1. תרגול 10 – חומות אש – Firewalls
הגנה במערכות מתוכנתות
תרגול 10 – חומות אש – Firewalls

2. הגנה במערכות מתוכנתות - תרגול 10
חומות אש
המטרה: הגנה על תקשורת בין רשתות
Stateless Packet Filtering Firewalls
Stateful Packet Filtering Firewalls (סינון חבילות דינמי)
Proxy Servers
“Choke point”
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

3. Stateless Packet Filtering Firewalls
מבצע סינון של החבילות על סמך ה-headers
מדיניות ההגנה מוגדרת באמצעות טבלת חוקים סטטית
IP Address
wildcard ( *.*)
“any”
TCP
UDP
IPSec,…
port number
port range
“any”
“yes”
“no”
“any”
“in”
“out”
“permit”
“deny”
Action
ACK
Destination
Port
Source
Next
Protocol
Address
Direction
Rule
מתוך
ה-IP Header
מתוך ה-
TCP/UDP Header
מתוך
TCP
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

4. Stateless Packet Filtering Firewalls
בהגעת חבילה מחפשים את השורה הראשונה המתאימה
בסוף הטבלה תמיד נכתוב בסוף הטבלה שורה מהצורה any,any,…,any,deny
דגשים
בד"כ יש שתי שורות עבור כל כלל
עקרון מזעור הזכויות
חשיבות השדה ACK
איזה צד יכול ליזום session
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

5. Stateless Packet Filtering Firewalls
בהגעת חבילה מחפשים את השורה הראשונה המתאימה
בסוף הטבלה תמיד נכתוב בסוף הטבלה שורה מהצורה any,any,…,any,deny
דגשים
בד"כ יש שתי שורות עבור כל כלל
עקרון מזעור הזכויות
חשיבות השדה ACK
איזה צד יכול ליזום session
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

6. הגנה במערכות מתוכנתות - תרגול 10
דוגמה – הגנה על NET1
מדיניות ההגנה הנדרשת
לכל המחשבים ב-NET1 פרט למחשב a מותר לבצע telnet לכל מחשב באינטרנט.
לכל המחשבים באינטרנט מותר לבצע http למחשב מיוחד ב-NET1 ששמו WS.
כל היתר אסור.
NET1 a WS
Internet
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

7. הגנה במערכות מתוכנתות - תרגול 10
דוגמה – הטבלה המתקבלת
Action
ACK
Destination
Port
Source
Next
Protocol
Address
Direction
Rule
deny
any
NET1 in
spoof 23
>1023
TCP a
out
no-a-telnet1
no-a-telnet2
permit
telnet1
yes
telnet2 80 WS
http1
http2
default
רשימה מלאה של אפליקציות ומספר הפורטים שהוקצו להן ניתן למצוא ב:
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

8. FTP – File Transfer Protocol
משתמש בשני sessions
Command Session – לשליחת פקודות (get, put, ls, ...)
Data Session – להעברת קבצים
גרסה רגילה – Active Mode
Client
Server
y>1023
x>1023 21 20
port y
get a.exe
Command Session
a.exe
Data Session
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

9. הגנה במערכות מתוכנתות - תרגול 10
עדכון ה-Firewall:
Action
ACK
Destination
Port
Source
Next
Protocol
Address
Direction
Rule
permit
any 21
>1023
TCP
NET1
out
ftp_com_1
yes in
ftp_com_2 20
ftp_act_1
Permit
ftp_act_2
בעיה:
בד"כ לא נרצה לאפשר ליזום קשר מבחוץ אל מחשבים ברשת הפרטית.
פתרון:
גרסת FTP "ידידותית" ל-Firewalls
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

10. הגנה במערכות מתוכנתות - תרגול 10
FTP – Passive Mode
Client
Server
y>1023
x>1023 21
z>1023
PASV
port z
get a.exe
Command Session
open
a.exe
Data Session
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

11. הגנה במערכות מתוכנתות - תרגול 10
עדכון ה-Firewall:
Action
ACK
Destination
Port
Source
Next
Protocol
Address
Direction
Rule
permit
any 21
>1023
TCP
NET1
out
ftp_com_1
yes in
ftp_com_2
Any
ftp_psv_1
Yes In
ftp_psv_2
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

12. תכונות של Stateless PF Firewall
חוסר זכרון
שקיפות למשתמשים ברשת
דורש קונפיגורציה של ה-Firewall
מהיר (בדיקה מאוד פשוטה)
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

13. מגבלות של Stateless PF Firewall
חוסר זכרון
תוקף יכול ליצור עומס על הרשת
ההחלטות מבוססות על שכבות IP ו-TCP/UDP בלבד
אפשר לעקוף ע"י שימוש בפורטים שאינם חסומים
פתרון: Stateful Packet Filtering Firewall
שני סוגי חוקים: סטטיים ודינאמיים.
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

14. Stateful Packet Firewall עבור פרוטוקול FTP Active-Mode
Action
ACK
Destination
Port
Source
Next
Protocol
Address
Direction
Rule
permit no 21
>1023
TCP
any
NET1
out
ftp_com_1
yes x
client
server in
ftp_com_2
ftp_com_3 20
ftp_act_1
Permit y
ftp_act_2
Action
ACK
Destination
Port
Source
Next
Protocol
Address
Direction
Rule
permit no 21
>1023
TCP
any
NET1
out
ftp_com_1 y x 21 20
port y
Server
Client
get a.exe
a.exe
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

15. Stateful Inspection Firewalls
בוחנים מידע המועבר ברמת האפליקציה
בנוסף למידע ברמת שכבות הרשת והתובלה
לדוגמה – פתרון עבור FTP
ה-Firewall מזהה את פורט z אליו ייפתח ה-Data Session, ויוסיף את השורות הדינאמיות המתאימות.
מניעת ניצול פורטים פתוחים לתקשורת אסורה.
ה-Firewall צריך להכיר כל אחד מהפרוטוקולים עליהם הוא מעוניין להגן.
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

16. סיכום - Stateful לעומת Stateless
החלטות דינאמיות, תלויות בחבילות קודמות
אבל גם מהירות נמוכה יותר...
פתח להתקפות Denial of Service
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

17. הגנה במערכות מתוכנתות - תרגול 10
Proxy Servers
מגבלה של ה-Firewalls שראינו: לא בודקים את כל המידע בשכבת האפליקציה
האם קובץ עם סיומת jpg שהועבר ב-FTP הוא באמת תמונה?
הפעלת אנטי וירוס על מידע שעובר.
דורש מספיק חבילות כדי לקבל החלטות.
מענה: Proxy Server
"מתווך" בין המחשבים ברשת לבין מחשבים חיצוניים.
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

18. הגנה במערכות מתוכנתות - תרגול 10
איך זה נראה?
Internet
Server
>1023
8023
1’st session
2’nd session 23
Telnet Proxy
Client
כל Proxy Server יגן על אפליקציה יחידה.
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

19. מה proxy server יכול לעשות?
לחכות למספיק חבילות כדי להחליט מה לעשות.
להעביר את המידע, לזרוק אותו, לשנות אותו.
אימות של המשתמש.
למנוע ממשתמשים מסוימים שירותים מה-Proxy Server.
להפעיל אנטי-וירוס.
בקרה על זרימת המידע.
בגלל איטיותם מתקינים אותם על מחשב בתוך רשת הארגון.
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

20. הגנה במערכות מתוכנתות - תרגול 10
תכונות של Proxy Server
בעל זכרון
אין שקיפות למשתמשים ברשת
קונפיגורציה לא מסובכת
לא כל כך מהיר
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

21. הגנה במערכות מתוכנתות - תרגול 10
התצורה המקובלת
מגדירים אזור מפורז (DMZ – Demilitarized Zone)
מפריד בין הרשת הפנימית לחיצונית
יוצבו בו המחשבים הדורשים תקשורת לשאר העולם
שרתי Web
שרתי Proxy
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

22. הגנה במערכות מתוכנתות - תרגול 10
DMZ
External Router (P.F. 2)
Internet
Internal Router (P.F. 1)
Private Network A
Bastion Host
(Proxy Servers)
Web Server
DMZ
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

23. הגנה במערכות מתוכנתות - תרגול 10
דוגמה
רוצים לאפשר telnet מ-A החוצה, ושכל קשרי ה-telnet ישתמשו ב-Telnet Proxy Server.
Internal Router (P.F 1)
Action
ACK
Destination
Port
Source
Next
Protocol
Address
Direction
Rule
deny
any A in
spoof
permit 23
>1023
TCP
Bastion Host
out
telnet1
yes
telnet2
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10

24. הגנה במערכות מתוכנתות - תרגול 10
דוגמה - המשך
רוצים לאפשר telnet מ-A החוצה, ושכל קשרי ה-telnet ישתמשו ב-Telnet Proxy Server.
External Router (P.F 2)
Action
ACK
Destination
Port
Source
Next
Protocol
Address
Direction
Rule
deny
any A in
spoof1
DMZ
spoof2
permit 23
>1023
TCP
Bastion Host
out
telnet1
yes
telnet2
Any
(c) אריק פרידמן 2007
הגנה במערכות מתוכנתות - תרגול 10