Bezpečnost počítačových sítí

Transkript

1 Bezpečnost počítačových sítí jak se bezpečně připojit k internetu Způsoby útoků: Pasivní odposlech Odposlechnutí veškeré komunikace, která je dostupná. Síťová karta se přepne do tzv. promiskuitního režimu, kdy přijímá veškeré pakety i ty které jí vůbec nenáleží. Pokud nepoužíváme šifrovanou komunikaci při autentizaci (zalogování) lze snadno odposlechnout uživ. jméno a heslo. Praktické cvičení program Ethereal. Vkládání falešných informací Útočník se paralelně připojí k vysílacímu kanálu a vkládá do něj vlastní datové bloky. Je to např. vysílání poštovních zpráv pod falešnou poštovní adresou. Zde dochází k narušení integrity dat. Útok pomocí elektronické pošty Pomocí u nám může někdo spolu s dopisem poslat i soubory dat a spustitelné programy, které nám pak mohou zničit data na disku. Je totiž zcela jednoduchou záležitostí zjistit si něčí adresu. Fyzické přerušení komunikační cesty Zahlcení - přetížení komunikačního kanálu vytrvalým vysíláním nesmyslných zpráv. Provádí se posíláním nesmyslných požadavků na serveru. V praxi se často používá přes ICMP protokol, který nazýváme DOS útok. Změna komunikační trasy - změna routovacích informací komunikačního subsystému. Přerušení komunikace Tímto útokem jsou nejvíce ohroženy především ty komunikační sítě, které nemají vyřešen náhradní způsob komunikace pomocí alternativních komunikačních kanálů. Zdržení a zpoždění informace Zadržení a zpoždění informace během přenosu je nebezpečné především pro systémy, které pracují v reálném čase.

2 Zabezpečení na hardwarové úrovni Ochrana komunikačních portů - Aktivní prvek sítě má ve své databázi uložena čísla komunikačních portů - vypnutí portu, které v současné době nejsou potřebné pro komunikaci Zabezpečit kabelových spojů - musí být zajištěno, aby se kdokoli neoprávněný mohl neoprávněně připojit. - kabely se proto ukládají do zdi trubek lišt apod. Řízení směru toku dat - použití vhodných aktivních síťových prvků mostů, ů, switchů - nastavíme komunikační trasy pro chráněná data, povolíme trasy důvěryhodné a zakážeme nebezpečné - filtrace na základě adresy příjemce, odesílatele a typu paketu Zabezpečení serveru - server by měl být umístěn v samostatné uzamykatelné a klimatizované místnosti - zabezpečení přihlašování, zakázat jednoduchá hesla, pravidelná změna hesel - přihlašování lze též řešit hardwarovými klíči, otisky prstů, skanování sítnice apod. Bezpečné připojení počítačových sítí Připojení na Internet pomocí galvanicky oddělené sítě Lokální síť Internet část sítě komunikující s Internetem oddělená chráněná síť Obecné vlastnosti a výhody firewallu: Zabraňuje neautorizovanému přístupu uživatelů z vnější sítě ke zdrojům lokální sítě. Umožňuje obousměrnou komunikaci oprávněných uživatelů vnější i lokální sítě, spolu s nastavením přístupových omezení restrikcí. Zakrytí lokální sítě. Firewall může pracovat tak, aby byl z vnější sítě viditelný pouze firewall a lokální počítačová síť, která je umístěná za ním, viditelná není. Útočník tedy nemůže namapovat její topologie a síťové adresy stanic.

3 Překlad privátních adres (NAT, Network Address Translation). Aby zamezil odposlech síťových adres vnitřní sítě, provádí firewall jejich překlad na oficiální adresy, které se používají pro komunikaci s vnější sítí. Poskytuje i prostředky pro identifikaci a autentizaci uživatelů, přistupujících z vnější sítě. Kontroluje přístup k síťovým službám. Protože přes firewall procházejí všechna spojení mezi lokální a globální sítí, může kontrolovat data, která tímto bodem procházejí a příslušně reagovat. Nedostatky firewallů Firewall nechrání proti vnitřním útokům (podle statistik dochází k těmto ). Nezabrání, aby se vytvořila obchvatná vedlejší komunikační cesta ( zadní vrátka ). Neodpovědný uživatel může buď z neznalosti nebo záměrně vytvořit alternativní komunikační cestu do vnější sítě. Zpravidla ji realizuje použitím modemového spojení, nebo vytvořením tunelu v legální službě. Tato cesta je mimo možnost kontroly firewallu a je tedy považována za zcela nechráněnou! Neumožňuje ochranu před neznámými hrozbami. Proto se musí klást důraz na průběžné aktualizace instalací programového vybavení. Nechrání před odposlechem, modifikací nebo zničením dat při přenosu po síti. Nedovolené obejití firewallu pomocí modemového spojení Internet Modem Firewall Lokální síť

4 Filtrování paketů je jednoduchá metoda, kterou lze zabránit průchodu nevhodných paketů sítí. Paketové filtry jsou často implementovány s pomocí ů, které podle předem definovaných pravidel rozhodnou, zdali je přípustné příslušný paket do sítě pustit, či nikoliv. Filtruje se na základě zdrojové, cílové adresy a portu. Tyto se vyznačují vysokou přenosovou rychlostí, která je však vykoupena nízkou úrovní zabezpečení. Výhody filtrování paketů Je to nejjednodušší, nejlacinější a tím nejvhodnější řešení pro malé informační systémy, které nemají vysoké nároky na bezpečnost. Vysoká přenosová rychlost, dosažená na úkor bezpečnosti. Nevýhody filtrace Filtr většinou povoluje veškerý přístup, který není implicitně zakázán! Průnik do sítě je objeven až po narušení a to jen tehdy, pokud filtr zapisuje události. Aplikační brána Protože filtrování paketů neposkytuje dostatečné bezpečnostní záruky, řeší se bezpečné oddělení sítí pomocí tzv. aplikační brány. Aplikační brány jsou podstatně bezpečnější než paketové filtry, ale na druhé straně jsou pomalejší a omezují činnost uživatele na úzce vymezený okruh služeb, které podporují. Pro každou službu totiž musí existovat aplikační brána - proxy (zástupce), která je postavena mezi chráněnou a nedůvěryhodnou síť a kontroluje všechny pakety, které patří dané službě. Navíc protože proxies pracují v aplikační vrstvě, nijak nechrání před případným útokem samotný počítač, ne kterém jsou zpuštěny. Aplikační brána pracuje s bezpečnou filozofií co není povoleno, je zakázáno a proto se používá u všech informačních systémů, které požadují vysokou bezpečnostní úroveň oddělovací technologie. Princip činnosti aplikační brány je velice jednoduchý. Všechny uživatelské programy komunikují s aplikační branou, namísto aby komunikovaly přímo se skutečným počítačem, který danou službu poskytuje. S tímto počítačem komunikuje až bezpečnostní brána, která veškerou komunikaci kontroluje, řídí a zabraňuje, aby se vykonaly nepovolené operace (např. u protokolu FTP může filtrovat příkaz put, který by mohl posloužit útočníkovi k vložení

5 spustitelného programu, třeba viru, na cílový počítač). Významnou výhodou je také možnost kontroly obsahu přenášené informace, např. antivirová kontrola a kontrola obsahu appletů. [8] Výhody aplikační brány Povoluje je služby, pro které existuje proxy. Vše ostatní je zakázáno. Aplikační brána analyzuje a filtruje obsah paketu. Není problém vést rozsáhlejší auditní záznamy a provádět autentizaci připojení. Umožňuje skrýt jména interních systémů. Při spojení aplikační brány a s em stačí na u uplatnit jednodušší filtrovací pravidla, aby se dosáhlo postačující bezpečnosti. Nedostatky aplikační brány Každá služba vyžaduje samostatnou aplikační bránu, protože používá jiný protokol. Přístup se realizuje ve dvou krocích (externí síť-proxy, proxy-klient), které znamenají zpomalení přenosu dat. Kombinace aplikační brány a paketového filtru Packet filtering firewall Označení packet filtering firewall se používá pro inteligentnější směrovač, který kromě standardních směrovacích tabulek umožňuje také implementaci směrovacích filtrů. Oproti ostatním druhům firewallů se jedná o levnou záležitost, ale bezpečnost je velice závislá na funkčnosti konkrétního směrovače. Obrázek 5 Packet filtering firewall Internet

6 Dual-Homed Gateway Firewall Tato implementace firewallu je vytvořena pomocí jednoduchého filtrujícího u (Screening Router) a aplikační brány. Screening je zde základním bezpečnostním prvkem. Je nakonfigurován tak, aby dovolil spojení z vnější sítě pouze na aplikační bránu, která provádí autentizaci a autorizaci veškeré přicházející komunikace. Všechna další spojení u na ostatní počítače vnitřní sítě jsou zakázána. Spojení s lokální sítí realizuje pouze aplikační brána. Obrázek 6 Schéma Dual-Homed Gateway Firewall plná komunikace Internet screening aplikační brána WWW server Screened Subnet Firewall Filozofií tohoto řešení je vytvořit mezisítě (proto je v názvu slovo Subnet ) mezi vnější a interní chráněnou sítí. Tento subnet je připojen k vnější i k lokální síti přes Screening y. Aplikační brána je umístěna uvnitř tohoto screened subnetu, kterému se také říká demilitarizovaná zóna. Aplikační brána kontroluje veškerá spojení, která přicházejí přes tuto zónu. Screening, který spojuje demilitarizovanou zónu s vnější sítí, směřuje veškerou komunikaci (pakety) pouze na aplikační bránu. Router spojující zónu s interní sítí směřuje pakety pouze mezi aplikační bránu a vnitřní síť. Tento tedy chrání jak proti vnější síti, tak i proti demilitarizované zóně. Veškerá komunikace je tedy kontrolována aplikační branou. Toto propojení aktivních prvků představuje nejbezpečnější formu realizace bezpečného síťového rozhraní. Obrázek 7 Schéma Screened Subnet Firewall

7 Demilitarizovaná zóna aplikační brána Internet screening WWW server screening Sreened Host Firewall Je to obdoba Dual-Homed firewallu s tím rozdílem že aplikační brána nemusí zachycovat veškerou komunikaci mezi chráněnou a veřejnou sítí. Důvěrné služby jsou totiž screening em směrovány přímo do lokální sítě, protože jim systém důvěřuje.[9, s ] Obrázek 8 Schéma Screened Host Firewall Veškerá komunikace Důvěryhodné služby aplikační brána Internet screening WWW server