Datasikkerhet v r 2003
Download
1 / 41

- PowerPoint PPT Presentation


  • 87 Views
  • Uploaded on

Datasikkerhet vår 2003. Forelesning 12 Brannmurer. Bakgrunn. Informasjonssystemer er i konstant endring fra små lokalnett til tilknytning/ sammenknytning via Internett Sterke sikkerhetsmekanismer er ikke på plass for arbeidsstasjoner og tjenermaskiner. Design-prinsipper.

loader
I am the owner, or an agent authorized to act on behalf of the owner, of the copyrighted work described.
capcha
Download Presentation

PowerPoint Slideshow about '' - aimon


An Image/Link below is provided (as is) to download presentation

Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author.While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server.


- - - - - - - - - - - - - - - - - - - - - - - - - - E N D - - - - - - - - - - - - - - - - - - - - - - - - - -
Presentation Transcript
Datasikkerhet v r 2003

Datasikkerhet vår 2003

Forelesning 12

Brannmurer


Bakgrunn
Bakgrunn

  • Informasjonssystemer er i konstant endring

    • fra små lokalnett til tilknytning/ sammenknytning via Internett

  • Sterke sikkerhetsmekanismer er ikke på plass for arbeidsstasjoner og tjenermaskiner

HiØ Forelesning 12


Design prinsipper
Design-prinsipper

  • Brannmuren plasseres mellom eget nettverk og Internett

  • Mål:

    • Etablere en kontrollert linje;

    • Beskytte eget nettverk mot Internett-baserte angrep;

    • Tilby ett enkelt punkt der trafikken kan blokkeres;

HiØ Forelesning 12


Brannmurer
Brannmurer

  • Mål for design av brannmur

    • All trafikk inn og ut av nett skal passere gjennom brannmuren

    • Kun autorisert trafikk, definert av den lokale sikkerhetspolicy, skal tillates å passere

    • Brannmuren skal selv være immun mot innbrudd

HiØ Forelesning 12


Fire generelle teknikker
Fire generelle teknikker

  • Kontroll med tjenestene.

    • Bestemmer hvilke Internett-tjenester som kan aksesseres - innkommende og utgående.

    • Kan filtrere på basis av IP-adresser og TCP portnummer;

    • Kan omfatte proxy-programvare som mottar og interpreterer ”service requests”

  • Retningskontroll

    • Hvilken vei kan en gitt tjeneste initieres (skal f.eks. ftp kunne initieres innenfra, utenfra eller begge veier)

    • hvilken vei kan data flyte

  • Brukerkontroll

    • Kontrollere aksess basert på hvem brukeren er

    • Kan benyttes begge veier

  • Oppførselskontroll

    • Kontrollere hvordan tjenester brukes - f.eks. filtrere epost meldinger for å hindre ”spamming”

HiØ Forelesning 12


Muligheter
Muligheter

  • Definerer en enkel sluse;

    • som holder uautoriserte brukere ute (og egne brukere og tjenester inne)

    • ett punkt forenkler sikringen/konfigureringen (men kan bli en flaskehals)

  • Ett enkelt sted der trafikk kan overvåkes og logges - implementere revisjon og sikkerhetsalarmer

  • Et hensiktsmessig sted å plassere diverse felles funksjonalitet

    • adressekonvertering far eksternt til internt adresserom

  • Plattform for sikkerhetsfunksjoner

    • IPsec

    • kryptografiske tuneller

    • autentisering av eksterne

FW

HiØ Forelesning 12


Begrensninger
Begrensninger

  • Beskytter ikke mot ”bakdører”

    • modemer eller andre offisiellle eller uoffisielle tilknytninger til eksternt nett

  • Beskytter ikke mot interne trusler

  • Kan ha problemer med å stanse ondsinnet programvare ol. i vedlegg siden man på baksiden av brannmuren kan ha mange forskjellige systemer/operativsystemer

HiØ Forelesning 12


Typer brannmurer
Typer brannmurer

  • Pakkefiltere

  • Portnere på applikasjonsnivå

  • ”Linjebasert” portnere (circuit level)

  • Bastion host

HiØ Forelesning 12


Pakkefilter
Pakkefilter

HiØ Forelesning 12


Pakkefilter funksjonalitet
Pakkefilter funksjonalitet

  • Håndhever et sett regler på mottatte IP pakker

    • videreformidler (forward) eller forkaster (discard)

    • filtrerer begge veier - innkommende og utgående

    • filtrere på felt i IP og transport (f.eks. TCP og UDP) hode

      • avsender IPadresse, mottager IPadresse, protokollfelt (TCP/UDP), portnummer

    • konfigureres som et sett med regler som skal avgjøre om forward eller discard.

    • Hvis ingen regel kommer til anvendelse, benyttes standard, som kan være discard (konservativ, initielt alt er stengt inntil man bevisst åpner) eller forward

HiØ Forelesning 12


Pakkefiltereksempel a
Pakkefiltereksempel A

Innkommende epost tillates, men kun til en portner (GW).

Epost fra Lurum avvises. (Vi har blitt spammet av dem

tidligere). NB for rekkefølgen!

HiØ Forelesning 12


Pakkefiltereksempel b
Pakkefiltereksempel B

Standard (default) policy. Alle regelsett avsluttes implisitt

med denne

HiØ Forelesning 12


Pakkefiltereksempel c
Pakkefiltereksempel C

Avsenderadresse er en maske - vårt adresserom. Avsender fra vårt nett kan sende til alle, på port no 25. Innkommende pakker aksepteres på port 25 hvis ACK flagget er satt.

HiØ Forelesning 12


Pakkefiltereksempel d
Pakkefiltereksempel D

Tillater alle pakker sendt fra oss; Svar på disse fra mottager; Tillat pakker til høye portnummer.

HiØ Forelesning 12


Fordeler og ulemper
Fordeler og ulemper

  • Fordeler

    • Enkle regler

    • transparente for brukere

    • raske

  • Ulemper

    • Vanskelig å sette opp alle reglene komplett og riktig

    • Ingen autentisering

HiØ Forelesning 12


Angrep p pakkefiltere
Angrep på pakkefiltere

  • IP address spoofing

    • Angriper sender pakker fra utsiden med avsenderadresse fra maskin på innsiden

    • Tiltak: Ikke tillate pakker fra utsiden med avsenderadresse fra vårt adresserom

  • Fragmenteringsangrep

    • Angriper sender pakker delt opp i små fragmenter, TCP header deles på flere fragmenter. Forsøker å omgå filterregler som avhenger av TCP header info, og som kanskje kun tester på første fragment

    • Tiltak: Avvise alle TCP pakker som er fragmentert (IP Fragment Offset lik 1

HiØ Forelesning 12


Proxy basert brannmur
Proxy basert brannmur

HiØ Forelesning 12


Funksjonalitet proxy gateway
Funksjonalitet Proxy gateway

  • Fungerer som rele på trafikk på applikasjonsnivå

  • Inneholder proxyer (stedfortreder) for de aktuelle applikasjoner

  • Inneholder gjerne også pakkefilterfunksjonalitet

  • Kan regulere hvilke brukere som får bruke hvilke applikasjoner

  • Transparent: Ingen autentisering av innsidere

  • Ikke-transparent: pålogging på brannmur

  • Sterk autentisering på innkommende anrop

  • Aktivitet kan logges

  • Isolerer intern IP trafikk fra ekstern

  • Privat adresserom på innsiden av brannmur

  • Skjuler eksistensen av interne systemer

  • Kan regulere på applikasjonsspesifikke funksjoner - FTP Put file

  • NB! Hver ny applikasjon krever ny (proxy-)programvare

HiØ Forelesning 12


Eksempel brannmur konfigurasjon
Eksempel brannmur konfigurasjon

HiØ Forelesning 12



Linjebasert brannmur
”Linjebasert” brannmur

HiØ Forelesning 12


Linjebasert circuit level
Linjebasert (circuit-level)

  • Setter opp to forbindelser (en på innsiden og en på utsiden)

  • Kopierer segmenter fra en forbindelse til den andre

  • Ingen bevissthet om applikasjonsfunksjoner

  • Regulerer på bakgrunn av til/fra adresser.

HiØ Forelesning 12


Tre arkitekturer
Tre arkitekturer

  • Screened host brannmurer (single-homed bastion host)

  • Dual homed host

  • Screened subnet

HiØ Forelesning 12


Single homed bastion host
Single homed bastion host

HiØ Forelesning 12


Screened host firewall single homed bastion
Screened host firewallSingle-homed bastion

  • Brannmur består av to systemer

    • Ruter med pakkefilterfunksjonalitet

    • En ”bastion host”

  • Ruter konfigureres slik at

    • Trafikk fra utsiden kun aksepteres hvis mottaker er bastion.

    • Trafikk ut fra innsiden aksepteres kun hvis avsender er bastion.

  • Hvis ruter kompromitteres vil trafikk kunne omgå brannmur

  • Bastion host utfører autentisering og proxy-funksjoner

  • Fordeler

    • Implementerer både pakkefilter og applikasjonsnivåfiltrering

    • En angriper må trenge gjennom to forskjellige systemer

  • Ulempe

    • Hvis ruter kompromitteres vil trafikk kunne omgå brannmur

HiØ Forelesning 12


Dual homed host
Dual homed host

HiØ Forelesning 12


Dual homed host1
Dual homed host

  • All trafikk må gjennom proxy server;

  • Ikke helt avhengig av ruteren med pakkefilter;

HiØ Forelesning 12


Screened subnet
Screened subnet

HiØ Forelesning 12


Screened subnet1
Screened subnet

  • Det er nå tre barrierer på veien inn

    • Ruter; Bastion; Ruter.

  • Innkommende

    • Kun adresse til subnet med Bastion kjent på utsiden

    • Privat nett skjult bak innerste ruter – med eget adresseområde

  • Utgående

    • Kun subnettets adresser kjent for systemer på privat nett;

    • De kan derfor ikke selv sette opp direkte forbindelser til systemer på internett

HiØ Forelesning 12


Brannmur og dmz

Internett

Brannmur og DMZ

DMZ

Internt

nett

DMZ=

Demilitarisert

sone

Web-

server

FTP-

server

HiØ Forelesning 12


Trusted systems
Trusted Systems

  • En måte å forbedre evnen til å forsvare systemer mot inntrengere og ondsinnet programvare.

HiØ Forelesning 12


Data access control
Data Access Control

  • Ved login kan en bruker identifiseres og auteniseres overfor systemet

  • Assosiert med hver bruker kan det finnes en profil som spesifiserer lovlige handlinger og filaksess

  • Operativsystemet kan håndheve regler basert på brukerprofilen.

HiØ Forelesning 12


Aksesskontroll
Aksesskontroll

  • Generelle aksesskontrollmodeller:

    • Aksesskontrollmatriser

    • Aksesskontrollister

    • Adgangskortlister (capability list)

    • Sikkerhetsmerker

HiØ Forelesning 12


Aksesskontroll1
Aksesskontroll

  • Aksesskontrollmatrise

HiØ Forelesning 12


Aksesskontroll2
Aksesskontroll

  • Aksesskontrollmatrise – grunnleggende elementer

    • Subjekter: “Noe” som kan aksessere objekter.

      • Typisk prosess på vegne av bruker

    • Objekt: Alle ressurser som er underlagt aksesskontroll

      • f.eks. filer, programmer, kanaler

    • Aksessrettighet: Den måten som et objekt brukes av et subjekt

      • f.eks. Lese, skrive, eksekvere

HiØ Forelesning 12


Aksesskontroll3
Aksesskontroll

  • Aksesskontrolliste: Matrisens kolonner

    • Til hvert objekt finnes en liste over vilke subjekter som har rettigheter og vilke disse rettigheter er

  • Adgangskort - Matrisens rader

    • Hvert subjekt har adgangskort som inneholder spesifikasjoner av vilke objekter subjektet har rettigheter og og vilke rettigheter dette er

HiØ Forelesning 12


Trusted systems konseptet
Trusted Systems - Konseptet

  • Beskyttelse av data og andre ressurser på basis av sikkerhetsnivåer (f.eks. militære)

  • Brukere kan gis klarering til visse kategorier av data

  • Flernivå sikkerhet

    • Definisjon av flere nivåer av data

  • Et flernivåsikkert system må håndheve:

    • No read up (ikke lese ovenfor). Et subjekt kan kun lese objekter med lavere eller samme sikkerhetsnivå.

    • No write down (Ikke skrive nedover): Et subjekt kan kun skrive til et objekt på samme eller høyere sikkerhetsnivå.

HiØ Forelesning 12


Trusted systems konseptet1
Trusted Systems - Konseptet

HiØ Forelesning 12


Trusted systems reference monitor
Trusted Systems – Reference monitor

  • Refernce monitor

    • Er kontrollerende element i maskinvare og operativsystem som regulerer aksess til objekter på bakgrunn av sikkerhetsparametre

    • Har aksess til en fil – sikkerhetskjernens database

    • Håndhever sikkerhetsreglene (policyen - no read up, no write down)

  • Egenskaper ved “Reference Monitor”

    • Fullstendig “formidling” (mediation);

      • Policy/regler håndheves for hver aksess

    • Isolering:

      • Monitor og database beskyttet mot uautorisert modifikasjon

    • Verifiserbar:

      • Monitorens korrekthet må kunne bevises (matematisk)

  • Et system som tilfredsstiller disse krav er “Trusted”

HiØ Forelesning 12