Föregående föreläsning. Dagens föreläsning. Brandväggar - Vad är det? Säker överföring. Distribuerad autenticering.

Transkript

1 Föregående föreläsning Säker överföring SSL/TLS Distribuerad autenticering Kerberos Digitala pengar Olika protokoll SET Digital vattenmärkning 18/2-02 Distribuerade system - Jonny Pettersson, UmU 1 Dagens föreläsning Brandväggar Intrusion Detection Systems - IDS Helhetssyn på säkerhet 18/2-02 Distribuerade system - Jonny Pettersson, UmU 2 Brandväggar - Vad är det? Information system Gatekeeper function Computing resources (processor, memory, I/O) Data Processes Software Internal security controls Access channel Opponent Human Software En gatekeeper Ett skydd mot ej önskad trafik men också en begränsning för önskad trafik 18/2-02 Distribuerade system - Jonny Pettersson, UmU 3 1

2 Brandväggar - Nivå? En brandvägg filtrerar på något/några/alla protokollnivåer Applikation TCP/UDP IP Ethernet fråga x svar y src port x dest port y src IP x dest IP y protocol z src addr xxxx dest addr yyyy 18/2-02 Distribuerade system - Jonny Pettersson, UmU 4 Brandväggar - HTTP Regel: Tillåt TCP från alla IP till S på port 80 HTTP-server S på port 80 18/2-02 Distribuerade system - Jonny Pettersson, UmU 5 Brandväggar - FTP, active mode Har du fil x? Ja, finns på port y FTP-server S på port 21 Hit med fil x Fil x Dynamisk server på port y 18/2-02 Distribuerade system - Jonny Pettersson, UmU 6 2

3 Brandväggar och protokoll Regel: Tillåt TCP från alla IP till S på port 21 Har du fil x? Finns på port y FTP-server S på port 21 Hit med fil x Dynamisk server på port y 18/2-02 Distribuerade system - Jonny Pettersson, UmU 7 Brandväggar och protokoll (2) Regel: Tillåt TCP från alla IP till S på port 21 K Har du fil x? Finns på port y Hit med fil x Fil x FTP-server S på port 21 Dynamisk server på port y Sensmoral: Brandväggar måste känna till protokoll Ny dynamisk regel: "Tillåt TCP från K till S på port y 18/2-02 Distribuerade system - Jonny Pettersson, UmU 8 Brandväggar - Proxy Dynamisk brandväggskonfiguration Kan hantera protokoll som använder dynamisk porttilldelning Ingen säkerhet på applikationsnivå Öppna portar kan användas för något annat En proxy En gateway på applikationsnivån En klient ser den som en server En server ser den som en klient Säkerhet på applikationsnivån, bryter kommunikationslänken 18/2-02 Distribuerade system - Jonny Pettersson, UmU 9 3

4 Brandväggar - Firewall vs Proxy På transportnivån Packetfiltrerande router På applikationsnivån Proxy server För utgående trafik Relay host För inkommande trafik Oftast kallar man båda typerna för proxy 18/2-02 Distribuerade system - Jonny Pettersson, UmU 10 Brandväggar - Proxy-exempel K Fil x? Port z Skicka fil Fil x Proxy P på port 21, och dynamiskt på port z Fil x? Port y Skicka fil Fil x FTP-server S på port 21 Dynamisk server på port y 18/2-02 Distribuerade system - Jonny Pettersson, UmU 11 Brandväggar - Proxy (2) Endast applikationsdata passerar igenom Dynamiska portar kan inte användas för bus en känner till den äkta proxyn (Varför?) Exempel: HTTP utan proxy GET / f i l. html HTTP-server S på port 80 18/2-02 Distribuerade system - Jonny Pettersson, UmU 12 4

5 Brandväggar - Proxy (3) Exempel: HTTP med proxy GET GET /fil.html HTTP-proxy GET GET /kalle GET GET /olle En-till-många eller många-till-många kommunikation Därför måste klienten känna till proxyn HTTP-server S på port 80 HTTP-server T på port 80 18/2-02 Distribuerade system - Jonny Pettersson, UmU 13 Brandväggar - Designmål 1. Brandväggen ska alltid vara uppe när nätverket är uppe 2. Brandväggen ska vara liten och enkel för rigorös kontroll 3. All trafik mellan in och ut måste passera brandväggen 4. Endast godkänd trafik ska släppas igenom - bestäms av säkerhetspolicyn 5. Brandväggen måste själv vara immun 6. Minimalt med tjänster, endast de nödvändiga 18/2-02 Distribuerade system - Jonny Pettersson, UmU 14 Brandväggar - Default behavior Två skolor: Allt som inte uttryckligen är förbjudet är tillåtet Allt som inte uttryckligen är tillåtet är förbjudet 18/2-02 Distribuerade system - Jonny Pettersson, UmU 15 5

6 Brandväggar - Olika tekniker Servicekontroll Riktningskontroll Accesskontroll Uppförande- (behavior) kontroll För all trafik in och ut 18/2-02 Distribuerade system - Jonny Pettersson, UmU 16 Brandväggar - Möjligheter 1. Single point of defense - Förenklar 2.Ett bra övervakningsställe - Loggar och larm 3. VPN - Virtual Private Network (4. Plattform för annat, tex nätverksövervakning, adressöversättning) 18/2-02 Distribuerade system - Jonny Pettersson, UmU 17 Brandväggar - Begränsningar 1. Kan endast skydda mot attacker som går genom brandväggen 2. Skyddar endast mot externa hot 3.Kan ej skydda mot malicious programs och virusinfekterade filer 18/2-02 Distribuerade system - Jonny Pettersson, UmU 18 6

7 Brandvägg - Bastion Host En maskin som som innehåller en eller flera proxies En kritisk punkt i försvaret 18/2-02 Distribuerade system - Jonny Pettersson, UmU 19 Brandväggar - Konfigurering Proxyn sitter antingen i brandväggen eller i en DMZ (DeMilitarized Zone) Yttre nät Skyddat nät Brandvägg DMZ 18/2-02 Distribuerade system - Jonny Pettersson, UmU 20 Brandväggar - Konfigurering (2) Internet Router or proxy gateway (a) Simple firewall system Private network hosts 18/2-02 Distribuerade system - Jonny Pettersson, UmU 21 7

8 Brandväggar - Konfigurering (3) Bastion host Internet Packet-filtering router Private network hosts Information server (b) Screened host firewall system (single-homed bastion host) 18/2-02 Distribuerade system - Jonny Pettersson, UmU 22 Brandväggar - Konfigurering (4) Bastion host Internet Packet-filtering router Private network hosts Information server (c) Screened host firewall system (dual-homed bastion host) 18/2-02 Distribuerade system - Jonny Pettersson, UmU 23 Brandväggar - Konfigurering (5) Bastion host Internet Outside router Information server Inside router Private network hosts (d) Screened-subnet firewall system 18/2-02 Distribuerade system - Jonny Pettersson, UmU 24 8

9 Brandväggar - Konfigurering (6) Internet Packetfiltering router Webb servers Application servers Data First firewall layer Second firewall layer with load balancing Third firewall layer (e) A secure firewall system according to Wineasy Backend system 18/2-02 Distribuerade system - Jonny Pettersson, UmU 25 Intrusion Detection Systems - IDS Det räcker inte med brandväggar All trafik går ej alltid genom brandväggen Skyddar ej från hot inifrån Är ej immuna mot attacker Kan ej skydda mot tunnlade attacker IDS analyserar beteenden och mönster inom datorsystemet 18/2-02 Distribuerade system - Jonny Pettersson, UmU 26 IDS - Vad de gör? Letar efter tecken på intrång missbruk av resurser Görs genom att analysera information som samlas in från många ställen Assisteras av vulnerability assessment systems kollar efter fel i system och konfigureringsfel som kan utgöra säkerhetsrisker 18/2-02 Distribuerade system - Jonny Pettersson, UmU 27 9

10 IDS - Möjliga tjänster Övervakning och analys av användare och system Kontroll av systemets konfiguration och dess svagheter Integritetskontroll av kritiska filer och system Kollar efter mönster som liknar kända attacker Statisk analys för att hitta onormala aktiviteter Kontrollerar loggar för att titta efter tecken på brott mot säkerhetspolicyn Automatisk installation av patchar Fällor för angripare 18/2-02 Distribuerade system - Jonny Pettersson, UmU 28 IDS - Metoder Passiva Kontroll av konfiguration, passwords o dyl Aktiva Kopiera kända attacker och kolla systemets respons Regelbundna kontroller Security baseline Differentialanalys 18/2-02 Distribuerade system - Jonny Pettersson, UmU 29 IDS - Begränsningar Svåra att ställa in Vad är ett onormalt beteende och vad är ett normalt False positives Alarm i rätt tid Finns det någon som lyssnar efter alarm Diagnos? - Vad ska man göra? Statiska (regelstyrda) eller AI 18/2-02 Distribuerade system - Jonny Pettersson, UmU 30 10

11 Sammanfattning - Verktyg Ett verktyg ger inte ett säkert system Alla verktyg har styrkor och svagheter Det finns gränser för vad de klarar och vad de ska klara Viktigt att förstå detta!!! 18/2-02 Distribuerade system - Jonny Pettersson, UmU 31 Helhetssyn på säkerhet Hotanalys Säkerhetspolicy Implementation av säkerhetspolicyn Framtiden Säkerhet som process 18/2-02 Distribuerade system - Jonny Pettersson, UmU 32 Hotanalys - Lyckad attack 1. Identifiera mål och samla information 2. Analysera informationen och hitta en svaghet 3. Uppnå tillräcklig access till målet 4. Utför attacken 5. Sudda ut spåren och undvik vedergällning Det räcker oftast att stoppa ett steg 18/2-02 Distribuerade system - Jonny Pettersson, UmU 33 11

12 Hotanalys - Försvar Protection Fysisk säkerhet Virtuell säkerhet Trust model Vilka kan man lita på och hur mycket Ett systems livscykel Skydda alla delar i livscykeln Detection Reaction 18/2-02 Distribuerade system - Jonny Pettersson, UmU 34 Hotanalys Skydda mot största riskerna Värdet av det skyddade Annual loss expectancy Attackträd Enligt Schneier 18/2-02 Distribuerade system - Jonny Pettersson, UmU 35 Säkerhetspolicy Syfte och mål Annars blir det ett lapptäcke med hål mellan Grund för val av verktyg Det ska framgå vem som ansvarar för vad Vad man får och inte får göra i nätverket Varför policyn är som den är - VIKTIGT!!! 18/2-02 Distribuerade system - Jonny Pettersson, UmU 36 12

13 Implementation av policyn Val av säkerhetsprodukter/verktyg Test och verifikation av produkter Säkerhetshål kan finnas överallt Ett hål kan sänka hela produkten Hittas ej via beta-testning Inga garantier Kräver experter 18/2-02 Distribuerade system - Jonny Pettersson, UmU 37 Implementation av policyn (2) Rätt åtgärd på rätt ställe Överlappande säkerhetssystem Flera lager av åtgärder Säkerhet som en kedja 18/2-02 Distribuerade system - Jonny Pettersson, UmU 38 Framtiden Ökad komplexitet leder till ökade risker Lära sig av misstag? Buffer-overflow (60- ) Krypteringsalgoritmer Patchar Nya versioner Garantier? Lagar - Brott och straff Outsourcing 18/2-02 Distribuerade system - Jonny Pettersson, UmU 39 13

14 Säkerhet som process Det kommer alltid vara osäkert!!! Det går inte att göra det helt säkert Viktigt välja rätt skydd Vktigt att hela tiden övervaka och uppdatera Risk management 18/2-02 Distribuerade system - Jonny Pettersson, UmU 40 Säkerhet som process - Principer Dela upp systemet i delar Säkra svagaste länken Kanalisera systemet Säkerhet i flera lager Fail sercurely Dölj vad som används Keep it simple Involvera användarna Försäkra att det fungerar (Svårt!) Ifrågasätt ständigt 18/2-02 Distribuerade system - Jonny Pettersson, UmU 41 Säkerhet som process - Flöde Protection Detection Ständig uppmärksamhet Watch the watchers Reaction Någon form av reaktion Recover Counterattack Analysera, diagnosticera, implementera 18/2-02 Distribuerade system - Jonny Pettersson, UmU 42 14

15 Säkerhet på kursen Introduktion till säkerhet Kryptering Autenticering Nyckelhantering Säkerhetsprotokoll Digital vattenmärkning Brandväggar Intrusion Detection Systems Helhetssyn på säkerhet 18/2-02 Distribuerade system - Jonny Pettersson, UmU 43 15