הגנה במערכות מתוכנתות תרגול 10 – חומות אש – Firewalls הערה: שקפים אלה אינם מהווים תחליף לחומר התרגולים המפורסם באתר הקורס, ומשמשים כעזר הוראה בלבד.

הגנה במערכות מתוכנתות - תרגול 102 (c) אריק פרידמן 2007 חומות אש המטרה: הגנה על תקשורת בין רשתות  Stateless Packet Filtering Firewalls  Stateful Packet Filtering Firewalls (סינון חבילות דינמי)  Proxy Servers “Choke point”

הגנה במערכות מתוכנתות - תרגול 103 (c) אריק פרידמן 2007 תזכורת – IP Header 32 bits IP Packet Destination Address Identification VerH.LenToSTotal Length FlagsFragment Offset Source Address Time to LiveProtocolHeader Checksum OptionsPadding Data (upper layers) Header

הגנה במערכות מתוכנתות - תרגול 104 (c) אריק פרידמן 2007 תזכורת – UDP Header UDP Packet 32 bits Data (upper layers) Source PortDestination Port ChecksumLength Header

הגנה במערכות מתוכנתות - תרגול 105 (c) אריק פרידמן 2007 תזכורת – TCP Header Ack 32 bits TCP Packet Window Sequence Number Acknowledgement Number Source PortDestination Port Urgent PointerChecksum H. LenReservedFlags Options Data (upper layers) Padding Header

הגנה במערכות מתוכנתות - תרגול 106 (c) אריק פרידמן 2007 מתוך ה- TCP/UPD Header Stateless Packet Filtering Firewalls מבצע סינון של החבילות על סמך ה-headers  מדיניות ההגנה מוגדרת באמצעות טבלת חוקים סטטית ActionACKDestination Port Source Port Next Protocol Destination Address Source Address DirectionRule מתוך ה-IP Header מתוך TCP “in” “out” IP Address wildcard ( *.*) “any” TCP UDP IPSec,… port number port range “any” “yes” “no” “any” “permit” “deny”

הגנה במערכות מתוכנתות - תרגול 107 (c) אריק פרידמן 2007 Stateless Packet Filtering Firewalls בהגעת חבילה מחפשים את השורה הראשונה המתאימה  בסוף הטבלה תמיד נכתוב בסוף הטבלה שורה מהצורה any,any,…,any,deny דגשים  בד"כ יש שתי שורות עבור כל כלל  עקרון מזעור הזכויות  חשיבות השדה ACK איזה צד יכול ליזום session

הגנה במערכות מתוכנתות - תרגול 108 (c) אריק פרידמן 2007 דוגמה – הגנה על NET1 מדיניות ההגנה הנדרשת  לכל המחשבים ב-NET1 פרט למחשב a מותר לבצע telnet לכל מחשב באינטרנט.  לכל המחשבים באינטרנט מותר לבצע http למחשב מיוחד ב- NET1 ששמו WS.  כל היתר אסור. NET1 a WS Internet

הגנה במערכות מתוכנתות - תרגול 109 (c) אריק פרידמן 2007 דוגמה – הטבלה המתקבלת ActionACKDestination Port Source Port Next Protocol Destination Address Source Address DirectionRule denyany NET1inspoof denyany23>1023TCPanyaoutno-a-telnet1 denyany>102323TCPaanyinno-a-telnet2 permitany23>1023TCPanyNET1outtelnet1 permityes>102323TCPNET1anyintelnet2 permitany80>1023TCPWSanyinhttp1 permityes>102380TCPanyWSouthttp2 denyany רשימה מלאה של אפליקציות ומספר הפורטים שהוקצו להן ניתן למצוא ב:

הגנה במערכות מתוכנתות - תרגול 1010 (c) אריק פרידמן 2007 FTP – File Transfer Protocol משתמש בשני sessions  Command Session – לשליחת פקודות (get, put, ls,...)  Data Session – להעברת קבצים גרסה רגילה – Active Mode Client Server Command Session port y get a.exe y>1023x> a.exe Data Session

הגנה במערכות מתוכנתות - תרגול 1011 (c) אריק פרידמן 2007 עדכון ה-Firewall: ActionACKDestination Port Source Port Next Protocol Destination Address Source Address DirectionRule permitany21>1023TCPanyNET1outftp_com_1 permityes>102321TCPNET1anyinftp_com_2 permitany>102320TCPNET1anyinftp_act_1 Permityes20>1023TCPanyNET1outftp_act_2 בעיה:  בד"כ לא נרצה לאפשר ליזום קשר מבחוץ אל מחשבים ברשת הפרטית. פתרון:  גרסת FTP "ידידותית" ל-Firewalls

הגנה במערכות מתוכנתות - תרגול 1012 (c) אריק פרידמן 2007 FTP – Passive Mode Client Server Command Session PASV get a.exe y>1023x>102321z>1023 open Data Session port z a.exe

הגנה במערכות מתוכנתות - תרגול 1013 (c) אריק פרידמן 2007 עדכון ה-Firewall: ActionACKDestination Port Source Port Next Protocol Destination Address Source Address DirectionRule permitany21>1023TCPanyNET1outftp_com_1 permityes>102321TCPNET1anyinftp_com_2 permitany>1023 TCPAnyNET1outftp_psv_1 permitYes>1023 TCPNET1anyInftp_psv_2

הגנה במערכות מתוכנתות - תרגול 1014 (c) אריק פרידמן 2007 תכונות של Stateless PF Firewall חוסר זכרון שקיפות למשתמשים ברשת דורש קונפיגורציה של ה-Firewall מהיר (בדיקה מאוד פשוטה)

הגנה במערכות מתוכנתות - תרגול 1015 (c) אריק פרידמן 2007 מגבלות של Stateless PF Firewall חוסר זכרון  תוקף יכול ליצור עומס על הרשת ההחלטות מבוססות על שכבות IP ו-TCP/UDP בלבד  אפשר לעקוף ע"י שימוש בפורטים שאינם חסומים פתרון: Stateful Packet Filtering Firewall שני סוגי חוקים: סטטיים ודינאמיים.

הגנה במערכות מתוכנתות - תרגול 1016 (c) אריק פרידמן 2007 בחזרה לדוגמה – הגנה על NET1 הפעם נניח Firewall מסוג Stateful Packet Filtering מטעמי פשטות נניח שלכלל המשתמשים ברשת (גם a) מותר לבצע telnet לכל מחשב באינטרנט NET1 a WS Internet

הגנה במערכות מתוכנתות - תרגול 1017 (c) אריק פרידמן 2007 דוגמה – הטבלה המתקבלת ActionACKDestination Port Source Port Next Protocol Destination Address Source Address DirectionRule permityes231057TCPwaouttelnet1 permityes105723TCPawintelnet2 ActionACKDestination Port Source Port Next Protocol Destination Address Source Address DirectionRule permitno23>1023TCPanyNET1outtelnet נרשום בטבלה את השורה הסטטית הבאה: כשמשתמש a מ-NET1 רוצה להתחבר לשרת ה-telnet של מחשב w באינטרנט, מתווספות לטבלה שורות דינאמיות: השורות יוסרו לאחר סגירת הקשר (במקרה של UDP – לאחר timeout)

הגנה במערכות מתוכנתות - תרגול 1018 (c) אריק פרידמן 2007 Stateful Inspection Firewalls בוחנים מידע המועבר ברמת האפליקציה  בנוסף למידע ברמת שכבות הרשת והתובלה לדוגמה – פתרון עבור FTP  ה-Firewall מזהה את פורט z אליו ייפתח ה-Data Session, ויוסיף את השורות הדינאמיות המתאימות. מניעת ניצול פורטים פתוחים לתקשורת אסורה. ה-Firewall צריך להכיר כל אחד מהפרוטוקולים עליהם הוא מעוניין להגן.

הגנה במערכות מתוכנתות - תרגול 1019 (c) אריק פרידמן 2007 סיכום - Stateful לעומת Stateless ל-Stateful יש זיכרון  החלטות דינאמיות, תלויות בחבילות קודמות אבל גם מהירות נמוכה יותר...  פתח להתקפות Denial of Service

הגנה במערכות מתוכנתות - תרגול 1020 (c) אריק פרידמן 2007 Proxy Servers מגבלה של ה-Firewalls שראינו: לא בודקים את כל המידע בשכבת האפליקציה  האם קובץ עם סיומת jpg שהועבר ב-FTP הוא באמת תמונה?  הפעלת אנטי וירוס על מידע שעובר.  דורש מספיק חבילות כדי לקבל החלטות. מענה: Proxy Server  "מתווך" בין המחשבים ברשת לבין מחשבים חיצוניים.

הגנה במערכות מתוכנתות - תרגול 1021 (c) אריק פרידמן 2007 איך זה נראה? כל Proxy Server יגן על אפליקציה יחידה. Internet Server > ’st session 2’nd session > Telnet Proxy Client

הגנה במערכות מתוכנתות - תרגול 1022 (c) אריק פרידמן 2007 מה proxy server יכול לעשות? לחכות למספיק חבילות כדי להחליט מה לעשות. להעביר את המידע, לזרוק אותו, לשנות אותו. אימות של המשתמש. למנוע ממשתמשים מסוימים שירותים מה-Proxy Server. להפעיל אנטי-וירוס. בקרה על זרימת המידע. בגלל איטיותם מתקינים אותם על מחשב בתוך רשת הארגון.

הגנה במערכות מתוכנתות - תרגול 1023 (c) אריק פרידמן 2007 תכונות של Proxy Server בעל זכרון אין שקיפות למשתמשים ברשת קונפיגורציה לא מסובכת לא כל כך מהיר

הגנה במערכות מתוכנתות - תרגול 1024 (c) אריק פרידמן 2007 התצורה המקובלת מגדירים אזור מפורז (DMZ – Demilitarized Zone)  מפריד בין הרשת הפנימית לחיצונית  יוצבו בו המחשבים הדורשים תקשורת לשאר העולם שרתי Web שרתי Proxy

הגנה במערכות מתוכנתות - תרגול 1025 (c) אריק פרידמן 2007 DMZ External Router (P.F. 2) Internet Internal Router (P.F. 1) Private Network A Bastion Host (Proxy Servers) Web Server DMZ

הגנה במערכות מתוכנתות - תרגול 1026 (c) אריק פרידמן 2007 דוגמה ActionACKDestination Port Source Port Next Protocol Destination Address Source Address DirectionRule denyany Ainspoof permitany23>1023TCPBastion HostAouttelnet1 permityes>102323TCPABastion Hostintelnet2 denyany רוצים לאפשר telnet מ-A החוצה, ושכל קשרי ה-telnet ישתמשו ב-Telnet Proxy Server. Internal Router (P.F 1)

הגנה במערכות מתוכנתות - תרגול 1027 (c) אריק פרידמן 2007 דוגמה - המשך ActionACKDestination Port Source Port Next Protocol Destination Address Source Address DirectionRule denyany Ainspoof1 denyany DMZinspoof2 permitany23>1023TCPanyBastion Hostouttelnet1 permityes>102323TCPBastion Hostanyintelnet2 denyany Anyany רוצים לאפשר telnet מ-A החוצה, ושכל קשרי ה-telnet ישתמשו ב-Telnet Proxy Server. External Router (P.F 2)