Download
1 / 17
170 likes | 300 Views
Tûzfalak. 04.28. Mi az a tûzfal?. Nehéz kérdés, vagy inkább könnyû?! „Csodaszer, kint tartja a virusokat, meg a csúnya-gonosz hackereket!” „Hálózati határvédelmi eszköz, ami a biztonságtechnikai szabályzat hálózati forgalomra vonatkozó szabályait betartatja.”
E N D
Tûzfalak 04.28.
Mi az a tûzfal? • Nehéz kérdés, vagy inkább könnyû?! • „Csodaszer, kint tartja a virusokat, meg a csúnya-gonosz hackereket!” • „Hálózati határvédelmi eszköz, ami a biztonságtechnikai szabályzat hálózati forgalomra vonatkozó szabályait betartatja.” • Értsd: valamilyen módon szûri a hálózati forgalmat • A kérdés általában csak az, hogy ezt milyen módon teszi (flame-war)
Vírus-keresõk újra • A legtõbb vírus/trójai/spyware már nem diskeken terjed, hanem a hálózaton keresztül • Ha sikerülne megfogni a veszélyes tartalmat a hálózaton, az jó lenne... • Worm-ok miatt a legtõbb kliens gép az interneten ki van téve valamilyen támadásnak • Egy alap winXP az interneten csak pár percet él túl • Megoldás: • Hálózati kapcsolatok ellenõrzése a kliens gépeken
Personal-tûzfalak • Ez is tûzfal, még ha a „komoly-tûzfalasok” le is nézik... • Egy gép, általában kliens védelmét látják el • Ma többnyire integrálva vannak valamilyen vírus-keresõ megoldással • Nem csupán a hálózati forgalmat ellenõrzik! • Alap-elv: • Kivülrõl -> befelé mindent tilos • Belülrõl -> kifelé van pár dlog engedélyezve
Personal-tûzfalak mûködése • Csomagokat általában kapcsolatonként kezelik, szûrik (tiltás, engedélyezés) • Kimenõ kapcsolatokat programokhoz, és ezen keresztül felhasználókhoz kötik. • Leginkább beépített policy-kat használnak, és automatikusan tanulnak • Kimenõ kacsolat kezelésére rákérdeznek a felhasználónál...
Hálozati tûzfalak • Cél: hálózati határpontokon a forgalom szûrése • Markáns példa: Internet – Intranet • „Hálózati hozzáférés-vezérlés” • Hasonlóan mint egy „szerveren” a fájl-elérés • Probléma: hálózati szinten nehéz definiálni a hozzáférés tipusokat • Pl: egy web oldal lekérése az minek minõsül? • Cél: covert-channel-el minimalizálása • Mindent tilos, ami explicit nem engedélyezett! • (Minimal privilage) • Hardware – software megoldások
Tûzfal transzparencia • Egy tûzfal transzparens, ha az engedélyezett szolgáltatások tekintetében észrevehetetlen • A kliens oldalon nem igényel semmilyen speciális beállítást, programot • A kliens ilyenkor közvetlenül a szerverhez kapcsolódik • Nem-transzparens eset, pl: böngészõben a proxy • Szerver oldalon a kapcsolatot a szerver a kliens felől érzékeli, nem a tûzfaltól
Tûzfalak fejlõdése • Meglévõ eszközök kibõvítése • Router -> csomagszürõk • Bastion-host -> proxy • IDS+csomagszürõ -> IPS • A fõ cél általában a kényelem és az ár volt...
Tûzfalak fejlõdése SOCKS PROXY IDS/IPS
Tûzfalak szabályrendszere • Szabály rendszer legtõbbször valamilyen rule-settel van reprezentálva • ACL = Access Control List: • FROM 0.0.0.0/0 TO 0.0.0.0/0 PORT 80 ACCEPT • FROM 1.2.3.4 TO 5.6.7.8 PORT 22 ACCEPT • DENY
L7 ellenörzés • Mai támadások általában az alkalmazás-szinten vannak, cél: ezt a szintet ellenörizni! • Probléma: csomgszürõ rendszerek inkább csak a hálózati réteggel foglalkoznak • IDS = Intrusion Detection System • Ismert minták alapján behatolás, támadás érzékelése, és riasztás • IPS = Intrusion Prevention System • IDS ami nem csak riaszt • Mindent szabad, ami nincs tiltva!
IDS - IPS • Vannak host és hálózati szintû IDS-ek • Hálózati IDS figyeli a hálózati forgalmat (sniff) • Host IDS a gép egyes mûködési paramétereit ellenörzi (pl: syscal, napló stb.) • Preventiv – Detectiv hozzá-állás • Preventiv nem 100%-os, ezért kell a detectiv • Javítás Korektiv módszerekkel • Mi van a nem ismert támadásokkal? (0-day) • Vírus-keresõkhöz hasonló heurisztikák • Agregált, és statisztikai ingadozások figyelése
UTM • Unified Threat Management • Egységes fenyegetés kezelés • Célja: a különbözõ veszély-források egységes kezelése • Általában probléma a túl nagy mennyiségû információ, és azok kezelése • Általában integrált vírus-keresõ, tûzfal, IDS/IPS rendszer (kávét sajnos nem fõz!) • Tipikus felhasználás: SMB piac • Ma már elterjedt enterprise környezetben is • Általános incidens menedzsment, even-corelation, risk mgmt stb.
Speciális tûzfalak • Bizonyos „tûzfalak” speciális protokolok kezelésére vannak tervezve: gateway-ek • Nem a teljes forgalommal foglalkoznak, hanem csak egy jól meghatározott részével. • Virus-wall: virus/spam szûrés a hálózaton • Http, smtp, pop3 stb protokolokban • WEB-tûzfalak: csak a webes forgalom ellenõrzése, tartalom szûrés • XML-tûzfalak, sok kommunikáció használ XML alapu ûzeneteket: SOAP, XML-RPC (middleware)
Pár tûzfal „termék” • Proxy • TIS FWTK, Gauntlet, Cyberguard, Zorp, Rex, Sidewinder G2, ALF • Csomagszürõ alap • CheckPoint/Nokia FW-1, Juniper Netscreen, Cisco PIX, iptables/ipchains/pf/ipf, Astaro Security Linux, • SonicWall • Socks + egyéb • MS ISA 2000
Források • https://listserv.icsalabs.com/mailman/listinfo/firewall-wizards • http://www.icsalabs.com/icsa/main.php?pid=gddfg • http://www.balabi.hut/common-dl/wps/WP_theevolutionofthefirewall_060626_hu.pdf
Szorgalmi feladat • Állítsd össze egy átlagos internet felhasználáshoz szükséges tűzfal szabályzatát! • Topológia: • Kliens – Tűzfal – Internet • „Mit állítanál be az adsl-router-en?” • Milyen tűzfal-tipust választanál?
