Difesa perimetrale di una rete

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "Difesa perimetrale di una rete"

Isabella Russo
6 anni fa
Visualizzazioni

Muro tagliafuoco per: Evitare accessi indesiderati Controllare traffico di dati in uscita Tagliare i flussi di I/O generati da malware Filtrare

firewall (fra LAN e Internet) Personal firewall (software su host) livello operatività Reverse proxy server Filtri pacchetto (rete/trasporto)

1 Muro tagliafuoco per: Evitare accessi indesiderati Controllare traffico di dati in uscita Tagliare i flussi di I/O generati da malware Filtrare i segmenti di una VLAN azione Tipi di firewall: Ingress firewall (incoming packets) Egress firewall (outgoing packets) numero host Network firewall (fra LAN e Internet) Personal firewall (software su host) livello operatività Reverse proxy server Filtri pacchetto (rete/trasporto) Sistema a progettazione Livello logico (applicazione) Il firewall è l unico punto esposto Solo traffico autorizzato attraversa il muro Sistema sicuro 1

headers (no payload) Server proxy: gateway dati a livello applicazione Solo incoming, non ha azione su

2 Policy: politica di filtraggio pacchetti comune a tutta la rete Non appplicabile a personal firewall per costi e/o manutenzione Network firewall Circuit gateway: TCP stream o UDP datagram Packet filter su headers (no payload) Server proxy: gateway dati a livello applicazione Solo incoming, non ha azione su outbound (per proprietà NAT) NAT firewall: interviene dopo modifica dell header del pacchetto da parte del NAT 2

3 Packet filtering routing (ispezione pacchetto a livello rete/trasporto) Indagine su: IP mittente/destinatario MAC sorgente/destinazione Numero di porta Protocollo Azioni: accept/allow transito pacchetto accettato deny/reject transito pacchetto rifiutato con avviso ad host sorgente discard/drop transito pacchetto rifiutato senza avviso per evitare impegno della banda 3

ACL (Access Control List) Regole DETTAGLIATE imponibili su router a livello 3/4, operanti su intestazioni pacchetto, si dividono in open security policy e closed security policy.

4 ACL (Access Control List) Regole DETTAGLIATE imponibili su router a livello 3/4, operanti su intestazioni pacchetto, si dividono in open security policy e closed security policy. Implementabili sul router o tramite iptables.rules su server linux All open per default elenco divieti in ACL All closed per default elenco permessi in ACL #iptables -A INPUT -p tcp --destination-port 80 -m iprange --src-range j ACCEPT #iptables -A INPUT -p tcp -s dport 22 -j ACCEPT #iptables -A INPUT -i eth0 -p tcp --dport 22 -j DROP 4

5 Tramite le ACL si effettua il PACKET FILTERING Tecniche di contrasto a specifici attacchi tramite packet filtering Source IP (Spoofing): scartare pacchetti con source IP interno ma provenienti dall esterno Source routing: scartare pacchetti con presenza di source route nel campo option Vantaggi del packet filtering Trasparenza per l utente Velocità di controllo Immediatezza di difesa su tutta una rete con una sola regola Configurazioni solo su gateway e non su client Visibilità del solo gateway come host di rete (es.nat) Svantaggi del packet filtering Filtro solo a basso livello No servizi aggiuntivi (url, web content, autenticazione, etc.) Scarso log per controllo Vulnerabilità per tutti i casi di spoofing!= Source IP Testing complesso Piccoli frammenti: scartare pacchetti TCP con fragment-offset=1 se non frame finali e <400B 5

6 NO end x inattività Difesa perimetrale di una rete Statefull firewalling Filtraggio non sul singolo pacchetto ma sull intera connessione. Una volta che viene stabilita una connessione CERTA (non bloccata da alcuna regola) si memorizzano le caratteristiche della connessione su una tabella di stato che registra: ID univoco della sessione Indirizzi IP sorgente/destinazione Keep Alive Interfacce di rete Stato della connessione (handshaking, established, closing) Raccolta informazioni in corso Vantaggi Rapporto prestazioni/sicurezza Protezione IP Spoofing e Hijacking Tutte le caratteristiche del packet filtering Connessione autenticata e stabilita Connessione in fase di chiusura e cancellazione Svantaggi Solo TCP (connection oriented) Scarso log per diagnostica Mancanza servizi aggiuntivi (come P.F.) Testing e configurazione complessa 6

7 Application proxy Software eseguito sul gateway che si frappone fra il client ed il server. lavorando a livello APPLICAZIONE risolve molti dei problemi del packet filtering (come l assenza di servizi aggiuntivi). Per ogni applicazione un proxy differente, es. con eventuali reindirizzamenti nell applicativo client Svantaggi del proxy Invasivo per l utenza N applicazioni N proxy Intenso impegno CPU Vantaggi del proxy Completezza dei controlli Dettaglio del log No direct connection c/s Supporto connessioni multiple Configurazione user friendly Autenticazione Filtraggio contenuti Web cache Soluzione ottimale per la sicurezza di rete Proxy + Firewall (almeno 1, esterno) 7

Normalmente la DMZ ha un indirizzo statico sul quale veicolare tutte le richieste

8 Sezione di rete separata dalla rete interna, usata per server esposti alla rete pubblica non verificati sulla rete interna. Normalmente la DMZ ha un indirizzo statico sul quale veicolare tutte le richieste esterne di connessione. DMZ (DeMilitarized Zone) Configurazione DMZ fra 2 firewall (best defense) Configurazione DMZ come ramo di firewall 8

Documenti analoghi

FIREWALL. Firewall - modello OSI e TCP/IP. Gianluigi Me. me@disp.uniroma2.it Anno Accademico 2005/06. Modello OSI. Modello TCP/IP. Application Gateway

FIREWALL. Firewall - modello OSI e TCP/IP. Gianluigi Me. me@disp.uniroma2.it Anno Accademico 2005/06. Modello OSI. Modello TCP/IP. Application Gateway FIREWALL me@disp.uniroma2.it Anno Accademico 2005/06 Firewall - modello OSI e TCP/IP Modello TCP/IP Applicazione TELNET FTP DNS PING NFS RealAudio RealVideo RTCP Modello OSI Applicazione Presentazione