Blant de mest omtalte Internett tilpassningene i dag er brannmurer og virtuelle private nett (VPN).

Transkript

1 Innledning Vi har valgt brannmurer som tema og grunnen til dette er de stadig høyere krav til sikkerhet. Begrepet datasikkerhet har endret innhold etter at maskiner ble knyttet sammen i nett. Ettersom vi utfører stadig nye oppgaver ved bruk av Internett kommer de virkelig alvorlige risikomomentene klarere til syne. Blant de mest omtalte Internett tilpassningene i dag er brannmurer og virtuelle private nett (VPN). Vi har valgt å gi en generell beskrivelse om brannmurer, men vi vil under avsnittene Design og implementasjon og Konklusjon ta utgangspunkt i det fiktive nettverket vårt. Sikkerhet All vurdering av sikkerhet begynner med å kartlegge hva som er sårbare ledd. Man bør også skaffe seg et bilde av de teoretiske mulige angrepene. For å ha bra sikkerhet i et system gjelder det først å definere hva som er bra sikkerhet. Sikkerhet innebærer i mange tilfeller også at det blir mindre frihet for brukeren. Et grunnleggende prinsipp er at brukere ikke skal ha andre/flere rettigheter enn de behøver. Mange tror at datasikkerhet kun handler om å holde sensitiv og privat informasjon unna uautoriserte brukere. Dette er selvsagt meget viktig, men du ønsker også at dataene dine ikke skal kunne endres av uvedkommende. Brannmur Tilgang til Internett er for de fleste en uskyldig tjeneste, men uheldigvis er det noen som bruker Internett på en ulovlig måte. Disse slemme brukerne kan være ute etter å snoke i informasjon, og ødelegge eller endre viktige data. Brannmurerens hensikt er å tilby en mekanisme for å holde de slemme ute fra ditt lokalnett, men også gi de snille mulighet til å kommunisere med omverdenen. Sikkerhetspolicy som bedriften er enige om skal regulerer hvordan data skal beskyttes, og en brannmur kan gi ledelsen den trygghet den trenger for å tillate tilkobling mot Internett. Brannmuren kan også fungere som bedriftens ansikt mot Internett. Informasjon som den ønsker skal være tilgjengelig for offentligheten kan lagres her. Den første brannmuren var en ikke-rutbar Unix tjener som var koblet til to forskjellige nettverk. Et nettverkskort var koblet til Internett og det andre til det private LANet. For å koble seg til Internett fra LANet måtte du logge deg på brannmuren (Unix maskinen). Du brukte systemets ressurser til å få tilgang til Internett. 1

2 Hva er en brannmur? En brannmur er en samling systemer som implementerer en sikkerhetspolicy for aksesskontroll mellom to nettverk. Denne sikkerhetspolicyen må være gjennomtenkt og noe bedriften har samlet bestemt seg for. Prinsipielt består brannmuren av to mekanismer: 1. en som blokkerer trafikk 2. en som tillater trafikk. Brannmuren kan enten være installert som et program på en server eller ruter, eller den kan være installert med egen hardware i en egen separat boks. De fleste av dagens brannmurer tar i bruk NAT (Network Address Translation) for å gjennomføre en automatisk adresseoversetting. Det betyr at hele det indre nettverket skjules bak brannmuren, og de på utsiden vil ikke ha mulighet til å finne de indre adressene. Man bør derfor bruke IP-adresser innenfor brannmuren som ikke er Internett-godkjente. IP-adressen til brannmuren blir da den offisielle adressen som utenforstående kan se. Trafikken fra utsiden og inn kan effektiviseres ved at brannmuren har flere Internett-godkjente IP-adresser slik at den skiller (på) disse når trafikken skal sendes videre. NAT kan bli definert statisk, eller den kan settes opp til å dynamisk oversette godkjente adresser til interne IP-adresser. Et eksempel BorderManager fra Novell kan brukes som en tradisjonell brannmur og installeres mellom lokalnettverket og internett. Tilbyr: Pakkefiltrering Proxy tjenester VPN Nat NAT går ut på at den oversetter trafikken fra eksterne IP-adresser til de interne som modemet deler ut. NAT beskytter nettverket ved at det gjemmer det for Internett. En teknikk som gjør at vi kan bruke uoffisielle adresser i et nettverk. Ulike brannmurer Vi kan dele brannmurene opp i tre hovedtyper, pakkefiltre (nettverksnivå brannmurer), proxyer (applikasjonsnivå brannmurer) og SMLI-baserte versjoner. 1. Filtrerende/nettverksnivå brannmur En pakkefiltrerende brannmur betegnes som første generasjon brannmur og slipper kun de pakkene som samsvarer med administrators regler og oppsett gjennom. Denne brannmuren kan til dels begrense de adresser og tjenester som omverden skal ha adgang til inne i nettet, samt begrense brukernes tilgang til verden utenfor. Brannmuren opererer sammen med en ruter, og inspiserer enhver nettverkspakke før den sender den videre til mottaker. Når pakker kommer blir de filtrert ut fra type, avsender adresse, mottakers adresse og portadresse. Ugyldige datapakker får ikke tilgang til det interne nettverket. Denne brannmuren gir ikke passordkontroll. Brukere kan ikke identifisere seg selv. Den eneste identifikasjonen en bruker har er IP-adressen som er på arbeidsstasjonen. Hvis du bruker DHCP kan dette være et problem. En slik brannmur er ofte enkel å implementere, men vanskelig å konfigurere. Spesielt dersom det er mange regler og brukere man skal ta hensyn til. Pakke 2

3 filtrering er som oftest inkludert i TCP/IP-rutere, og en separat brannmur blir derfor overflødig. Denne brannmuren er gjerne svært rask og svært transparente. Brukerne trenger ikke å sette opp regler i applikasjoner for å bruker Internett. Eksempel på nettverks-brannmur: En enkel maskin er kontrollert av en ruter på nettverksnivå, og maskinen er en bastion som er forsvart via et enkelt punkt som forhåpentligvis kan motstå angrep. Eksempel på nettverksnivå-brannmur: I dette tilfellet er det et helt subnett som beskyttes av en brannmur som opererer på nettverksnivå. 2. Proxy Servers/Applikasjonsnivå brannmurer Såkalte proxy servere regnes for å være andre generasjon brannmur og gjemmer data og nettverkstjenere for potensielle angripere. En slik proxy er gjerne plassert mellom nettverksruteren og Internett. Denne serveren tillater ingen trafikk direkte mellom nettverkene og utfører grundig overvåking og logging av trafikken som passerer mellom nettverkene. Det er naturlig å uføre logging og adgangskontroll siden proxy-applikasjoner er programvare som kjøres på brannmuren. En proxy tar imot henvendelser, sjekker om de er godkjent og oppretter deretter en forbindelse. Dette gjør at det aldri er direkte forbindelse mellom avsender og mottaker. Et eksempel på hvordan den fungerer: Hvis du vil ha kontakt med verden utenfor blir du sendt til proxyen først. Proxyen kobler seg til den serveren du har ønsket og returnerer den dataen du var ute etter. Fordi proxyen håndterer all kommunikasjon kan de logge alt brukeren gjør. For http proxies inkluderer dette alle websidene du 3

4 ønsker å se og for FTP proxies alle filer du laster ned. Denne brannmuren er ofte helt transparente. Ulempen er at en proxy er noe tregere enn det pakkefiltrerende alternativet fordi de må rekonstruere IP-pakkene slik at de når frem til riktig mottaker. Eksempel Applikasjon-brannmur: I dette eksemplet er der en applikasjonsnivåbrannmur kalt "dual homed gateway". En "dual homed gateway" er en særlig sikret maskin som kjører proxy-programvare. Den har to nettverksgrensesnitt, en til hvert nettverk, og blokkerer all trafikk som går igjennom den. SOCKS Proxy SOCKS er et generisk proxy-system som kan bli kompilert til klientapplikasjoner som medfører at det kan brukes gjennom brannmurer. De fleste SOCKS servere fungerer bare med TCP forbindelse. Dens fordel er brukervennlighet, men lik den filtrerende brannmuren gir de ikke støtte for bruker autentisering. 3. SMLI (Stateful Multi-Layer Inspection) SMLI er en teknikk som ble utviklet for at brannmurene skulle bli sikrere, enklere og rimeligere å ta i bruk uten å trekke ned ytelsen. SMLI analyserer alle lagene i OSI modellen og bygger på algoritmer som er optimalisert for en stor datagjennomstrømming. Hver pakke blir sjekket og sammenlignet med de faste reglene. Med SMLI kan brannmuren stenge alle TCP-porter og dynamisk åpne porter når forbindelsen krever det. Denne brannmuren må imidlertid kombineres med proxyer for å støtte andre viktige funksjoner som for eksempel autentisering. 4

5 DMZ (demilitarized zone) En DMZ er en tjener eller et lite nettverk som befinner seg i en lomme mellom LANet og det offentlige nettverket. Ofte vil en bedrift ha servere som skal være tilgjengelig fra Internett. For å sikre disse serverne plassere vi dem i en DMZ-forbindelse/sone (direkte forbindelse mellom brannmur og web/mail server). Maskiner på DMZ må ikke inneholde sensitiv og hemmelig informasjon. Viser kobling mellom Internett, brannmur, DMZ sone og servere Hva kan en brannmur ikke beskytte imot? En brannmur er med på å redusere antall mulige sikkerhetshull radikalt, men den kan også gi falsk trygghet. Jo flere tjenester som blir åpnet jo mer sårbart blir nettverket. Brannmuren kan kun beskytte bedriften mot angrep som passerer brannmuren. Den kan ikke beskytte bedriften hvis den lekker data gjennom andre kanaler hvis bedriften har utro tjenere mot tunnelangrep mot trojanske hester mot dårlig skrevne applikasjoner (Feil i programmet kan utnyttes av hackere) mot virus Det finnes virus detekterende brannmurer på markedet men de er ikke sikre nok. Du må derfor ha ekstra beskyttelse i form av antivirusprogram. For å være sikre på at man har tettet alle sikkerhetshull bør man la utenforstående teste sikkerheten og funksjonaliteten til brannmuren. Design og implementasjon Hva er de grunnleggende designbeslutningene i en brannmur? Det er IT-avdelingen som har fått oppgave å sette opp et forslag til design av brannmuren. Det er spesielt 3 spørsmål de må ta stilling til: 1. Hva er bedriftens sikkerhetspolicy vedrørende nettverksaksess og brannmurer? Hva er det vi vil at brannmuren skal gjøre? Skal den utelukke all adgang til systemet, eller er oppgaven å overvåke aksessen til systemet? 2. Hvilket nivå av overvåking, redundans og kontroll ønskes? Når dette er avgjort, må man lage en liste over hvilken trafikk som skal monitoreres, tillates og/eller 5

6 avvises. Man skal tilslutt ende opp med en detaljert liste som beskriver det vi ønsker å implementere. 3. Her kommer kostnadene inn. Man må finne ut innkjøps-, implemetasjonsadministrasjons- og vedlikeholdskostnader til løsningen vi har kommet fram til. Ut i fra disse spørsmålene må vi ta stilling til hvilken brannmur man vil kjøpe. Konklusjon Vi kan konkludere med at flere og flere brannmurer i dag er en blanding av pakkefiltrering og proxy for å gi både optimal sikkerhet og høy funksjonalitet. For å ta utgangspunkt i vårt firma har vi en grafisk avdelig, administrasjon og IT avdeling. De har valgt å bruke en proxy-server som brannmur. Dette fordi denne gir dem den sikkerheten de føler de trenger. Denne serveren vil ligge mellom ruter og Internett. Den trafikken proxy-serveren godtar sendes til webserveren som igjen sender trafikken til svitsjen. Det viktigste man trenger å beskytte LANet mot er uautentifiserte interaktive innlogginger fra utsiden. Siden bedriften ønsker å legge vekt på sikkerhet har de spesifisert kun de tjenestene som de vil tillate. Ved å gjøre det på denne måten har man forenklet arbeidet til bedriften ganske mye. De trenger nå kun å bekymre seg om sikkerhetsproblemer rundt de tillate tjenestene. Vår bedrifts behov er: En offisiell adresse ut. Skjermer LAN ets adresser Tillate trafikk på port 80 (http) Tillate trafikk på port 25 (SMTP) Tillate DHCP Tillate DNS Tillate sftp og ssh (sender brukernavn og passord kryptert) Hvorfor ikke disse tjenestene: Ikke tillate vanlige ping eller kamuflerte ping utenfra. Dette for å unngå å motta ping of death. Ikke ftp (port 21) og telnet. ftp og telnet sender passord og brukernavn ukryptert. 6