Τεχνολογίες Αναχωμάτων Ασυαλείας Γηψξγνο Καξφπνπινο (Δηδάζθσλ Π.Δ. 407/80) Σκήκα Μεραληθψλ Πιεξνθνξηαθψλ θαη Επηθνηλσληαθψλ πζηεκάησλ Παλεπηζηήκην Αηγαίνπ Αληηθείκελν κειέηεο Αλαρψκαηα αζθαιείαο (firewalls) Δπλαηφηεηεο θαη πεξηνξηζκνί ελφο Αλαρψκαηνο Αζθάιεηαο Ζεηήκαηα, Πνιηηηθή ρεδίαζεο θαη Λεηηνπξγηθέο Απαηηήζεηο ελφο Αλαρψκαηνο Αζθάιεηαο Αλαρψκαηα Αζθάιεηαο Επηπέδνπ Δηθηχνπ Αλαρψκαηα Aζθάιεηαο Eπηπέδνπ Eθαξκνγήο Τβξηδηθά Αλαρψκαηα Αζθάιεηαο Εγθαηάζηαζε αλαρψκαηνο αζθάιεηαο 2 1
Αλαρψκαηα αζθαιείαο Οξηζκφο: Με ηνλ φξν ανάσωμα ασυάλειαρ (firewall) ελλννχκε ζπζηήκαηα ή νκάδεο ζπζηεκάησλ ηα νπνία πινπνηνχλ ηνπο θαλφλεο κηαο πνιηηηθήο αζθάιεηαο κεηαμχ δχν δηθηχσλ. Σηο πεξηζζφηεξεο θνξέο ην έλα δίθηπν είλαη ην Internet, αιιά έλα αλάρσκα αζθάιεηαο, ζηε γεληθή πεξίπησζε, κπνξεί λα ηνπνζεηεζεί θαη κεηαμχ δχν ηπραίσλ δηθηχσλ ππνινγηζηψλ. Σν αλάρσκα αζθάιεηαο πινπνηεί θαη εληζρχεη ηελ πνιηηηθή αζθάιεηαο πνπ βξίζθεηαη θάζε θνξά ζε ηζρχ θαη πνπ πξέπεη λα είλαη ζπγθεθξηκέλε θαη ζαθήο 3 Δπλαηφηεηεο ελφο Αλαρψκαηνο Αζθάιεηαο απνηειεί ην θεληξηθφ ζεκείν ειέγρνπ εθαξκφδεη έιεγρν πξνζπέιαζεο (access control) απφ θαη πξνο ην δίθηπν, πινπνηψληαο θαη ππνζηεξίδνληαο ηελ πνιηηηθή αζθάιεηαο ηνπ νξγαληζκνχ πξνζθέξεη απνηειεζκαηηθή θαηαγξαθή ηεο δξαζηεξηφηεηαο ζην δίθηπν πξνζηαηεχεη ηα δηαθνξεηηθά δίθηπα εληφο ηνπ ίδηνπ νξγαληζκνχ έρεη ηε δπλαηφηεηα απφθξπςεο ησλ πξαγκαηηθψλ δηεπζχλζεσλ ηεο επηρείξεζεο 4 2
Πεξηνξηζκνί ελφο Αλαρψκαηνο Αζθάιεηαο δελ κπνξεί λα πξνζηαηέςεη απφ ζπλδέζεηο νη νπνίεο δε δηέξρνληαη απφ απηφ δελ κπνξεί λα πξνζηαηεχζεη απφ πξνγξάκκαηα-ηνχο δελ κπνξεί λα πξνζηαηεχζεη απέλαληη ζηηο επηζέζεηο θαθφβνπισλ ρξεζηψλ απφ ην εζσηεξηθφ ηνπ νξγαληζκνχ δελ κπνξεί λα πξνζηαηέςεη ηνλ νξγαληζκφ απέλαληη ζε επηζέζεηο ζπζρεηηδφκελεο κε δεδνκέλα (data driven attacks) δελ κπνξεί λα πξνζηαηεχζεη ηνλ νξγαληζκφ απφ απεηιέο άγλσζηνπ ηχπνπ πξνβιήκαηα απφ ηελ απζηεξή ξχζκηζε ηεο αζθάιεηαο 5 Ζεηήκαηα ρεδίαζεο ελφο Αλαρψκαηνο Αζθάιεηαο Είλαη ζεκαληηθή ζρεδηαζηηθή απφθαζε γηαηί: επηθέξεη θαζπζηέξεζε ζην ρξφλν απφθξηζεο επηθέξεη αλαζηάησζε ζην πξνζσπηθφ ηνπ νξγαληζκνχ κέρξη απηφ λα εμνηθεησζεί κε ηηο ήδε ππάξρνπζεο ππεξεζίεο, πνπ φκσο ηψξα ζα πινπνηνχληαη κε δηαθνξεηηθφ ηξφπν θαηά ηελ εγθαηάζηαζή ηνπ ε άξλεζε παξνρήο ππεξεζηψλ κπνξεί λα πξνθαιέζεη πξνβιήκαηα απαηηείηαη ζπλερήο ζπληήξεζε θαη ελεκέξσζε 6 3
Ζεηήκαηα ρεδίαζεο ελφο Αλαρψκαηνο Αζθάιεηαο Υξεζηηθφηεηα Εθηίκεζε ηνπ θηλδχλνπ Εθηίκεζε ησλ απεηιψλ Εθηίκεζε ηνπ θφζηνπο θφζηνο πινπνίεζεο θφζηνο ηεο κεηέπεηηα δηαξθνχο ππνζηήξημεο Σχπνο ηνπ αλαρψκαηνο 7 Πνιηηηθή ρεδίαζεο Αλαρψκαηνο Αζθάιεηαο Πνιηηηθή Τπεξεζίαο Πξφζβαζεο ζην Δίθηπν πξνζδηνξίδεη ηηο ππεξεζίεο εθείλεο πνπ ζα επηηξέπνληαη ή ξεηά ζα απαγνξεχνληαη απφ ην δίθηπν ηνλ ηξφπν κε ηνλ νπνίν απηέο νη ππεξεζίεο ζα ρξεζηκνπνηνχληαη ηηο ζπλζήθεο ππφ ηηο νπνίεο ζα επηηξέπνληαη εμαηξέζεηο Πνιηηηθή ρεδίαζεο ηνπ αλαρψκαηνο αζθάιεηαο πεξηγξάθεη ηνπο ηξφπνπο κε ηνπο νπνίνπο ην αλάρσκα αζθάιεηαο ζα επηβάιιεη πεξηνξηζκφ ηεο πξφζβαζεο θαη θηιηξάξηζκα ησλ ππεξεζηψλ, θαηά ηνλ ηξφπν πνπ απηά έρνπλ ξεηά δηαηππσζεί ζηελ Πνιηηηθή Τπεξεζίαο Πξφζβαζεο ζην Δίθηπν Πνιηηηθή πξνθαζνξηζκέλεο άδεηαο ρξήζεο Πνιηηηθή πξνθαζνξηζκέλεο απαγφξεπζεο ρξήζεο 8 4
Λεηηνπξγηθέο Απαηηήζεηο ρεδίαζεο Αλαρψκαηνο Αζθάιεηαο Να αλακεηγλχεηαη ζε νπνηαδήπνηε ζπλνκηιία Να είλαη αδηάβιεην (tamperproof) Να είλαη απιφ θαη κηθξφ ζε κέγεζνο, ψζηε λα κπνξεί λα αλαιπζεί 9 Αλαρψκαηα Αζθάιεηαο Επηπέδνπ Δηθηχνπ ε αληίζεζε κε έλαλ απιφ δξνκνινγεηή εμεηάδεη ην παθέην δηεμνδηθφηεξα. Έηζη, δελ θαζνξίδεη κφλν εάλ ην παθέην μποπεί λα δξνκνινγεζεί πξνο ηνλ πξννξηζκφ ηνπ, αιιά θαη ην εάλ ππέπει λα δξνκνινγεζεί, εθαξκφδνληαο ηελ πνιηηηθή αζθάιεηαο ε νπνία έρεη θαζνξηζζεί απφ ηνλ νξγαληζκφ εμεηάδεη ηελ επηθεθαιίδα ηνπ ΙΡ παθέηνπ θαη βαζηδφκελν ζηηο δηεπζχλζεηο πεγήο θαη πξννξηζκνχ, ρσξίο λα εμεηάζεη θαζφινπ ηα δεδνκέλα, θαζνξίδεη εάλ ζα επηηξαπεί ε είζνδνο ζην παθέην αθνινπζψληαο ζπγθεθξηκέλνπο θαη πξνθαζνξηζκέλνπο θαλφλεο 10 5
Αλαρψκαηα Αζθάιεηαο Επηπέδνπ Δηθηχνπ Παξαδείγκαηα ηξφπσλ πξνγξακκαηηζκνχ πνιηηηθψλ πξνζπέιαζεο: Eκπφδηζε φιεο ηηο εηζεξρφκελεο ζπλδέζεηο απφ ζπζηήκαηα ηα νπνία βξίζθνληαη εθηφο εζσηεξηθνχ δηθηχνπ, εθηφο απφ ηηο εηζεξρφκελεο SMTP ζπλδέζεηο (έηζη ψζηε λα επηηξέπεηαη ε ιήςε e-mail ζην port 25). Εκπφδηζε φιεο ηηο ζπλδέζεηο απφ θαη πξνο ζπγθεθξηκέλα ζπζηήκαηα ηα νπνία δελ είλαη έκπηζηα (untrusted). Επίηξεςε ηελ πξφζβαζε ζηνλ εμππεξέηε παγθφζκηνπ ηζηνχ (port 80). Επίηξεςε ηηο ππεξεζίεο e-mail (port 25), FTP (File Transfer Protocol, port 21) θαη Σelnet (port 23), αιιά εκπφδηζε επηθίλδπλεο ππεξεζίεο φπσο TFTP (Trivial File Transfer Protocol), X Windows System, RPC (Remote Procedure Call), rlogin (remote login), rsh (remote shell), rcp (remote copy), θιπ 11 Πιενλεθηήκαηα ησλ αλαρσκάησλ αζθάιεηαο επηπέδνπ δηθηχνπ Εγθαζίζηαληαη θαη δηακνξθψλνληαη πνιχ εχθνια. Είλαη δηαθαλή ζηνπο ρξήζηεο: Eπεηδή ηα αλαρψκαηα αζθάιεηαο απηήο ηεο θαηεγνξίαο δελ αζρνινχληαη θαζφινπ κε ην ηκήκα ησλ δεδνκέλσλ ηνπ παθέηνπ, δελ είλαη απαξαίηεην νη ρξήζηεο λα κάζνπλ θάπνηεο ηδηαίηεξεο εληνιέο γηα λα ηα ρεηξίδνληαη. Παξνπζηάδνπλ κεγάιε ηαρχηεηα εθηέιεζεο, επεηδή αζρνινχληαη κφλν κε ην ηκήκα ηεο επηθεθαιίδαο ηνπ ΙΡ παθέηνπ. Επηπιένλ, ε φιε επεμεξγαζία πξαγκαηνπνηείηαη ζηνλ ππξήλα ηνπ ιεηηνπξγηθνχ ζπζηήκαηνο ν νπνίνο, ζε αληίζεζε κε ηηο εθαξκνγέο, δελ ππφθεηηαη ζε ρξνλνπξνγξακκαηηζκφ θαη έηζη είλαη ζε ζέζε λα επεμεξγάδεηαη ηαρχηεξα ηελ πιεξνθνξία. Παξνπζηάδνπλ ρακειφ θφζηνο. 12 6
Μεηνλεθηήκαηα ησλ αλαρσκάησλ αζθάιεηαο επηπέδνπ δηθηχνπ H θαηαγξαθή ησλ ζπκβάλησλ είλαη απιντθή. Δελ πξνζθέξνπλ κεραληζκνχο ζπλαγεξκψλ θαη κεραληζκνχο επνπηείαο (auditing) επαξθνχο επηπέδνπ. Πξνυπνζέηνπλ έγθπξεο πεξηνρέο δηεπζχλζεσλ: Επεηδή ηα αλαρψκαηα αζθάιεηαο απηήο ηεο θαηεγνξίαο κεηαθέξνπλ ηελ θίλεζε αλάκεζα ζε δχν δίθηπα, θαζέλα απφ ηα δίθηπα απηά πξέπεη λα έρεη έγθπξε πεξηνρή δηεπζχλζεσλ IP. Δε δηαζέηνπλ κεραληζκνχο απζεληηθνπνίεζεο ζε επίπεδν ρξήζηε. Είλαη ιηγφηεξν αζθαιή απφ ηα αλαρψκαηα αζθάιεηαο επηπέδνπ εθαξκνγήο 13 Αλαρψκαηα Aζθάιεηαο Eπηπέδνπ Eθαξκνγήο πινπνηείηαη σο έλα πξφγξακκα ινγηζκηθνχ ζε κία ζπγθεθξηκέλε πιαηθφξκα ππνινγηζηή ν ππνινγηζηήο απηφο, ζπλήζσο, αλαθέξεηαη σο ππνινγηζηήο-έπαιμε (bastion host) δελ επηηξέπεη ζε θαλέλα παθέην λα πεξάζεη θαηεπζείαλ απφ ην έλα δίθηπν ζην άιιν ε πξαγκαηηθή ζχλδεζε πξαγκαηνπνηείηαη κε κία εθαξκνγή εηδηθνχ ζθνπνχ πνπ εθηειείηαη ζην αλάρσκα αζθάιεηαο, ε νπνία νλνκάδεηαη πληπεξούσια ευαπμογή ή πληπεξούσια ςπηπεσία (proxy application - proxy service). 14 7
Αλαρψκαηα Aζθάιεηαο Eπηπέδνπ Eθαξκνγήο 15 Πιενλεθηήκαηα ησλ αλαρσκάησλ αζθάιεηαο επηπέδνπ εθαξκνγήο Δελ απαηηείηαη εγθπξφηεηα ηεο πεξηνρήο δηεπζχλζεσλ Παξέρνπλ κεγαιχηεξε αζθάιεηα θαη θαιχηεξν έιεγρν πξνζπέιαζεο Παξέρνπλ θαιχηεξε θαηαγξαθή ζπκβάλησλ 16 8
Μεηνλεθηήκαηα ησλ αλαρσκάησλ αζθάιεηαο επηπέδνπ εθαξκνγήο Είλαη δπζθνιφηεξα ζηελ πινπνίεζε Δελ είλαη πάληνηε δηαθαλή πξνο ην ρξήζηε Απαηηείηαη κία μερσξηζηή πιεξεμνχζηα εθαξκνγή γηα θάζε ππεξεζία δηθηχνπ H ηαρχηεηα θαη ε απφδνζε ησλ αλαρσκάησλ αζθάιεηαο επηπέδνπ εθαξκνγήο, γεληθφηεξα, δελ είλαη ηφζν ηθαλνπνηεηηθή φζν ησλ αλαρσκάησλ αζθάιεηαο επηπέδνπ δηθηχνπ 17 Τβξηδηθά Αλαρψκαηα Αζθάιεηαο Αξρηηεθηνληθή Δηπινζπλδεδεκέλσλ Αλαρσκάησλ Αζθάιεηαο Αξρηηεθηνληθή Τπνινγηζηή Δηαινγήο Αξρηηεθηνληθή Τπνδηθηχνπ Δηαινγήο 18 9
Αξρηηεθηνληθή Δηπινζπλδεδεκέλσλ Αλαρσκάησλ Αζθάιεηαο ζηεξίδεηαη ζηε θηινζνθία χπαξμεο ελφο ππνινγηζηή ν νπνίνο έρεη δχν δηεπαθέο δηθηχνπ ε κία δηεπαθή ηνλ ζπλδέεη κε ην εζσηεξηθφ αζθαιέο δίθηπν ε άιιε ηνλ ζπλδέεη κε ην εμσηεξηθφ - δπλεηηθά ερζξηθφ - δίθηπν, ζπλήζσο ην Internet O ππνινγηζηήο απηφο είλαη δηακνξθσκέλνο κε ηξφπν ψζηε λα κε δξνκνινγεί ηελ θίλεζε αλάκεζα ζηα δχν δίθηπα παξέρεη ππεξεζίεο ζηνπο ρξήζηεο κφλν κε ηε ρξήζε πιεξεμνχζησλ εθαξκνγψλ έρεη ην κηθξφηεξν θφζηνο απφ ηηο ηξεηο ελαιιαθηηθέο αξρηηεθηνληθέο πνπ εμεηάδνληαη απνηειεί κνλαδηθφ ζεκείν δπλεηηθήο απνηπρίαο ζην δίθηπν 19 Αξρηηεθηνληθή Τπνινγηζηή Δηαινγήο Απνηειείηαη απφ δχν κέξε: έλαλ ππνινγηζηή-έπαιμε, ν νπνίνο βξίζθεηαη ζπλδεδεκέλνο κφλν ζην εζσηεξηθφ δίθηπν θαη έλα αλάρσκα αζθάιεηαο επηπέδνπ δηθηχνπ, ην νπνίν εκπνδίδεη ηελ θίλεζε πξνο ην εζσηεξηθφ δίθηπν θαη επηηξέπεη ηελ θίλεζε πξνο ηνλ ππνινγηζηή-έπαιμε ηηο πεξηζζφηεξεο ησλ πεξηπηψζεσλ ε αξρηηεθηνληθή ππνινγηζηή δηαινγήο παξέρεη κεγαιχηεξε αζθάιεηα θαη ρξεζηκφηεηα Εάλ φκσο θάπνηα απφ απηέο ηηο δχν ζπζθεπέο απνηχρεη, ηφηε ην δίθηπν εθηίζεηαη ζε θίλδπλν 20 10
Αξρηηεθηνληθή Τπνδηθηχνπ Δηαινγήο 21 Αξρηηεθηνληθή Τπνδηθηχνπ Δηαινγήο Σν πεξηκεηξηθφ δίθηπν (perimeter network) ή αποστπατιωτικοποιημένη ζώνη (De- Militarized Zone - DMZ) Ο ππνινγηζηήο-έπαιμε (bastion host) Ο εζσηεξηθφο δξνκνινγεηήο (interior router choke router) Ο εμσηεξηθφο δξνκνινγεηήο (exterior router access router) 22 11
Εγθαηάζηαζε αλαρψκαηνο αζθάιεηαο ρεδηαζκφο πνιηηηθήο Απφθηεζε πιηθνχ θαη ινγηζκηθνχ Απφθηεζε ηεθκεξίσζεο, εθπαίδεπζεο θαη ππνζηήξημεο Εγθαηάζηαζε πιηθνχ θαη ινγηζκηθνχ Ρχζκηζε ηεο δξνκνιφγεζεο Ρχζκηζε ησλ θαλφλσλ θηιηξαξίζκαηνο παθέησλ Ρχζκηζε κεραληζκψλ θαηαγξαθήο θαη έγθπξεο πξνεηδνπνίεζεο Δνθηκαζηηθφο έιεγρνο ηνπ ζπζηήκαηνο Εγθαηάζηαζε 23 12