Firewall (definições)
 Por que do nome firewall ?

Antigamente, quando as casas eram feitas de madeira o
fogo era um grande problema, pois se alastrava
facilmente de uma casa para outra. Para evitar isso eram
construídos muros de pedra entre as casas. A esses
muros foi dado o nome de firewall
“Isolar o fogo que existe
na Internet para que não
se alastre para sua rede
privada”
Infraestrutura de rede
Proteção de Redes: Firewall
Conexão
Segura
Firewall - Introdução
Definição
Dispositivo que conecta redes (interna e/ou externa com
vários níveis de direito de acesso).
Implementa e garante política de segurança entre as redes
conectadas.
Corporação
Intranet
Segmento de
Acesso Público
Firewall
Internet
Infraestrutura de rede
Firewall - Conceitos
Sistemas confiáveis que são colocados entre duas
redes;
Política de Segurança define o que passa;
Rede interna é confiável (blue net), nem sempre;
Rede externa é não-confiável (red net).
Firewall -Introdução
Proteção de redes - Firewall
Quando você conecta sua rede à Internet, é de crítica
importância proteger a sua rede contra intrusão. A forma
mais efetiva de proteger o link com a Internet é colocar
um Sistema de Firewall entre sua rede local e a Internet.
Corporação
Intranet
Segmento de
Acesso Público
Firewall
Internet
Firewall -Introdução
Saiba o que um Firewall não faz:
1) Não protege contra usuários autorizados maliciosos;
2) Não pode proteger contra conexões que não passam
através dele;
3) Não fornece 100% de proteção contra todos os
THREATS (ataques embutidos no protocolo).
Infraestrutura de rede
O que um firewall pode fazer?
Um Firewall pode administrar a política de
segurança para usuários da rede:
- Define quem ou o que pode cruzar as
fronteiras entre redes;
- Define uma maneira padrão de identificação
de usuários.
Um Firewall pode manter “logs”:
- Logs de passagem;
- Logs de ataques;
- Alertar o administrador.
O que proteger ?
 As regras de filtragem de um Firewall estão baseadas nas
políticas de seguranças da organização
 Para o desenvolvimento dessa política deverá ponderar dois
fatores

Nível de proteção X Usabilidade

Deixar o nível de proteção o mais alto possível, porém sem deixar que
partes importantes do sistema fiquem inoperantes
 Bloquear tudo a princípio e ir liberando os serviços
necessários para a organização ou
Roteadorproibido é permitido
 O que não é expressamente
Implementação Física
No software do Roteador
ROTEADOR
REDE
INTERNA
REDE
EXTERNA
FIREWALL
No software de uma estação dedicada (duas placas de rede)
ROTEADOR
REDE
EXTERNA
REDE
INTERNA
FIREWALL
Filtragem de Pacotes
Interface interna
O roteamento ou
rejeição de pacotes
é feito de acordo
com a política de
segurança
da empresa.
Roteador
Internet
Interface externa
Exemplos de Objetivos de
Filtragem
 Bloquear todas as conexões que chegam de um
sistema externo da rede interna, exceto conexões
HTTP.
 Liberar conexões externas apenas para uma máquina
específica da rede (e.g. servidor Web).
HTTP
HTTP
SMTP
HTTP
TELNET
etc
Exemplos de Objetivos de
Filtragem
 Permitir aos usuários internos iniciarem conexões de
Telnet com o meio externo, mas não o contrário
 Liberar acesso Web a Internet apenas para algumas
máquinas da rede interna.
HTTP
HTTP
TELNET
TELNET
HTTP
TELNET
Regras de filtragem
 Regras de filtragem são baseadas em:







Endereço IP de origem
Endereço IP de destino
Protocolo (TCP, UDP ou ICMP)
Porta TCP ou UDP de origem
Porta TCP ou UDP de destino (que define uma aplicação)
A interface por onde os pacotes chegam
A interface por onde os pacotes saem
Filtragem com Base nos
Endereços IP
 Os datagramas IP trazem no seu cabeçalho de controle o
endereço IP de origem e IP de destino.
 Baseado na análise desses endereços, os roteadores podem
efetuar a proteção da rede através da filtragem de pacotes
 Regras de filtragem podem ser estabelecidas para hosts
específicos ou para redes inteiras.
200.17.98.
78
ENDERECO ENDERECO
DA REDE
DO HOST
IP DESTINO
IP ORIGEM
DADOS
Roteamento Seletivo
REDE 200.17.98.X
REDE 200.134.51.X
Filtro
Bloquear pacotes
destinados a uma
rede diferente de
200.134.51.X
Bloquear pacotes
recebidos de
uma rede
diferente de
200.134.51.X
Roteador
Roteador
Roteador
Filtragem com base nas Portas
TCP e UDP
 As informações introduzidas no cabeçalho de
controle dos protocolos TCP e UDP permitem
identificar o tipo de serviço executado na Internet.

Essa característica permite estabelecer regras
diferenciadas para cada tipo de aplicação executada na
Internet, ou numa Intranet.
 Por exemplo, é possível estabelecer regras de
segurança que se aplique somente ao serviço de ftp
ou somente ao serviço de telnet.
PORTA DE DESTINO
PORTA DE ORIGEM
datagrama
DADOS
Portas bem Conhecidas
0
….
PORTAS
TCP ou UDP
1023
1024
….
65535
 Portas Bem conhecidas (well
known ports):
 Função padronizada pela
IANA (The Internet Assigned
Numbers Authority)
 Geralmente usada pelos
servidores de serviços
padronizados.
 Portas livres:
 Usadas pelos clientes e pelos
serviços não padronizados
Exemplos de portas bem
conhecidas
Dados
arm
azenados
portasbem
conhecidas
Porta1024
FTP
Porta21
program
aservidor de
transferênciadearquivos
TELNET
Porta23
program
aservidor de
term
inal rem
oto
Porta25
program
aservidor decorreio
eletrônico
Porta80
program
aservidor de
hipertextoeoutrosserviços
W
W
W
SM
TP
…
Porta65535
HTTP
Cliente
NNTP
Porta119
IRC
Porta194
portaslivres
program
aservidor denotícias
program
aservidor de
serviçoschat
Regras de Filtragem
Recebe pacote
Analisa Cabeçalho
SIM
OK para
encaminhar?
Encaminhar
Pacote
Não
Precisa para
bloquear?
SIM
Não
Última
Regra?
Não
SIM
Bloquear
Pacote
Exemplo


AÇÃO
INTERFACE
IP ORIGEM
IP DESTINO
permitir
1 (sair)
*
200.134.51.*
permitir
2 (entrar)
bloquear
200.134.51.*
*
*
*
*
Geralmente, as regras são definidas individualmente
para cada interface.
Cada interface controla apenas os pacotes que entram no
roteador.
Rede Interna
Confiável
INTERFACE 1
Rede Externa
Não -Confiável
INTERFACE 2
Exemplo
Ação
permitir
permitir
negar

Direção
Protocolo
IP Origem
IP Destino
Porta Origem
Porta Destino
Sair
tcp
interno
*
> 1023
23
Entrar
tcp
*
interno
23
> 1023
*
*
*
*
*
*
Interpretação:
Hosts Internos podem acessar servidores
de telnet internos ou externos.
 Hosts externos podem apenas responder a
requisições, não podem iniciar um diálogo
(estabelecer uma conexão).

Exemplo

Ação
Direção
Protocolo
IP Origem
IP Destino
Porta Origem
Porta Destino
permitir
Out
tcp
interno
*
> 1023
23
permitir
In
tcp
*
interno
23
> 1023
permitir
In
tcp
*
interno
> 1023
80
permitir
Out
tcp
interno
*
80
> 1023
negar
*
*
*
*
*
*
Interpretação:


Hosts Internos podem acessar servidores de
telnet internos ou externos.
Hosts externos podem acessar servidores de web
internos.
Seqüência de Criação de Regras
 A seqüência na qual as regras são aplicadas pode alterar
completamente o resultado da política de segurança (são
escritas de cima para baixo). Por exemplo, as regras de
aceite ou negação incondicional devem ser sempre as últimas
regras da lista.
O deslocamento de uma regra genérica para cima anula as demais.
Ação
Direção
Protocolo
IP Origem
IP Destino
Porta Origem
Porta Destino
ACK
permitir
Out
tcp
interno
*
> 1023
23
*
permitir
In
tcp
*
interno
23
> 1023
1
permitir
In
tcp
*
interno
> 1023
23
*
permitir
Out
tcp
interno
*
23
> 1023
1
negar
*
*
*
*
*
*
*
Firewall Pessoal
 Software utilizado para proteger um computador
contra acessos não autorizados
 Tipo específico de firewall
 Se bem configurado:


Pode barrar o acesso a backdoors
Alguns podem analisar continuamente o conteúdo das
conexões

Filtrando cavalos de tróia e vírus de email
 Pacotes de firewall que funcionam em conjunto com
os anti-vírus
Firewalls de mercado
 Razões para considerar o uso:


Possibilidade de configurar o tráfego de entrada e saída
Pode especificar quais aplicativos terão acesso à rede
 Problemas:


Regras podem ser complexas
Escalabilidade pode ser um problema
Melhores práticas para clientes firewall

Todo o tráfego deve passar pelo firewall
 Uso eficaz de Firewall
 A simples instalação de um firewall não garante que sua
rede esteja segura contra invasores
 Não pode ser a sua única linha de defesa
 Protegem apenas contra ataques externos ao firewall