אבטחת מחשבים ורשתות סמסטר חורף תשע ב (2011)

Size: px

Start display at page:

Download "אבטחת מחשבים ורשתות סמסטר חורף תשע ב (2011)"

Christina Kennedy
6 years ago
Views:

אבטחת מחשבים ורשתות 203.4448 סמסטר חורף תשע ב (2011) 7 חומות אש ספרות עזר: Chapman, Zwicki. Building Internet Firewalls 2nd edition.

1 אבטחת מחשבים ורשתות סמסטר חורף תשע ב (2011) 7 חומות אש ספרות עזר: Chapman, Zwicki. Building Internet Firewalls 2nd edition. O Reilly, Cheswick, Bellovin, Rubin. Firewalls and Internet Security 2nd edition. Addison Wesley, הרצאה Firewalls 1 אבטחת מחשבים ורשתות חורף תשע ב

2 מבוא רוב הרשתות המקומיות (של ארגונים/חברות או בתים) מחוברות היום לאינטרנט. רובן מחוברות 24 שעות ביממה. יש להתגונן כנגד תוקפים מהאינטרנט. הדלפת מידע מהרשת הפנימית. חשיפה, בטעות, של הרשת הפנימית, להתקפות מבחוץ, ע"י משתמשים פנימיים. 2

3 Firewalls חומות אש - מטרות: להגן על רשת ארגון בפני מתקיפים מבחוץ. לחצוץ בין איזורים ברמת אבטחה/אמון שונות בתוך הרשת הפנימית. לשלוט על תעבורה יוצאת ונכנסת (מאפשר שליטה ברוחב פס/תוכן עובר). 3

4 Firewalls (המשך) Firewall כלי למימוש מדיניות הגנה, בעל יכולת (מוגבלת) להגן כנגד ההתקפות שהוזכרו הרעיון: נמקם את ה- firewall בנקודה דרכה עוברת כל התעבורה בין הרשת של הארגון לבין העולם החיצוני ) choke.(point הדבר מאפשר פיקוח על התעבורה וסינון שלה אנו רוצים שה- firewall יאפשר מעבר חבילות מותרות ו"תמימות", ולא יאפשר מעבר חבילות אסורות וכך יגן כנגד התקפות 4

5 המחשה Firewall 5

6 מהו?Firewall Firewall היא מערכת שמפרידה בין שני אזורים ברשת וכופה מדיניות אבטחה על התקשורת ביניהם האיזורים יכולים להיות: רשת פרטית / ציבורית תתי רשתות של ארגון בעלות סיווגים שונים (הרשת של מחלקת כספים וכל המחלקות האחרות) Firewall מבצע סינון של התעבורה העוברת בין אזורים שונים Firewall יכול להיות מורכב ממחשב או נתב בודד, או מאוסף מחשבים, נתבים וכו' 6

7 מהו?Firewall (המשך) Firewall שאיננו על מחשב אישי (משתמש קצה), חייב להכיל לפחות multi-homed host אחד (קופסה עם חיבור לשתי רשתות או יותר) חשוב: יש למקם את ה- Firewall בצורה כזאת שכל התעבורה בין שני האזורים תעבור דרכו. אם ניתן לעקוף,Firewall הטעם בהתקנתו עשוי להיות קטן. 7

8 עקרונות תכן Firewalls זכויות מזעריות אין ל- Firewall הרשאות (גישה לרשת) שאינן הכרחיות Choke point ניתוב כל התעבורה דרך נתיב צר. כל זרימת המידע אל העולם החיצוני וממנו עוברת דרך ה- Firewall Fail safe מבנה פשוט נפילה איננה פריצה חסימת כל מידע, אלא אם מורשה במפורש שימו לב כי במקרה שה- firewall נופל, התעבורה מנותקת! 8

9 מיקום Firewalls התשובה תלויה בצרכי הארגון (הבאים לידי ביטוי במדיניות ההגנה). נהוג למקם firewall בשתי נקודות עיקריות: לצורך הגנה של הרשת הפרטית מפני הרשת הציבורית ה- firewall יישב בין הרשת הפרטית לרשת הציבורית לצורך הגנה בתוך הרשת הפרטית ה- firewall יישב בין שתי רשתות פנימיות בארגון ויסנן מידע שעובר ביניהן 9

10 מיקום Firewalls (המשך) כלומר יש שני מצבים: 10

11 Bastion Host (BH) יעד מבוצר host) (Bastion הוא מחשב שניתן לגשת אליו מהרשת הציבורית (בד"כ הוא מכיל שרתים שמשרתים את הרשת הציבורית, ולפעמים גם את הרשת הפרטית). בדרך כלל יושב מחוץ לרשת הפרטית. מחשב זה צריך להיות מאובטח היטב. לדוגמא: יש להמנע מלשים עליו נתונים רגישים, ומידע מסווג. יש לדאוג לכך שהתוקפים לא יוכלו לנצל את ה- BH לצורך התקפה על הרשת הפרטית. יתכנו מספר Bastion Hosts באותה רשת פרטית. 11

12 סוגי Bastion Host : Non-routing dual-homed host מחשב שמחובר למספר רשתות (למשל הרשת הפרטית והרשת הציבורית), נותן להן שירותים, אך לא מעביר חבילות בין הרשתות. BH קורבן: שרת זה מיועד לכלל המשתמשים באינטרנט. לפיכך קשה לאבטח אותו וה- firewall לא יכול להוסיף לו הרבה אבטחה חשוב לדאוג שלא ניתן יהיה לתקוף דרכו את הרשת הפרטית. BH פנימי: ממוקם פיסית בתוך הרשת הפרטית ונותן שירותים למשתמשים מהאינטרנט. יש לאבטח בצורה מיוחדת. רצוי להמנע מ- BH מסוג זה. שימו לב, כי המטרה שלנו בסופו של דבר היא צמצום הנזק של פריצה לאחד השרתים. 12

13 האזור המפורז (DMZ) 13

14 האזור המפורז (DMZ) האזור המפורז Zone) (Demilitarized הינו האזור בו נשים את השרתים הבעייתים (לפעמים גם נקרא.(Perimeter Network זוהי רשת בתוך הארגון שמפרידה בין הרשת הפרטית, המוגנת, ובין הרשת הציבורית. ברשת זו בדרך כלל יושבים שרתים שניתן לגשת אליהם מהרשת הציבורית hosts) (Bastion DMZ מוסיף עוד שכבה של הגנה על הרשת הפרטית. המחשבים בתוכו יכולים לשמש כ- proxies (נראה ונסביר בהמשך) 14

15 האזור המפורז (DMZ) דוגמאות 15

16 עקרונות תכן רשתות ומדיניות הגנה יש לזכור כי מחשבים שחייבים לאפשר תקשורת נכנסת מהאינטרנט אליהם (ובמיוחד שרתים שנותנים שירותים ללקוחות שנמצאים באינטרנט) חשופים יותר להתקפות. אפילו אם המחשבים (הניגשים והנגישים) שייכים לחברה, תוקף שמשתלט עליהם, עלול לתקוף דרכם את שאר מחשבי החברה. מצד שני, בד"כ נרצה לאפשר למשתמשים ברשת הפנימית לגשת לאינטרנט ולקבל שירותים. 16

17 עקרונות תיכון רשתות ומדיניות הגנה (המשך) רצוי: למנוע קשר ישיר מבחוץ לרשת הפנימית. במיוחד, לא לאפשר למשתמש מהאינטרנט ליזום המחשבים בתוך הרשת. sessions אל לא לשים מחשבים שחשופים להתקפות מהאינטרנט (למשל שרתים) במקומות רגישים: התקפה מוצלחת נגדם תאפשר לפרוץ לרשת הרגישה. מומלץ לשים מחשבים כאלה ב- DMZ. רצוי שתקשורת לאינטרנט וממנה תתבצע דרך proxy.servers 17

18 טכניקות למימוש Firewall קיימות מספר טכניקות למימוש :firewalls Stateless packet filter Stateful packet filter (stateful inspection) Proxy server (a.k.a. application level relays) השיטות נבדלות באופן הפעולה, והמידע שעל פיו מבוצע הסינון. מכיוון שהמידע שונה ואופן קבלת ההחלטות שונה, יש הבדל במהירות ואיכות ההחלטות. ניתן לשלב בין השיטות השונות, ואף נהוג לעשות כן. 18

19 תזכורת למעבר ה- datagram IP ברשת Host A Gateway G1 Gateway G2 Host B Application Application TCP UDP TCP UDP IP IP IP IP MAC MAC MAC MAC 19

20 רעיון ה- Filtering Stateless Packet Host A Stateless packet filtering firewall Host B Application Application TCP UDP TCP UDP IP MAC IP MAC IP MAC 20

21 Packet Filter Packet filter סורק כל חבילה שעוברת דרכו, ומחליט האם להעביר אותה הלאה או לא. ההחלטה מבוססת על טבלת חוקים המגדירה מתי להעביר חבילה.(forward) הטבלה נכתבת ע"י מנהלי הרשת בהתאם למדיניות ההגנה ומכילה את השדות: כתובות המקור והיעד הפרוטוקול UDP) (TCP, פורט המקור והיעד ביט ה- ACK IP Header TCP/UDP Header TCP Header כיוון החבילה (in/out) ביחס לרשת עליה מגינים (או זהות כרטיסי הכניסה והיציאה של החבילה) 21

22 טבלת ה- Filter Stateless Packet ל- filter Packet יש טבלת חוקים סטטית לפיה הוא פועל לא מעדכנים את הטבלה בזמן הפעולה (ולא על פי תוכן החבילות) כותרי (headers) ה- TCP/IP של כל חבילה נבדקים בטבלה, לפי סדר השורות בטבלה, וללא קשר לחבילות אחרות החבילה מועברת הלאה או נזרקת לפי השורה הראשונה בטבלה שמתאימה לחבילה אם אף שורה לא מתאימה, החבילה נזרקת. על אף שזוהי ברירת המחדל, מומלץ תמיד להוסיף את הכלל המתאים בסוף הטבלה בקורס חובה להוסיף כלל זה! 22

23 השימוש בדגל ה- Ack רלוונטי רק לחבילות.TCP בכל,TCP session בחבילה הראשונה שיוזמת (ומאתחלת את ה- session ) דגל ה- ack=0. בשאר החבילות השייכות לאותו session דגל ה- ack=1. לכן, אם מגיעה חבילה עם,ack=0 סימן שהיא יוזמת session חדש. מדיניות הגנה נפוצה היא לא לאפשר ליזום מבחוץ אל תוך הרשת הפרטית. sessions 23

24 דוגמא לכללי Stateless Packet Filter Rule מדיניות ההגנה: ממשתמשים ברשת הפרטית לשרתים ברשת הציבורית מותר Direction telnet כל תעבורה אחרת מהרשת הפרטית ואליה, אסורה Source Dest. Protocol Source Dest. Ack Action Addr Addr Port Port spoof in Internal any any any any any Deny telnet out Internal any TCP > any Permit telnet in any Internal TCP 23 >1023 yes Permit default any any any any any any any Deny 24

25 פרוטוקול בעייתי FTP FTP הוא פרוטוקול שעובד מעל,TCP ומשתמש בשני ים קבועים לשרתים: פורט 21 למטרות שליטה ובקרה ופורט 20 למטרת העברת המידע. -port,command port בהגדרה המקורית של ה- FTP, ה- client מעביר ב- command session את מספר ה- port שישמש אותו ב-.data session השרת פותח את ה- session data מ- port 20 שלו אל מספר ה- port שקיבל מה- client. צורה זו נקראית FTP אקטיבי. 25

26 Firewall FTP -גרסה ידידותית ל ה- FTP המקורי בעייתי עבור,firewall מכיון ש- server מאתחל את ה- session.data בגירסה הידידותית ל- firewalls, ה- client שולח את פקודת pasv ב- session.command השרת מגיב עם מספר port אקראי.(1023<) ה- client פותח session מ- port אקראי שלו, אל ה- port שקיבל מה- server. שיטה זו נקראית FTP פאסיבי. נראה בהמשך סוג של Firewalls המסוגל לבחון את תוכן ה-.session במקרה כזה ניתן להמשיך להשתמש בגירסה האקטיבית. 26

27 הערה חלק ניכר מהפרוטוקולים החדשים יותר לטיפול במולטימדיה (העברת קול או וידאו) משתמשים בטכניקה דומה לזו ש- FTP משתמש בה (לדוגמא (RTP, H323 פרוטוקול מסוג זה מחולק לשני חלקים: בחלק הראשון קובעים שני המשתתפים את מספרי ה- port -ים שמעליהם יעברו הנתונים. חלק זה לרוב רץ מעל TCP בחלק השני, שלרוב רץ מעל,UDP מועברים הנתונים 27

28 Stateful Packet Filters כאמור, stateless packet filters הם די מוגבלים. הם אינם מסוגלים לטפל במקרים רבים: פרוטוקול FTP אקטיבי (ושאר פרוטוקולים מרובי פורטים) שינוי מספר פורט אצל השרת (שרת שמריץ פרוטוקול מותר בפורט לא סטנדרטי, או פרוטוקול אסור בפורט של פרוטוקול מותר) הבדלה בין חיבורים חוקיים ולא-חוקיים על סמך אפילקציה/משתמש התקפה על פורטים פתוחים הרעיון הבסיסי להגדיר אילו חיבורים מותרים ואילו אסורים, ולאפשר אותם. 28

29 Stateful Packet Filtering Host A Stateful packet filtering firewall Host B Application Application TCP UDP TCP UDP IP MAC IP MAC IP MAC 29

30 שמירת Session Context ציינו כבר ש- Session מאופיין חד-ערכית על ידי החמישיה: <protocol, source address, source port, destination address, destination port> לגבי החבילה הראשונה שפותחת,session נשתמש בחוקים סטטיים על מנת להחליט האם זהו session חוקי נשמור את החמישיות הנ"ל לכל session פתוח. כל חבילה שאינה מתחילה session חדש ואינה שייכת ל- session פתוח, תזרק 30

31 סריקת שדות האפליקציה Stateful Inspection שיפור זה של Stateless packet filter מסוגל לסרוק כל שדה בחבילה, בפרט הוא מסוגל לסרוק את שדות האפליקציה. יש לזכור כי החבילות אינן בהכרח מגיעות לפי הסדר. מכיוון ששדה מסוים באפליקציה יכול לחצות גבולות חבילה, הרי שכדי שה- filter packet יוכל לבצע סריקה אחרי שדות בעלי משמעות ברמת האפליקציה, הוא חייב לזהות את כל החבילות ששייכות לאותו ה- session, ולסרוק אותן לפי הסדר תהליך זה נקרא.stateful inspection 31

32 דוגמא ל- Inspection Stateful session יחד עם שמירת Stateful inspection context מאפשרים להתגבר על אי הידידותיות של FTP (או פרוטוקולים לטיפול במולטימדיה) ל- filters packet כאשר נפתח ה- session,command הלקוח שולח לשרת את מספר הפורט שלו עבור ה- session.data מערכת ה- stateful inspection מציצה לתוכן ההודעה וזוכרת את מספר הפורט המועבר. לאחר מכן, היא תאפשר את מעבר החבילה שפותחת את ה- session data מהשרת אל הלקוח 32

33 Application Based Stateful Inspection היום נהוג להתקין הקצה. firewall גם על המחשבים של משתמשי את ההחלטות של ה- firewall במחשב קצה (להעביר או לזרוק חבילה) ניתן לבסס גם על סמך האפליקציה הקשורה לחבילה זו (דפדפן, תוכנת דואר, וכו'). -ים אלה מסוגלים גם לצמצם את הנזקים של Firewall תוכנות spyware שהותקנו על המחשבים (לפעמים ללא ידיעת המשתמש). 33

34 Proxy Servers Host A Proxy server Host B Application Application Application TCP UDP TCP UDP TCP UDP IP MAC IP MAC IP MAC 34

35 Proxy Servers תכניות שרצות במערכת ה- firewall ה- server proxy משמש כ- Middle Man in the חוקי. הלקוח פונה ל- server proxy וזה פונה בשמו לשרת Client Proxy Server Server 35

36 Proxy Servers (המשך) ה- server Proxy מאפשר מעבר מידע אך ורק דרך ה- (packet filters ע י (נאכף proxy applications כל מידע אחר איננו עובר Proxy server שעובד מעל TCP חייב להגן על עצמו כנגד התקפות נפוצות על TCP מכיון ש- server proxy עובד ברמת האפליקציה, ומכיוון שהוא זה שמנהל את ההתקשרות עם השרת/הלקוח, הוא יכול לבצע בדיקות שאינן יכולות להתבצע ע"י packet filter לדוגמא: אנטי וירוס 36

37 (proxy (ללא Telnet דוגמא alice_pc.corp.com cs.haifa.ac.il

38 (proxy (עם Telnet דוגמא alice_pc.corp.com 1778 proxy.corp.com cs.haifa.ac.il 23 38

39 SMTP דוגמא Proxy Servers נהוג כי לשרתי דואר אלקטרוני (SMTP) פנים ארגוניים, אין גישה מרחוק פרוטוקול SMTP מאפשר לכל שרת לקבל הודעות עבור כל שרת אחר, ולכן ניתן לשים mail gateway ארגוני, ולדאוג כי כל תעבורת הדואר הנכנסת תכנס אליו (תוך הטיית כל תעבורה לפורט 25 של שרתי הדואר הפנימיים אליו) שרת הדואר המרכזי יכול להריץ אנטי-וירוס, מסנן דואר זבל (spam) או כל דבר אחר הדרוש להגנה על הרשת הפנימית ה- gateway mail גם יכול לדאוג שהודעות עם מידע סודי, לא יוכלו לצאת מהארגון (אם המידע גלוי) בעצם, ניתן להריץ כל סינון שנרצה על ההודעות (כולל האם מילים מסוימות נמצאות בהודעות) 39

40 סיכום Servers Proxy יתרונות: אפשרות ל- control access על ישויות שקיימות אך ורק ברמת האפליקציה (לדוגמא - משתמשים ב- telnet וב- ftp ) אין קשר TCP ישיר בין חסרונות ל- server client לכל אפליקציה חדשה, יש לכתוב proxy חדש לרוב אין שקיפות לקצוות 40

41 סיכום Filters Packet יתרונות: שקוף למשתמש שקוף לאפליקציות חדשות ניתן למימוש על routers חסרונות: קשה לקונפיגורציה מוגבל (עם stateful inspection פחות) 41

42 חיבור משתמשים ניידים לרשת ב- server :Proxy בקרת כניסה, גישה וסינון אפשריים ברמת האפליקציה ב- filter :Stateless packet לא אפשרי - כתובת ה- IP איננה קבועה. ואין דרך להעביר אינפורמציה ל- packet filter ב- filter :Stateful packet אפשרי. בהתחברותו מבצע הלקוח אימות מול ה- firewall (באמצעות פרוטוקול בקרת גישה כלשהו), ואז ה- filter packet זוכר שללקוח ב- IP נתון מותר להתחבר לרשת 42

43 חסרונות ה- Firewall אין הגנה על התעבורה שאינה עוברת דרך ה- firewall מניחים שכל המשתמשים ברשת הפנימית הם הגונים אם פורץ מבחוץ מצליח להשתלט על מחשב אחד בתוך החברה, ה- firewall לא ימנע ממנו להשתלט על מחשבים נוספים ניתן "להתלבש" על אפליקציות חוקיות: FTP active mode ''firewall-friendly protocols'' שימוש ב- HTTP בתור carrier-protocol אין הגנה על תוכן החבילה ואין אימות משתמש 43

44 השוואה בין סוגי ה- Firewall Packet Filtering Stateful Proxy inspection packet filtering חיבור ישיר חיבור ישיר חיבור עקיף רגיש לפרוטוקול רגיש לפרוטוקול אינו רגיש לפרוטוקול שומר מצב שומר מצב אינו שומר מצב (stateless) מסוגל לממש בקרת גישה על פי משתמש מסוגל לממש בקרת לא מסוגל גישה על פי משתמש 44

45 עדכון בנושא Firewalls יעילות חסימת ההתקפות של בעשור האחרון תעבורה עוקפת firewalls ירדה משמעותית :firewall לדוגמא מחשבים ניידים התקפות על פורטים שלרוב פתוחים ב- firewalls : לדוגמא פורט 80 פרוטוקולים שמשתמשים בפרוטוקולים אחרים בתור נשאים.(Carriers) לדוגמא, רוב הפרוטוקולים החדשים היום עובדים גם מעל TCP וגם מעל,HTTP מכיוון ש- HTTP (פורט 80) ו- HTTPS (פורט 443) לא חסומים ברוב ה- firewalls 45

46 עדכון בנושא Firewalls (המשך) עם זאת, לטובת המגן עומדים היום כלים נוספים לצורך שליטה וניטור הרשת Firewall -ים פרטיים למחשב האישי מאפשר להגן על מחשב ברשת במקרה של פריצה נתבים ומתגים חכמים אשר יודעים לזהות לבד עליה בנפח התקשורת ומנטרלים שקע תקשורת ''בעייתי'' מערכות (IDS) Intrusion Detection אשר מזהות ניסיונות התקפה או פריצות שהתרחשו 46

אבטחת מחשבים ורשתות סמסטר חורף תשע ב (2011) הרצאה 6 איומים על רשתות מחשבים הרצאה 6 אבטחת מחשבים ורשתות חורף תשע ב

אבטחת מחשבים ורשתות סמסטר חורף תשע ב (2011) הרצאה 6 איומים על רשתות מחשבים הרצאה 6 אבטחת מחשבים ורשתות חורף תשע ב אבטחת מחשבים ורשתות 203.4448 סמסטר חורף תשע ב (2011) הרצאה 6 איומים על רשתות מחשבים Inter-network 2 אבטחת מחשבים ורשתות חורף תשע ב מודל השכבות - TCP/IP Application Layer (telnet, ftp, email, ) Transport