos sistemas de firewall 3ª geração (Application layer firewalls ): Começaram a se popularizar no início da década de 90 sob a forma de bastion hosts (hosts de segurança) rodando serviços de proxy para protocolos da camada de aplicação. Permite controlar a comunicação para dentro e para fora da rede definindo-se um procurador (Proxy) que controla e monitora todas as transações que ocorrem ao nível da camada 7 do modelo OSI
9 Evolução dos sistemas de firewall 4ª geração (Dynamic Packet Filtering ): Surgiu comercialmente em 1994 e atualmente é conhecida como firewall de inspeção de estados (Stateful Inspection Firewall) É capaz de registrar, numa tabela de atualização dinâmica, informações relativas ao estado da sessão a que um pacote pertence. Somente os pacotes pertencentes a uma sessão ativa podem cruzar a barreira do firewall.
10 Vantagens de um sistema de firewall Fornece proteção contra ataques e invasões externas; Reforça a política de segurança da empresa; Fornece um ponto único (centralizado) para monitoramento da segurança; Permite a seleção criteriosa de quais serviços podem ou não ser acessados; Geram logs, de tudo o que acontece na rede, para eventuais auditorias; São programáveis; Ocultam a rede corporativa por meio de serviços de procuração (Proxies) e/ou tradução automática de endereços (NAT).
11 Limitações de um sistema de firewall Não é capaz de proteger contra ataques internos; Não protege contra engenharia social; Não evita que informações sejam roubadas por meio de disquete, CD-RW ou memory-keys; Não pode proteger contra vírus de computador ou cavalos-de-tróia; Só é capaz de filtrar e monitorar o tráfego que passa exclusivamente por ele. Não pode prever novos tipos de ataques.
12 Elementos de um sistema de firewall Um sistema de firewall pode evoluir de uma arquitetura mais simples (um único dispositivo) até uma mais sofisticada (com vários elementos combinados) dependendo do nível de segurança que se pretende alcançar na periferia da rede Os elementos mais importantes encontrados num sistema de firewall são os seguintes: Filtros de pacotes; Hosts de Segurança (Bastion hosts); Servidores proxy; NAT (Network Address Translation)
13 Filtros de pacotes A filtragem de pacotes pode ser implementada num roteador de perímetro ou como parte dos serviços de um host de segurança, ou ainda como uma função de um equipamento dedicado (firewall por hardware). Existem, basicamente, dois tipos de filtragem: Stateless (sem verificação de estado) Stateful (com verificação de estado)
14 Filtros de pacotes Stateless Consiste numa filtragem que verifica algumas informações contidas nos cabeçalhos de camada 3 e camada 4 dos pacotes que atravessam o firewall. Tais informações são comparadas com uma lista pré-definida de condições de acesso e, se forem validadas, o firewall decide quais pacotes devem ser encaminhados e quais devem ser bloqueados.
15 Informações usadas em filtros Stateless Quadro Pacote Segmento Cabeçalho da camada 2 Cabeçalho da camada 3 Cabeçalho da camada 4 Dados da camada de aplicação Trailer da camada 2 Endereço de origem Endereço de destino Tipo de protocolo : ( IP, ICMP, etc.) Protocolo TCP/UDP Nº de porta Status da sessão Nº de seqüência
16 Desvantagem da filtragem Stateless A desvantagem deste tipo de filtragem é que ela só trabalha sobre os pacotes isolados, ou seja, ela não se preocupa se o pacote pertence a uma sessão de comunicação válida e ativa. Com isso um hacker pode facilmente forjar sua passagem pelo filtro, por meio de spoofing de IP, desde que consiga descobrir quais IPs são permitidos pelo filtro.
17 Filtros de pacotes Stateful Só aceitam pacotes que pertençam a uma conexão ativa estabelecida por um host de dentro da rede. Isso permite que o firewall filtre comunicações inteiras e não apenas os pacotes individuais. Para tanto, é mantida uma tabela que armazena os estados das sessões em andamento.
18 Como funciona a filtragem Stateful Quando o primeiro pacote, interno, de uma nova comunicação cruza o filtro, é criada uma entrada na tabela de sessões para posterior consulta. As informações da tabela incluem, entre outras coisas, o IP e o número da porta (soquete) de aplicativo que o host de origem, dentro da rede, pretende usar para receber as respostas.
19 Como funciona a filtragem Stateful Se um pacote proveniente da rede externa tentar passar pelo filtro, e o IP e o número da porta de destino que ele carrega não corresponderem ao esperado, o mesmo será descartado, pois se trata de um pacote não solicitado. Quando uma sessão é encerrada, a entrada correspondente na tabela é removida e as portas associadas são fechadas.