Upload
alize
View
48
Download
9
Tags:
Embed Size (px)
DESCRIPTION
Criptografia e Segurança de rede Lição 20. 4ª Edição by William Stallings Lecture slides by Lawrie Brown. Lição 20 – Firewalls. A função de uma forte posição é fazer com que as forças de exploração sejam praticamente imbatível. — On War, Carl Von Clausewitz. Introdução. - PowerPoint PPT Presentation
Citation preview
Criptografia e Criptografia e Segurança de redeSegurança de rede
Lição 20Lição 204ª Edição4ª Edição
by William Stallingsby William Stallings
Lecture slides by Lawrie BrownLecture slides by Lawrie Brown
Lição 20 – FirewallsLição 20 – Firewalls
A função de uma forte posição é fazer com que A função de uma forte posição é fazer com que as forças de exploração sejam praticamente as forças de exploração sejam praticamente
imbatível.imbatível.——On War, On War, Carl Von ClausewitzCarl Von Clausewitz
IntroduçãoIntrodução visto a evolução dos sistemas de informaçãovisto a evolução dos sistemas de informação agora todos querem estar na Internetagora todos querem estar na Internet e para interligar redese para interligar redes existem persistentes preocupações de segurançaexistem persistentes preocupações de segurança
não pode facilmente obter todos os sistemas não pode facilmente obter todos os sistemas em orgem org
normalmente usam um normalmente usam um FirewallFirewall para fornecer perímetro de defesapara fornecer perímetro de defesa como parte da estratégia de segurançacomo parte da estratégia de segurança
O que é uma Firewall?O que é uma Firewall? Um Um ponto de estrangulamentoponto de estrangulamento de controle e de controle e
monitoramentomonitoramento interconecta redes com diferentes restriçõesinterconecta redes com diferentes restrições impõe restrições à rede de serviçosimpõe restrições à rede de serviços
apenas autoriza o tráfego que é permitidoapenas autoriza o tráfego que é permitido autenticação e controlo do acessoautenticação e controlo do acesso
pode implementar com alarmes para comportamento pode implementar com alarmes para comportamento anormalanormal
fornece NAT e usa monitoramentofornece NAT e usa monitoramento implementa VPNs usando IPSecimplementa VPNs usando IPSec deve ser imune à penetraçãodeve ser imune à penetração
Limitações do FirewallLimitações do Firewall não pode proteger contra ataques não pode proteger contra ataques que que
contornam o firewallcontornam o firewall por exemplo, redes de espiões, utilitário de modens, por exemplo, redes de espiões, utilitário de modens,
organizações e serviços confiáveis (por exemplo organizações e serviços confiáveis (por exemplo SSL/SSH)SSL/SSH)
não pode proteger contra ameaças internasnão pode proteger contra ameaças internas por exemplo, funcionários descontentes ou por exemplo, funcionários descontentes ou
coniventesconiventes não pode proteger contra transferência de não pode proteger contra transferência de
programas ou arquivos infectados com vírus. programas ou arquivos infectados com vírus. devido à enorme gama de O/S e tipos de arquivodevido à enorme gama de O/S e tipos de arquivo
Firewalls – Pacotes de FiltrosFirewalls – Pacotes de Filtros simples e mais rápido componente de firewallsimples e mais rápido componente de firewall base de qualquer sistema de firewallbase de qualquer sistema de firewall examinar cada pacote IP (sem conteudo), examinar cada pacote IP (sem conteudo),
permiti ou nega, de acordo com as regraspermiti ou nega, de acordo com as regras por consequencia, restringi o acesso a serviços por consequencia, restringi o acesso a serviços
(portas)(portas) possíveis políticas padrões:possíveis políticas padrões:
que não é expressamente permitido é proibidoque não é expressamente permitido é proibido que não é expressamente proibido é permitidoque não é expressamente proibido é permitido
Ataques em Ataques em Pacotes de FiltrosPacotes de Filtros Falsificação de endereço IP (spoofing)Falsificação de endereço IP (spoofing)
fornece endereço falso para ser aceitofornece endereço falso para ser aceito adicionar filtros no roteador para bloquearadicionar filtros no roteador para bloquear
Ataques de roteamento da origemAtaques de roteamento da origem ataque utilizando uma rota diferente da padrãoataque utilizando uma rota diferente da padrão descartar todos os pacotes que usam essa opçãodescartar todos os pacotes que usam essa opção
Ataques de fragmento pequenosAtaques de fragmento pequenos informações de cabeçalho dividida em vários pacotes informações de cabeçalho dividida em vários pacotes
pequenospequenos rejeitar ou descartar todos os fragmentos rejeitar ou descartar todos os fragmentos
subsequentessubsequentes
Firewalls – Pacotes de Filtros Firewalls – Pacotes de Filtros com Estadocom Estado
filtros de pacotes tradicionais não analisam filtros de pacotes tradicionais não analisam contexto da camada superiorcontexto da camada superior
Pacotes de Filtros com Estado (stateful packet Pacotes de Filtros com Estado (stateful packet filters) aborda essa necessidadefilters) aborda essa necessidade
examinar cada pacote IPexaminar cada pacote IP acompanha sessões de cliente-servidoracompanha sessões de cliente-servidor verificar e valida cada pacote de IPverificar e valida cada pacote de IP
são capazes de detectar falsos pacotes são capazes de detectar falsos pacotes enviados fora do contexto.enviados fora do contexto.
Firewalls – Nível de Aplicação Firewalls – Nível de Aplicação Gateway (ou Proxy)Gateway (ou Proxy)
têm aplicação específica gateway / proxytêm aplicação específica gateway / proxy tendo pleno acesso ao protocolotendo pleno acesso ao protocolo
usuário solicita serviço de proxyusuário solicita serviço de proxy proxy valida pedidoproxy valida pedido retornando o resultado para o usuárioretornando o resultado para o usuário autorizando login / autenticação de tráfego em nível autorizando login / autenticação de tráfego em nível
aplicaçãoaplicação necessita proxy separado para cada serviçonecessita proxy separado para cada serviço
alguns serviços comuns suportam proxyalguns serviços comuns suportam proxy outros são mais problemáticasoutros são mais problemáticas
Bastion HostBastion Host Sistema de host altamente seguroSistema de host altamente seguro executa circuito / aplicação em nível gatewaysexecuta circuito / aplicação em nível gateways ou presta serviços acessíveis externamenteou presta serviços acessíveis externamente garante suporte para:garante suporte para:
hardened O/S, essential services, extra authhardened O/S, essential services, extra auth proxies pequenos, seguro, independente, não-proxies pequenos, seguro, independente, não-
privilegiadoprivilegiado pode servir de suporte para duas ou mais pode servir de suporte para duas ou mais
conexões à redeconexões à rede confiável para aplicar políticas de confiança na confiável para aplicar políticas de confiança na
separação entre conexões de redeseparação entre conexões de rede
Controle de AcessoControle de Acesso dado o usuário o sistema identificadado o usuário o sistema identifica determina o recurso que ele pode acessardetermina o recurso que ele pode acessar modelo geral da matriz de acesso:modelo geral da matriz de acesso:
sujeitosujeito – entidade ativa (usuário, aplicação) – entidade ativa (usuário, aplicação) objetoobjeto - - entidade passivaentidade passiva (arquivos ou recursos) (arquivos ou recursos) Direito de acesso – modo em que o objeto é Direito de acesso – modo em que o objeto é
acessado pelo sujeito.acessado pelo sujeito. pode decompor-se :pode decompor-se :
colunas como listas de controlo de acessocolunas como listas de controlo de acesso linhas como capacidade de linhas como capacidade de ticketstickets
Sistemas ConfiáveisSistemas Confiáveis segurança da informação é cada vez mais segurança da informação é cada vez mais
importanteimportante apresentam diferentes graus de sensibilidade na apresentam diferentes graus de sensibilidade na
informaçãoinformação cf militar classificações das informações: confidencial, cf militar classificações das informações: confidencial,
secreto etcsecreto etc sujeitos (pessoas ou programas) têm diferentes sujeitos (pessoas ou programas) têm diferentes
direitos de acesso a objetos (informações)direitos de acesso a objetos (informações) máximo nível de segurança máximo nível de segurança objetos com classificação de nível de segurançaobjetos com classificação de nível de segurança
criar formas de reforçar a confiança nos criar formas de reforçar a confiança nos sistemassistemas
Modelo Bell Modelo Bell LaPadula (BLP)LaPadula (BLP) um dos mais famosos modelos de um dos mais famosos modelos de
segurançasegurança com políticas obrigatórias implementadas com políticas obrigatórias implementadas
no sistemano sistema existem duas políticas fundamentais:existem duas políticas fundamentais: Nenhuma leitura acima (Nenhuma leitura acima (no read upno read up))
Um sujeito só pode ler um objeto que tenha um nível Um sujeito só pode ler um objeto que tenha um nível de segurança inferior ou igual ao seu.de segurança inferior ou igual ao seu.
Nenhuma escrita abaixo (Nenhuma escrita abaixo (no write downno write down)) Um sujeito só pode escrever em um objeto que tenha Um sujeito só pode escrever em um objeto que tenha
um nível de segurança maior ou igual ao seu.um nível de segurança maior ou igual ao seu.
Sistema de AvaliaçãoSistema de Avaliação governos avaliam os sistemas de TIgovernos avaliam os sistemas de TI contra uma série de normas:contra uma série de normas:
TCSEC, IPSEC e TCSEC, IPSEC e CC - CC - Common CriteriaCommon Criteria defini uma série de "níveis" de avaliação, defini uma série de "níveis" de avaliação,
com testes cada vez mais rigorososcom testes cada vez mais rigorosos são publicadas listas de produtos são publicadas listas de produtos
avaliadosavaliados visando a utilização no governovisando a utilização no governo pode ser útil também na indústriapode ser útil também na indústria
CC - CC - Common CriteriaCommon Criteria Iniciativa internacional das agências para Iniciativa internacional das agências para
desenvolver padrões e definir critérios de avaliaçãodesenvolver padrões e definir critérios de avaliação incorporando normas anterioresincorporando normas anteriores
por exemplo: por exemplo: CSEC, ITSEC, CTCPEC (Canadian), CSEC, ITSEC, CTCPEC (Canadian), Federal (US)Federal (US)
define normas paradefine normas para critérios de avaliaçãocritérios de avaliação metodologia para aplicação dos critériosmetodologia para aplicação dos critérios procedimentos administrativos para avaliação, procedimentos administrativos para avaliação,
certificação e regimes de aprovaçãocertificação e regimes de aprovação
CC - CC - Common CriteriaCommon Criteria define conjunto de requisitos de segurançadefine conjunto de requisitos de segurança tem um Alvo de Avaliação (tem um Alvo de Avaliação (Target Of Target Of
Evaluation (TOE))Evaluation (TOE)) requisitos podem estar em duas categoriasrequisitos podem estar em duas categorias
funcionais funcionais garantiagarantia
ambos organizados em classes de ambos organizados em classes de diversas famílias e componentesdiversas famílias e componentes
Requisitos do Common CriteriaRequisitos do Common Criteria Requisitos funcionaisRequisitos funcionais
Auditoria, suporte criptográficos, Auditoria, suporte criptográficos, comunicações, proteção de dados do comunicações, proteção de dados do usuário, identificação e autenticação, usuário, identificação e autenticação, gerenciamento de segurança, gerenciamento de segurança, privacidade,proteção das funções TOE, privacidade,proteção das funções TOE, acesso TOE e canais confiáveisacesso TOE e canais confiáveis
Requisitos de garantiaRequisitos de garantia Gerenciamento de configuração, entrega e Gerenciamento de configuração, entrega e
operação, desenvolvimento, documento de operação, desenvolvimento, documento de orientação, suporte do ciclo de vida, testes… orientação, suporte do ciclo de vida, testes…