Firewalls
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
IC Trusted Networks & Applications
Leiria, Abril.2001
IC Trusted Networks and Applications
TAC IP & Applications
[email protected]
IC Trusted Networks and Applications
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
João Ribeiro
• Firewall (rfc2828): “An internetwork
gateway that restricts data communication
traffic to and from one of the connected
networks (the one said to be "inside" the
firewall) and thus protects that network's
system resources against threats from the
other network (the one that is said to be
"outside" the firewall)”
IC Trusted Networks and Applications
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Firewalls. O que são?
• Normalmente implementadas para proteger uma
rede interna (ex. Rede corporativa) de intrusões
vindas de uma rede externa (ex. Internet)
Rede Local
Internet
Firewall
• Tráfego não autorizado é bloqueado!
IC Trusted Networks and Applications
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Firewalls. O que são?
Screening-routers, gateways de nível
aplicacional e statefull inspection
IC Trusted Networks and Applications
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Evolução das Firewalls
• Screening routers / screening hosts
– filtragem de pacotes por ACLs
– alta performance
– baixo índice de segurança
• Gateways de nível aplicacional (proxy)
– podem examinar conteúdos
– baixa performance
• Statefull Inspection
– inteligência de nível aplicacional
– alto índice de segurança
– alta performance
IC Trusted Networks and Applications
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Evolução das Firewalls
Application
Presentation
Session
Transport
Network
Data Link
Physical
IC Trusted Networks and Applications
• Screening routers operam
normalmente até aos níveis
3/4 da pilha protocolar
– decisões de filtragem
baseadas em endereço de
destino, endereço de
origem, serviço (L4)
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Screening routers
Application
Presentation
Session
Transport
Network
Data Link
Physical
IC Trusted Networks and Applications
• Implementam uma Firewall
de nível aplicacional (Proxy)
– quebram o modelo
cliente/servidor em clienteFirewall, Firewall-servidor
– não adataptadas a tráfego
connectionless (UDP)
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Gateways de nível aplicacional
Application
Presentation
Session
Transport
Network
Data Link
Physical
IC Trusted Networks and Applications
• Statefull Inspection
– inspeciona o estado de
cada conversação
– decisões de filtragem
basedas em informação das
camadas 3 a 7
– contexto das
sessões/aplicações
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Statefull Inspection
• Funcionalidades actuais:
– Reflexive access-lists (TCP/UDP)
– Autenticação
– Filtragem de conteúdos
– Filtragem de URLs (HTTP)
– Detecção e detenção de ataques DoS
(CB-ACLs)
– Translação de endereços (NAT)
IC Trusted Networks and Applications
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Evolução das Firewalls (cont.)
• Funcionalidades actuais (cont.)
– Túneis IPSec (VPN)
– Logging
– Interfaces avançados de configuração /
gestão
IC Trusted Networks and Applications
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Evolução das Firewalls (cont.)
Motivações, requisitos e desenho
IC Trusted Networks and Applications
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Case-Study
• Ernst&Young IT Security Survey:
78% das empresas contactadas
admitiram terem sofrido perdas
financeiras relacionadas com falhas de
segurança dos sistemas IT.
Nalguns casos as perdas foram
superiores a $1M USD.
IC Trusted Networks and Applications
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Motivações
• Causas identificadas:
80
vírus
erros de
operação
70
60
50
40
30
20
10
0
IC Trusted Networks and Applications
ataques
internos
ataques
externos
espionagem
industrial
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Motivações (cont.)
Os serviços mais vulneráveis
100
90
80
70
60
50
40
30
20
10
0
RPC
SMTP Finger TFTP
DNS
FTP
Fonte: Vulnerability Statistics Report, Cisco Secure Consulting Services
IC Trusted Networks and Applications
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Motivações (cont.)
• Hierarquia de Firewalling
• Níveis de segurança construídos com
equipamentos de fabricantes distintos
• Redundância, alto índice de
disponibilidade
• Sistema de detecção de intrusões (IDS)
IC Trusted Networks and Applications
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Requisitos
Firewall
DataBase Server
Firewall
3º nível
Application
Server #2
Application Specific Ports
IC Trusted Networks and Applications
Firewall
2º nível
SQL
Web Server
Firewall
1º nível
HTTP/HTTPS
Ethernet
Firewall
Ethernet
Web Sever
Ethernet
Token-ring
Application
Server #1
endereçamento público
Ethernet
Firewall
Ethernet
endereçamento privado
Internet
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Desenho
IC Trusted Networks and Applications
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Desafios Futuros
• Pervasive computing (computação
abrangente)
– acesso à informação a qualquer hora, em
qualquer lugar, a partir de qualquer dispositivo:
ubiquidade do acesso à rede
– comunicação expontânea entre dispositivos (peerto-peer)
– novos modelos de segurança para o paradigma
da computação abrangente. Pervasive
Firewalling.
IC Trusted Networks and Applications
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Desafios Futuros
• Personal Area Networks
– IEEE 802.15 WPANs
– Body Area Networks
• wearable devices
– Philips/Levi’s ICD+
IC Trusted Networks and Applications
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Desafios Futuros (cont.)
• Mobilidade IP
– Redes móveis 3G
– Como abrir as infra-estruturas da rede
móvel à Internet sem comprometer a
segurança?
IC Trusted Networks and Applications
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Desafios Futuros (Cont.)
• Performance
– Capacidade de inspeção de tráfego à
velocidade da linha, a taxas cada vez
maiores (Gigabit, STM-16, …)
– Performance vs. Segurança
IC Trusted Networks and Applications
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Desafios Futuros (Cont.)
• Novas arquitecuras de gestão
– Standards Abertos
– Interoperabilidade
IC Trusted Networks and Applications
Copyright © 2001, SIEMENS SA, Information and Communication, All rights reserved
Desafios Futuros (Cont.)
IC Trusted Networks and Applications