Firewall. Alfredo De Santis. Maggio Dipartimento di Informatica Università di Salerno.

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "Firewall. Alfredo De Santis. Maggio 2014. Dipartimento di Informatica Università di Salerno. ads@dia.unisa.it http://www.dia.unisa."

Carlotta Abate
8 anni fa
Visualizzazioni

1 Firewall Alfredo De Santis Dipartimento di Informatica Università di Salerno Maggio 2014

2 Pacchetti I messaggi sono divisi in pacchetti I pacchetti sono trasmessi in modo indipendente 1

3 Filtraggio di pacchetti Un filtro di pacchetti esamina l'intestazione dei pacchetti in transito e ne decide il destino 2

4 Filtraggio di pacchetti: Regole Una regola stabilisce il comportamento del filtro dei pacchetti in base all intestazione del pacchetto ricevuto 3

5 Filtraggio di pacchetti: perché? CONTROLLO SICUREZZA VIGILANZA 4

6 Che cosa proteggere? Dati Segretezza Integrità Disponibilità Risorse Reputazione 5

7 Attacchi Denial of Service nega l uso delle proprie risorse Intrusioni da social engineering al semplice indovinare password Rubare informazioni intercettazioni, sniffer 6

8 Incidenti ed Ignoranza 55% degli incidenti è causato da utenti senza esperienza che cercavano di fare cose che non dovevano fare Richard Power, Current and Future Danger: A CSI Primer on Computer Crime and Information Warfare, San Francisco, CA: Computer Security Institute,

Power, Current and Future Danger: A CSI Primer on Computer Crime and

9 Firewall Fire wall: A fireproof wall used as a barrier to prevent the spread of a fire. - American Heritage Dictionary Modo per restringere l accesso tra Internet e la rete interna 8

10 Firewall Fire wall: A fireproof wall used as a barrier to prevent the spread of a fire. - American Heritage Dictionary 9

11 Firewall Dispositivi hardware o software che permettono di proteggere e filtrare traffico da e verso una rete 10

12 Firewall: cosa non può fare? Proteggere da attacchi dall interno Proteggere da collegamenti diretti Proteggere da virus 11

13 Firewall: cosa non può fare? Non controlla i file infetti da virus controlla solo indirizzi sorgente e destinazione e numeri di porta Bisognerebbe riconoscere un pacchetto come parte di un programma e riconoscere che nel programma c è un virus 12

14 Modalità di funzionamento Un firewall può operare in due modalità diametralmente opposte: Tutto ciò che non è specificatamente permesso è negato Tutto ciò che non è specificatamente negato è permesso 13

che non è specificatamente permesso è negato Tutto

15 Modalità di funzionamento Tutto ciò che non è specificatamente permesso è negato Il firewall blocca tutto il traffico e ciascun servizio deve essere implementato caso per caso Lo svantaggio: si limita il numero di scelte disponibili all'utente 14

il traffico e ciascun servizio deve essere implementato caso

16 Modalità di funzionamento Tutto ciò che non è specificatamente negato è permesso Il firewall inoltra tutto il traffico e ciascun servizio dannoso deve essere chiuso caso per caso Lo svantaggio: l amministratore di rete ha difficoltà sempre maggiore nell assicurare la sicurezza man mano che la rete cresce 15

deve essere chiuso caso per caso Lo svantaggio: l amministratore di rete ha

17 Componenti di un Firewall Un firewall tipico è composto da uno o più dei seguenti componenti: Packet-Filtering router filtra il traffico dei pacchetti mediante screening router Gateway a livello di applicazione (o Proxy Server) filtra le richieste in base alle informazioni fornite ai protocolli applicativi Gateway a livello di trasporto 16

screening router Gateway a livello di applicazione (o Proxy Server) filtra le

18 Packet-Filtering Definisce una zona di rischio che include tutti gli host direttamente accessibili attraverso la rete e che supportano il protocollo TCP/IP 17

19 Packet-Filtering E un mezzo per diminuire il livello di rischio Scherma i pacchetti a seconda di: tipo di protocollo indirizzo della sorgente e della destinazione campi di controllo presenti nei pacchetti 18

di: tipo di protocollo indirizzo della sorgente e

20 Packet Filtering Esempio Unico traffico permesso classe C

21 Packet Filtering Alcuni esempi: blocca tutte le connessioni verso la rete eccetto quelle SMTP in entrata blocca tutte le connessioni da alcuni sistemi blocca i servizi r (rlogin, rsh, rcp, ) Non va bene: interna Utente A può fare telnet dall esterno, gli altri no E possibile trasferire questi file ma non gli altri 20

22 Screening Router configurazione Stabilire una politica di controllo degli accessi Specificare in termini logici il tipo di pacchetti permessi o negati Scrivere una lista di regole Spesso descritte mediante tabelle logiche 21

23 Esempio Screening Router configurazione permettere esclusivamente connessioni di tipo telnet dall interno verso l esterno nient altro 22

24 Router CISCO Nei router CISCO, ACL (Access Control List) associate alle interfacce del router Composte di righe che descrivono le regole di accesso Ciascuna riga descrive l identificativo della ACL l azione da eseguire il tipo di protocollo la sorgente la destinazione la porta o l intervallo di porte destinazione il bit di acknowledgement ACK 23

25 Router CISCO Esempio: Permettere solo telnet in uscita Una ACL associata all interfaccia esterna (serial 0) per selezionare il traffico uscente Una ACL associata all interfaccia interna (ethernet 0) per selezionare il traffico entrante 24

26 Packet Filtering Largamente diffuso in molti prodotti di routing hardware e software Alcuni tools per packet filtering (disponibili per ftp): screend macchine BSD-based UNIX Drawbridge PC con MS-DOS e 2 schede Ethernet o 2 schede FDDI KarlBridge PC con 2 schede Ethernet 25

27 Packet Filtering: svantaggi Non interviene al livello dell applicazione Mancano meccanismi di auditing e di avvertimento di attacchi 26

28 Servizi Proxy Offerti dai firewall per inviare le richieste di servizio provenienti da Internet verso la rete interna e viceversa Anche detti application gateway Elaborano richieste per servizi remoti e le inoltrano in accordo con le regole di accesso stabilite per i servizi Mantengono un singolo punto di transito da e verso Internet pur fornendo un collegamento apparente con tutti gli host della rete 27

29 Servizi Proxy Se una richiesta di servizio proviene dalla rete interna, il proxy server dà al client l illusione di trattare con il server reale richiesto al server l illusione di trattare con un client che gira sull application gateway 28

30 Servizi Proxy 29

31 Proxy Server vs Screening Router Gli screening router filtrano il traffico solo in base alle informazioni dei protocolli di trasporto e di rete FTP: accettare o proibire il traffico I proxy server filtrano il traffico anche in base al protocollo applicativo FTP: consentire Export, ma non Import Le regole di filtraggio sono più facili da configurare in un proxy server 30

32 Proxy Server: svantaggi Non tutti i servizi si basano su protocolli per i quali è possibile realizzare un proxy server Attualmente sono disponibili solo i proxy server dei servizi più comuni HTTP, FTP, telnet 31

33 Bastion host Macchine collegate direttamente con Internet Forniscono servizi all esterno e fanno da tramite con la rete interna Sono quelle sulle quali è necessario concentrare maggiori attenzioni nella gestione della sicurezza Possono svolgere una o più funzioni: Screening router Application gateway 32

34 Bastion host Internet Firewall Marcus Ranum "Bastions overlook critical areas of defense, usually having stronger walls, room for extra troops, and the occasional useful tub of boiling hot oil for discouraging attackers." 33

35 Bastion host Internet Gestisce tutti i servizi per i quali non si ritiene sufficiente la protezione mediante packet filtering telnet, FTP, DNS, SMTP E opportuno che sul bastion host non siano installate applicazioni non utilizzate 34

36 Bastion host E esposto ad attacchi esterni Non dovrebbe accedere a servizi di rete che prevedono la condivisione di informazioni critiche servizi vulnerabili sulle macchine interne L unico utente registrato su esso dovrebbe essere l amministratore di sistema La presenza di altri utenti lo renderebbe oggetto di attacchi di tipo password guessing Gli utenti potrebbero rendere il sistema più vulnerabile in maniera involontaria 35

37 Gateway a Livello di Trasporto Ripete semplicemente le connessioni TCP senza elaborare o filtrare alcun pacchetto in più 36

38 Firewall: Principali Architetture Combinando le varie componenti otteniamo tre architetture principali: Dual-Homed Host Screened Host Screened Subnet 37

39 Dual-Homed Host Calcolatore con almeno due interfacce di rete Può agire come un router tra le due reti alle quali sono collegate le interfacce Può essere utilizzata come: firewall (è anche il bastion host) se posta tra una rete privata ed Internet packet filtering application gateway 38

40 Dual-Homed Host Ha buone caratteristiche di sicurezza Ha scarsa flessibilità Svantaggi: gli unici servizi disponibili sono quelli per cui esiste un proxy server sull application gateway 39

41 Screened Host L elemento principale è uno screening router Il bastion host svolge funzioni di application gateway ha una sola interfaccia di rete Router per separare la rete interna dall esterna Solo il bastion host può aprire connessioni con la rete esterna I sistemi esterni possono connettersi solo con il bastion host 40

42 Screened Host 41

43 Screened Subnet Due router che creano una rete perimetrale su cui si trovano i bastion host che forniscono i servizi Il router esterno filtra il traffico tra Internet e la rete perimetrale Il router interno protegge la rete privata da Internet e della rete perimetrale 42

44 Screened Subnet Rete interna è screening router è firewall è screening router è internet 43

45 Bibliografia Cryptography and Network Security by W. Stallings (2005) cap. 20 Tesina di Sicurezza su reti Firewall 44

46 Domande?

Documenti analoghi

Firewall. Pacchetti. Filtraggio di pacchetti: Regole. Filtraggio di pacchetti

Firewall. Pacchetti. Filtraggio di pacchetti: Regole. Filtraggio di pacchetti Firewall Pacchetti I messaggi sono divisi in pacchetti I pacchetti sono trasmessi in modo indipendente Barbara Masucci Dipartimento di Informatica ed Applicazioni Università di Salerno masucci@dia.unisa.it