Úvod Bezpečnost v počítačových sítích Technologie Ethernetu

Transkript

1 České vysoké učení technické v Praze FAKULTA INFORMAČNÍCH TECHNOLOGIÍ katedra počítačových systémů Úvod Bezpečnost v počítačových sítích Technologie Ethernetu Jiří Smítka jiri.smitka@fit.cvut.cz /17

2 Úvod do předmětu Jiří Smítka Konzultace: Po 14:15 T9:303 (nebo i jinak pošlete ) Veškeré informace naleznete na webu: /17

3 Náplň přednášek Úvod, technologie Ethernetu, VLAN, autorizace Bezpečnostní architektura počítačových sítí - firewall, VPN Směrovací protokoly autonomních systémů - RIP, OSPF Směrovací mechanismy páteří - EGP, BGP Jmenné služby, adresace - DNS, DHCP Jmenné služby LDAP Pošta Správa síťových prvků protokoly Správa síťových prvků aplikace Bezpečné připojení klientů a bezpečný přenos dat - RADIUS, ssh, ssl, IPsec Datové toky v počítačových sítích - QoS, mechanismy řízení toku Sledování dostupnosti služeb - SLA (nebo něco úplně jiného) Přechod z IPv4 na IPv /17

4 Náplň cvičení Tématicky odpovídá přednáškám Celkem 8 laboratorních úloh (5 bodů) + 1 semestrální úloha (20 bodů) Prerekvizita: BI-PSI /17

5 Požadavky Cvičení: odevzdat semestrální práci absolvovat alespoň 3 laboratorní úlohy Zkouška: 40 bodů test nepovinná ústní část /17

6 Síťová správa fault management configuration management accounting management performance management security management reaktivní a proaktivní správa správa počítačových sítí konfigurace síťových prvků konfigurace služeb /17

7 Normy IEEE v oblasti sítí rozhraní pro vyšší vrstvy LLC Ethernet, CSMA/CD Token Bus Token Ring bezdrátové sítě LAN 802.3a 10Base i 10BaseT 802.3j 10BaseFX 802.3u 100BaseT 802.3ab 1000BaseT 802.3z 1000BaseX 802.3ae 10Gbit Ethernet /17

8 IEEE a úvod a architektura b správa a řízení d bridging e zavádění systému f definice a procedury pro správu g propojení vzdálených sítí přes 802.1d h propojení sítí s rámci Ethernet II p priority q VLAN x řízení přístupu k portům /17

9 Síťová správa typy VLAN podle portů na přepínači, podle MAC, podle protokolu (adresy vyšší vrstvy), podle skupinového vysílání, podle autentizace (802.1x), statické x dynamické tagované x netagované protokoly IEEE Cisco IEEE 802.1q VTP (VLAN Trunking Protocol) Cisco GVRP (GARP VLAN Registration Protocol) /17

10 Řízení přístupu k portům (1) IEEE 802.1x EAP (Extensible Authentication Protocol) navazuje na PPP transportní mechanismus pro ověřovací metody především bezdrátové spoje možnost spolupráce s technologií VLAN supplicant koncový uzel authenticator uzel požadující službu autorizace authentication server ověřuje koncový uzel /17

11 Řízení přístupu k portům (2) PAE (Port Access Entity) = síťový port podporující 802.1x fyzický port je rozdělen na 2 logické části autentizace, služba logické porty řízené (controlled) pracovní stav, po úspěšné autorizaci neřízené (uncontrolled) omezená komunikace, výměna autorizačních informací /17

12 Ověřovací metody EAP-MD5 EAP-OTP EAP-TLS (certifikáty) EAP-LEAP (CISCO, není odolné, nepoužívá se) EAP-TTLS (certifikát pouze u serveru, klient se hlásí heslem) EAP-PEAP (Microsoft, podobné TTLS) vytvoření sdíleného tajemství (WEP heslo) přiřazení do VLAN předání informace na authenticator /17

13 Bezpečnostní architektura počítačových sítí /17

14 Cíle ochrany data utajení integrita dostupnost zdroje zneužití výkonu útok na jiné systémy uložení závadného obsahu pověst poškození dobrého jména /17

15 Typy útoků průnik (intrusion) nedostupnost služby (denial of service) zcizení informací (information theft) vnější útok z vnější sítě vnitřní útok z lokální sítě vyzrazení interních informací provozování nekorektních činností /17

16 Řešení - firewall Firewall je síťové zařízení, které slouží k řízení a zabezpečování síťového provozu mezi sítěmi s různou úrovní důvěryhodnosti a/nebo zabezpečení. Nutno rozlišovat: Paketové filtry Aplikační brány Stavové paketové filtry Stavové paketové filtry s kontrolou protokolů a IDS Bezpečnostní politika firewallu /17

17 Dotazy? /17