Proteggere la rete I FIREWALL (seconda parte)

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "Proteggere la rete I FIREWALL (seconda parte)"

Leonardo Savino
7 anni fa
Visualizzazioni

1 Proteggere la rete I FIREWALL (seconda parte)

2 Index Architetture di rete con Firewall A cosa serve il NAT Cosa sono gli Intrusion Detection System

3 Esistono molte architetture possibili per inserire un sistema di firewalling a protezione di una rete privata di tipo LAN. La più semplice è ovviamente quella che prevede l'interposizione di un singolo firewall tra Internet e la LAN, come schematizzato nella figura seguente.

Architettura Firewall con DMZ Una delle configurazioni più efficienti e robuste per la sicurezza delle reti primetrali è la: Screened subnet firewall, zona demilitarizzata (DMZ),qui il

4 Architettura Firewall con DMZ Una delle configurazioni più efficienti e robuste per la sicurezza delle reti primetrali è la: Screened subnet firewall, zona demilitarizzata (DMZ),qui il firewall è composto da: Due router per eseguire il packet filtering Uno o più bastion host L obiettivo è quello di creare una sottorete isolata dalla rete da proteggere. Rete demilitarizzata(dmz)

5 Bastion host Sono i sistemi dell organizzazione, cioè più esposti agli attacchi informatici. Per ridurre i rischi di attacco, si sono diffuse alcune pratiche, che consentono di rendere i bastion host meno vulnerabili. Il bastion host serve come piattaforma per un application-level o circuit-level gateway.

6 Bastion Host Questo firewall non consente ad un intrusore che riesca ad accedere ad uno dei bastion host, di: avere accesso diretto alla rete interna che è protetta da un ulteriore livello di screening router. poter intercettare il traffico della rete interna che potrebbe contenere informazioni sensibili.

7 Architetture firewall con DMZ La rete demilitarizzata invece è il vero elemento distintivo di questa architettura di firewall, che consente la divisione fisica tra la rete interna in cui sono mantenuti tutti i servizi critici per l azienda e la rete demilitarizzata su cui vengono installati i servizi di rete pubblici, in questo modo la rete acquisisce una maggiore scalabilità ed una maggiore stabilità. Vediamone alcuni esempi.

8 Router esterno Il router esterno deve proteggere la rete interna e la rete perimetrale da Internet, in particolare il router esterno deve preoccuparsi di proteggere i bastion host e il router interno. Deve provvedere a bloccare tutto il traffico sospetto proveniente da Internet e diretto ai bastion host o alla rete interna.

9 Router interno Lo scopo di questo router è di proteggere la rete interna da Internet ma anche dalla rete demilitarizzata. Il router interno deve consentire il traffico, dalla rete interna verso Internet, di tutti quei servizi che si è deciso di rendere fruibili agli utenti della rete interna. La lista di questi servizi può comprendere HTTP, FTP, Telnet o meglio SSH.

10 Designing Demilitarized Zones

11 Architetture firewall con DMZ Fisicamente, tale architettura può essere realizzata anche con un singolo host, che sia in grado di ospitare almeno tre schede di rete, e possa applicare su ciascuna di esse un insieme differente di regole di packet filtering. In questo caso l architettura di firewall collassa in un singolo host denominato appunto firewall.

12 Architetture firewall con DMZ Nelle architetture in cui esista una DMZ, (oltre a quella Screened subnet) abbiamo altre possibili configurazioni: - collegare la DMZ ad una scheda di rete aggiuntiva sul Firewall, come schematizzato nella figura seguente: Fisicamente, tale architettura può essere realizzata anche con un singolo host, che sia in grado di ospitare almeno tre schede di rete, e possa applicare su ciascuna di esse un insieme differente di regole di packet filtering. In questo caso l architettura di firewall collassa in un singolo host denominato appunto firewall.

13 Architetture firewall con DMZ Server Web Server Mail

14 A cosa serve il NAT NAT Network Address Translation (traduzione degli indirizzi di rete) è il sistema usato per permettere ad una rete locale di usare all'interno una serie di indirizzi IP privati e contemporaneamente di usare indirizzi IP pubblici per accedere all'esterno. Una macchina collocata nel punto in cui la LAN si connette ad Internet compie tutte le traduzioni di indirizzo necessarie. La tabella NAT è utilizzata proprio per fare queste operazioni. Le principali operazioni di NAT si suddividono in: DNAT Destination NAT (traduzione degli indirizzi di rete di destinazione). È usata per permettere a più server di condividere lo stesso indirizzo IP pubblico. Immaginiamo di avere nella nostra DMZ un server web, un server FTP. Possiamo acquistare un solo IP statico pubblico e fare in modo che entrambi i server rispondano a quell'indirizzo. Le chiamate all'indirizzo pubblico verso la porta TCP/80 saranno dirette al server web, quelle verso la porta TCP/21 al server FTP.

15 Intrusion Detection Nella terminologia corrente per Intrusion Detection System si intende un insieme di componenti hw e sw dedicate a rilevare, automaticamente ed in tempo reale, il verificarsi di un intrusione in un sistema o in una rete. Un IDS è costituito da una serie di sensori di rete o agenti e da un analizzatore centrale, ognuno di essi risiede su un host dedicato. I sensori di rete vengono installati su determinate porzioni di rete, solitamente quelle su cui sono presenti i sistemi più critici. I dati raccolti vengono inviati all analizzatore che verifica o meno la presenza di traffico sospetto in tal caso attiva una serie di procedure di allarme.

16 IDS INTERNET INTRANET firewall IDS

Documenti analoghi

ORGANIZZAZIONE DELLA RETE

ORGANIZZAZIONE DELLA RETE La principale difesa contro gli attacchi ad una rete è una corretta organizzazione topologica della rete stess Uno dei principali approcci è quello di suddividere la rete in zone