Vybudujte si svůj vlastní internetovský ochranný val 9.5.1998 Vybudujte si svůj vlastní internetovský ochranný val Dr. Ing. Pavel Šmrha Západočeská univerzita v Plzni © 9.5.1998 (c) Pavel Šmrha

Filozofie tvorby ochranných valů Vybudujte si svůj vlastní internetovský ochranný val Filozofie tvorby ochranných valů 9.5.1998 Minimalizace míst napadnutelných zvenčí Filtrace paketů vycházející ze známé topologie Princip demilitarizované zóny (DMZ): Subsíť dostupná z obou logicky oddělených světů: jak z Inernetu, tak i z chráněného intranetu Obvykle je z Internetu přímo dostupný pouze jediný bezpečně nakonfigurovaný počítač (bastion host) Strategie: Vše, co není explicitně povoleno, je zakázáno 9.5.1998 (c) Pavel Šmrha (c) Pavel Šmrha

Základní typy ochranných valů Vybudujte si svůj vlastní internetovský ochranný val Základní typy ochranných valů 9.5.1998 Paketové filtry (screening routers - packet fiters) Filtrace podle zdrojové/cílové IP adresy, protokolu, služby/portu pro zpřístupnění vybraných služeb/počítačů DMZ nebo intranetu Translace adres (NAT - Network Address Translation) Automatické „přepisování“ IP adres při směrování (skryté adresy) Proxy servery Převádění paketů na úrovni aplikační vrstvy (změna IP adresy) Virtuální spojení = dvě spojení (intranet-proxy-Internet) Protokolově závislé (Telnet, FTP, HTTP, SMTP, POP3, ...) Okruhově orientované brány/převaděče Proxy server realizuje předkonfigurované spojení za klienta Aplikační brány/převaděče Extenzivní analýza paketů podle typu aplikačního protokolu Vyšší bezpečnost (přístupové seznamy, autentizace, analýza, ...) Technika stavové inspekce Bitová komparace částí paketů podle „důvěryhodného“ vzoru 9.5.1998 (c) Pavel Šmrha (c) Pavel Šmrha

Topologie ochranného valu Vybudujte si svůj vlastní internetovský ochranný val Topologie ochranného valu 9.5.1998 9.5.1998 (c) Pavel Šmrha (c) Pavel Šmrha

Vstupního filtr routeru intra-gw Vybudujte si svůj vlastní internetovský ochranný val Vstupního filtr routeru intra-gw 9.5.1998 9.5.1998 (c) Pavel Šmrha (c) Pavel Šmrha

Typická konfigurace s DMZ Vybudujte si svůj vlastní internetovský ochranný val Typická konfigurace s DMZ 9.5.1998 9.5.1998 (c) Pavel Šmrha (c) Pavel Šmrha

Typická konfigurace bez DMZ Vybudujte si svůj vlastní internetovský ochranný val Typická konfigurace bez DMZ 9.5.1998 9.5.1998 (c) Pavel Šmrha (c) Pavel Šmrha

Volně dostupný software Vybudujte si svůj vlastní internetovský ochranný val Volně dostupný software 9.5.1998 „Secured“ Linux v2.0.x kernel: Speciálně vygenerované (bezpečné) jádro IP filtrace paketů na úrovní jádra („anti IP spoofing“) TIS Firewall Toolkit v1.3 (modifikovaný FWTK): Proxy servery (volitelně transparentní) Přístupové seznamy (ACL), autentizace uřivatelů, ... Aplikační převaděče TCP: SMTP e-mail, Telnet, rlogin, FTP, HTTP, Gopher, SSL Okruhový převaděč TCP: Generický TCP převaděč (NNTP, POP3, SSH, ...) NEC Socks v5: Proxy server (protokoly Socks 4/5) Squid v1.1.x Caching proxy server: WWW/HTTP, Gopher, FTP, SSL 9.5.1998 (c) Pavel Šmrha (c) Pavel Šmrha

Konfigurace základních služeb Vybudujte si svůj vlastní internetovský ochranný val Konfigurace základních služeb 9.5.1998 9.5.1998 (c) Pavel Šmrha (c) Pavel Šmrha

Vlastnosti navrženého řešení Vybudujte si svůj vlastní internetovský ochranný val Vlastnosti navrženého řešení 9.5.1998 Optimální kombinace filtrace a proxy serverů Skrytý IP adresní i jmenný prostor intranetu Velký počet použitelných IP adres (RFC 1918) Duální konfigurace DNS (Internet vs. skrytý intranet) Autentizace: ACL, otevřené heslo, MD5, S/Key... Transparentní přístup: proxy cache (WWW, Gopher, FTP, SSL) Systém automatického generování statistik (reports) Vyhodnocování alarmů v reálném čase Automatické vyhodnocování podezřelých aktivit Generování automatických akcí (echo, beep, exec, pipe, mail) 9.5.1998 (c) Pavel Šmrha (c) Pavel Šmrha

Konfigurace duálního DNS Vybudujte si svůj vlastní internetovský ochranný val Konfigurace duálního DNS 9.5.1998 9.5.1998 (c) Pavel Šmrha (c) Pavel Šmrha

Možnosti dalšího rozšíření Vybudujte si svůj vlastní internetovský ochranný val Možnosti dalšího rozšíření 9.5.1998 Vzdálená administrace kryptovaným kanálem Secure shell (ssh): RSA, IDEA, 3DES, ... Secure Sockets Layer (SSL): https (RSA, RC4, ...) Automatické vyhodnocování stavu: Athena-inetd: zákaz určitého typu služby (při ohrožení) Kontrola běhu + autorestart sledovaných démonů UDP převaděč (UDPrelay): NTP, SNMP, ... NAT (Network Address Translation): IP masquerading (automatické „přepisování“ IP adres) Transparentní přístup klientů ze skrytého IP adresního prostoru intranetu do Internetu Synchronizace času (NTP3 server) 9.5.1998 (c) Pavel Šmrha (c) Pavel Šmrha

Komplexní bezpečné řešení Vybudujte si svůj vlastní internetovský ochranný val Komplexní bezpečné řešení 9.5.1998 Transparentní přístup klientů z intranetu do Internetu (omezení přístupu pomocí ACL: squid proxy cache, NAT - IP masquerading, „socksifikovaný“ klient) Transparentní přístup klientů z Internetu k bezpečným službám určitých serverů v intranetu (podle ACL: TIS FWTK pro TCP nebo UDPrelay pro UDP) Vzdálená administrace pomocí kryptovaného kanálu (Secure shell, SSL) 9.5.1998 (c) Pavel Šmrha (c) Pavel Šmrha

Děkuji za pozornost a Váš čas Vybudujte si svůj vlastní internetovský ochranný val Děkuji za pozornost a Váš čas 9.5.1998 Dr. Ing. Pavel Šmrha Síťový expert Centrum informatizace a vzdělávání Západočeská univerzita Univerzitní 8 306 14 Plzeň e-mail: smrha@zcu.cz Tel. (019) 7222424 / 215 Fax (019) 7222435 9.5.1998 (c) Pavel Šmrha (c) Pavel Šmrha