תרגול 10 – חומות אש – Firewalls הגנה במערכות מתוכנתות תרגול 10 – חומות אש – Firewalls

הגנה במערכות מתוכנתות - תרגול 10 חומות אש המטרה: הגנה על תקשורת בין רשתות Stateless Packet Filtering Firewalls Stateful Packet Filtering Firewalls (סינון חבילות דינמי) Proxy Servers “Choke point” (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

Stateless Packet Filtering Firewalls מבצע סינון של החבילות על סמך ה-headers מדיניות ההגנה מוגדרת באמצעות טבלת חוקים סטטית IP Address wildcard (132.64.*.*) “any” TCP UDP IPSec,… port number port range “any” “yes” “no” “any” “in” “out” “permit” “deny” Action ACK Destination Port Source Next Protocol Address Direction Rule מתוך ה-IP Header מתוך ה- TCP/UDP Header מתוך TCP (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

Stateless Packet Filtering Firewalls בהגעת חבילה מחפשים את השורה הראשונה המתאימה בסוף הטבלה תמיד נכתוב בסוף הטבלה שורה מהצורה any,any,…,any,deny דגשים בד"כ יש שתי שורות עבור כל כלל עקרון מזעור הזכויות חשיבות השדה ACK איזה צד יכול ליזום session (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

Stateless Packet Filtering Firewalls בהגעת חבילה מחפשים את השורה הראשונה המתאימה בסוף הטבלה תמיד נכתוב בסוף הטבלה שורה מהצורה any,any,…,any,deny דגשים בד"כ יש שתי שורות עבור כל כלל עקרון מזעור הזכויות חשיבות השדה ACK איזה צד יכול ליזום session (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

הגנה במערכות מתוכנתות - תרגול 10 דוגמה – הגנה על NET1 מדיניות ההגנה הנדרשת לכל המחשבים ב-NET1 פרט למחשב a מותר לבצע telnet לכל מחשב באינטרנט. לכל המחשבים באינטרנט מותר לבצע http למחשב מיוחד ב-NET1 ששמו WS. כל היתר אסור. NET1 a WS Internet (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

הגנה במערכות מתוכנתות - תרגול 10 דוגמה – הטבלה המתקבלת Action ACK Destination Port Source Next Protocol Address Direction Rule deny any NET1 in spoof 23 >1023 TCP a out no-a-telnet1 no-a-telnet2 permit telnet1 yes telnet2 80 WS http1 http2 default רשימה מלאה של אפליקציות ומספר הפורטים שהוקצו להן ניתן למצוא ב: http://www.iana.org/assignments/port-numbers (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

FTP – File Transfer Protocol משתמש בשני sessions Command Session – לשליחת פקודות (get, put, ls, ...) Data Session – להעברת קבצים גרסה רגילה – Active Mode Client Server y>1023 x>1023 21 20 port y get a.exe Command Session a.exe Data Session (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

הגנה במערכות מתוכנתות - תרגול 10 עדכון ה-Firewall: Action ACK Destination Port Source Next Protocol Address Direction Rule permit any 21 >1023 TCP NET1 out ftp_com_1 yes in ftp_com_2 20 ftp_act_1 Permit ftp_act_2 בעיה: בד"כ לא נרצה לאפשר ליזום קשר מבחוץ אל מחשבים ברשת הפרטית. פתרון: גרסת FTP "ידידותית" ל-Firewalls (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

הגנה במערכות מתוכנתות - תרגול 10 FTP – Passive Mode Client Server y>1023 x>1023 21 z>1023 PASV port z get a.exe Command Session open a.exe Data Session (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

הגנה במערכות מתוכנתות - תרגול 10 עדכון ה-Firewall: Action ACK Destination Port Source Next Protocol Address Direction Rule permit any 21 >1023 TCP NET1 out ftp_com_1 yes in ftp_com_2 Any ftp_psv_1 Yes In ftp_psv_2 (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

תכונות של Stateless PF Firewall חוסר זכרון שקיפות למשתמשים ברשת דורש קונפיגורציה של ה-Firewall מהיר (בדיקה מאוד פשוטה) (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

מגבלות של Stateless PF Firewall חוסר זכרון תוקף יכול ליצור עומס על הרשת ההחלטות מבוססות על שכבות IP ו-TCP/UDP בלבד אפשר לעקוף ע"י שימוש בפורטים שאינם חסומים פתרון: Stateful Packet Filtering Firewall שני סוגי חוקים: סטטיים ודינאמיים. (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

Stateful Packet Firewall עבור פרוטוקול FTP Active-Mode Action ACK Destination Port Source Next Protocol Address Direction Rule permit no 21 >1023 TCP any NET1 out ftp_com_1 yes x client server in ftp_com_2 ftp_com_3 20 ftp_act_1 Permit y ftp_act_2 Action ACK Destination Port Source Next Protocol Address Direction Rule permit no 21 >1023 TCP any NET1 out ftp_com_1 y x 21 20 port y Server Client get a.exe a.exe (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

Stateful Inspection Firewalls בוחנים מידע המועבר ברמת האפליקציה בנוסף למידע ברמת שכבות הרשת והתובלה לדוגמה – פתרון עבור FTP ה-Firewall מזהה את פורט z אליו ייפתח ה-Data Session, ויוסיף את השורות הדינאמיות המתאימות. מניעת ניצול פורטים פתוחים לתקשורת אסורה. ה-Firewall צריך להכיר כל אחד מהפרוטוקולים עליהם הוא מעוניין להגן. (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

סיכום - Stateful לעומת Stateless החלטות דינאמיות, תלויות בחבילות קודמות אבל גם מהירות נמוכה יותר... פתח להתקפות Denial of Service (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

הגנה במערכות מתוכנתות - תרגול 10 Proxy Servers מגבלה של ה-Firewalls שראינו: לא בודקים את כל המידע בשכבת האפליקציה האם קובץ עם סיומת jpg שהועבר ב-FTP הוא באמת תמונה? הפעלת אנטי וירוס על מידע שעובר. דורש מספיק חבילות כדי לקבל החלטות. מענה: Proxy Server "מתווך" בין המחשבים ברשת לבין מחשבים חיצוניים. (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

הגנה במערכות מתוכנתות - תרגול 10 איך זה נראה? Internet Server >1023 8023 1’st session 2’nd session 23 Telnet Proxy Client כל Proxy Server יגן על אפליקציה יחידה. (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

מה proxy server יכול לעשות? לחכות למספיק חבילות כדי להחליט מה לעשות. להעביר את המידע, לזרוק אותו, לשנות אותו. אימות של המשתמש. למנוע ממשתמשים מסוימים שירותים מה-Proxy Server. להפעיל אנטי-וירוס. בקרה על זרימת המידע. בגלל איטיותם מתקינים אותם על מחשב בתוך רשת הארגון. (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

הגנה במערכות מתוכנתות - תרגול 10 תכונות של Proxy Server בעל זכרון אין שקיפות למשתמשים ברשת קונפיגורציה לא מסובכת לא כל כך מהיר (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

הגנה במערכות מתוכנתות - תרגול 10 התצורה המקובלת מגדירים אזור מפורז (DMZ – Demilitarized Zone) מפריד בין הרשת הפנימית לחיצונית יוצבו בו המחשבים הדורשים תקשורת לשאר העולם שרתי Web שרתי Proxy (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

הגנה במערכות מתוכנתות - תרגול 10 DMZ External Router (P.F. 2) Internet Internal Router (P.F. 1) Private Network A Bastion Host (Proxy Servers) Web Server DMZ (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

הגנה במערכות מתוכנתות - תרגול 10 דוגמה רוצים לאפשר telnet מ-A החוצה, ושכל קשרי ה-telnet ישתמשו ב-Telnet Proxy Server. Internal Router (P.F 1) Action ACK Destination Port Source Next Protocol Address Direction Rule deny any A in spoof permit 23 >1023 TCP Bastion Host out telnet1 yes telnet2 (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10

הגנה במערכות מתוכנתות - תרגול 10 דוגמה - המשך רוצים לאפשר telnet מ-A החוצה, ושכל קשרי ה-telnet ישתמשו ב-Telnet Proxy Server. External Router (P.F 2) Action ACK Destination Port Source Next Protocol Address Direction Rule deny any A in spoof1 DMZ spoof2 permit 23 >1023 TCP Bastion Host out telnet1 yes telnet2 Any (c) אריק פרידמן 2007 הגנה במערכות מתוכנתות - תרגול 10