1 / 30

Datasikkerhet v r 2003

24.03.2003. Hi

andrew
Télécharger la présentation

Datasikkerhet v r 2003

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

    1. Datasikkerhet vr 2003 Forelesning 12 Brannmurer

    2. 24.03.2003 Hi Forelesning 12 2

    3. 24.03.2003 Hi Forelesning 12 3 Design-prinsipper Brannmuren plasseres mellom eget nettverk og Internett Ml: Etablere en kontrollert linje; Beskytte eget nettverk mot Internett-baserte angrep; Tilby ett enkelt punkt der trafikken kan blokkeres;

    4. 24.03.2003 Hi Forelesning 12 4 Brannmurer Ml for design av brannmur All trafikk inn og ut av nett skal passere gjennom brannmuren Kun autorisert trafikk, definert av den lokale sikkerhetspolicy, skal tillates passere Brannmuren skal selv vre immun mot innbrudd

    5. 24.03.2003 Hi Forelesning 12 5 Fire generelle teknikker Kontroll med tjenestene. Bestemmer hvilke Internett-tjenester som kan aksesseres - innkommende og utgende. Kan filtrere p basis av IP-adresser og TCP portnummer; Kan omfatte proxy-programvare som mottar og interpreterer service requests Retningskontroll Hvilken vei kan en gitt tjeneste initieres (skal f.eks. ftp kunne initieres innenfra, utenfra eller begge veier) hvilken vei kan data flyte Brukerkontroll Kontrollere aksess basert p hvem brukeren er Kan benyttes begge veier Oppfrselskontroll Kontrollere hvordan tjenester brukes - f.eks. filtrere epost meldinger for hindre spamming

    6. 24.03.2003 Hi Forelesning 12 6 Muligheter Definerer en enkel sluse; som holder uautoriserte brukere ute (og egne brukere og tjenester inne) ett punkt forenkler sikringen/konfigureringen (men kan bli en flaskehals) Ett enkelt sted der trafikk kan overvkes og logges - implementere revisjon og sikkerhetsalarmer Et hensiktsmessig sted plassere diverse felles funksjonalitet adressekonvertering far eksternt til internt adresserom Plattform for sikkerhetsfunksjoner IPsec kryptografiske tuneller autentisering av eksterne

    7. 24.03.2003 Hi Forelesning 12 7 Begrensninger Beskytter ikke mot bakdrer modemer eller andre offisiellle eller uoffisielle tilknytninger til eksternt nett Beskytter ikke mot interne trusler Kan ha problemer med stanse ondsinnet programvare ol. i vedlegg siden man p baksiden av brannmuren kan ha mange forskjellige systemer/operativsystemer

    8. 24.03.2003 Hi Forelesning 12 8 Typer brannmurer Pakkefiltere Portnere p applikasjonsniv Linjebasert portnere (circuit level) Bastion host

    9. 24.03.2003 Hi Forelesning 12 9 Pakkefilter

    10. 24.03.2003 Hi Forelesning 12 10 Pakkefilter funksjonalitet Hndhever et sett regler p mottatte IP pakker videreformidler (forward) eller forkaster (discard) filtrerer begge veier - innkommende og utgende filtrere p felt i IP og transport (f.eks. TCP og UDP) hode avsender IPadresse, mottager IPadresse, protokollfelt (TCP/UDP), portnummer konfigureres som et sett med regler som skal avgjre om forward eller discard. Hvis ingen regel kommer til anvendelse, benyttes standard, som kan vre discard (konservativ, initielt alt er stengt inntil man bevisst pner) eller forward

    11. 24.03.2003 Hi Forelesning 12 11 Pakkefiltereksempel A

    12. 24.03.2003 Hi Forelesning 12 12 Pakkefiltereksempel B

    13. 24.03.2003 Hi Forelesning 12 13 Pakkefiltereksempel C

    14. 24.03.2003 Hi Forelesning 12 14 Pakkefiltereksempel D

    15. 24.03.2003 Hi Forelesning 12 15 Fordeler og ulemper Fordeler Enkle regler transparente for brukere raske Ulemper Vanskelig sette opp alle reglene komplett og riktig Ingen autentisering

    16. 24.03.2003 Hi Forelesning 12 16 Angrep p pakkefiltere IP address spoofing Angriper sender pakker fra utsiden med avsenderadresse fra maskin p innsiden Tiltak: Ikke tillate pakker fra utsiden med avsenderadresse fra vrt adresserom Fragmenteringsangrep Angriper sender pakker delt opp i sm fragmenter, TCP header deles p flere fragmenter. Forsker omg filterregler som avhenger av TCP header info, og som kanskje kun tester p frste fragment Tiltak: Avvise alle TCP pakker som er fragmentert (IP Fragment Offset lik 1

    17. 24.03.2003 Hi Forelesning 12 17 Proxy basert brannmur

    18. 24.03.2003 Hi Forelesning 12 18 Funksjonalitet Proxy gateway Fungerer som rele p trafikk p applikasjonsniv Inneholder proxyer (stedfortreder) for de aktuelle applikasjoner Inneholder gjerne ogs pakkefilterfunksjonalitet Kan regulere hvilke brukere som fr bruke hvilke applikasjoner Transparent: Ingen autentisering av innsidere Ikke-transparent: plogging p brannmur Sterk autentisering p innkommende anrop Aktivitet kan logges Isolerer intern IP trafikk fra ekstern Privat adresserom p innsiden av brannmur Skjuler eksistensen av interne systemer Kan regulere p applikasjonsspesifikke funksjoner - FTP Put file NB! Hver ny applikasjon krever ny (proxy-)programvare

    19. 24.03.2003 Hi Forelesning 12 19 Eksempel brannmur konfigurasjon

    20. 24.03.2003 Hi Forelesning 12 20 Eksempel - aksessliste i proxy basert brannmur

    21. 24.03.2003 Hi Forelesning 12 21 Linjebasert brannmur

    22. 24.03.2003 Hi Forelesning 12 22 Linjebasert (circuit-level) Setter opp to forbindelser (en p innsiden og en p utsiden) Kopierer segmenter fra en forbindelse til den andre Ingen bevissthet om applikasjonsfunksjoner Regulerer p bakgrunn av til/fra adresser.

    23. 24.03.2003 Hi Forelesning 12 23 Tre arkitekturer Screened host brannmurer (single-homed bastion host) Dual homed host Screened subnet

    24. 24.03.2003 Hi Forelesning 12 24 Single homed bastion host

    25. 24.03.2003 Hi Forelesning 12 25 Screened host firewall Single-homed bastion Brannmur bestr av to systemer Ruter med pakkefilterfunksjonalitet En bastion host Ruter konfigureres slik at Trafikk fra utsiden kun aksepteres hvis mottaker er bastion. Trafikk ut fra innsiden aksepteres kun hvis avsender er bastion. Hvis ruter kompromitteres vil trafikk kunne omg brannmur Bastion host utfrer autentisering og proxy-funksjoner Fordeler Implementerer bde pakkefilter og applikasjonsnivfiltrering En angriper m trenge gjennom to forskjellige systemer Ulempe Hvis ruter kompromitteres vil trafikk kunne omg brannmur

    26. 24.03.2003 Hi Forelesning 12 26 Dual homed host

    27. 24.03.2003 Hi Forelesning 12 27 Dual homed host All trafikk m gjennom proxy server; Ikke helt avhengig av ruteren med pakkefilter;

    28. 24.03.2003 Hi Forelesning 12 28 Screened subnet

    29. 24.03.2003 Hi Forelesning 12 29 Screened subnet Det er n tre barrierer p veien inn Ruter; Bastion; Ruter. Innkommende Kun adresse til subnet med Bastion kjent p utsiden Privat nett skjult bak innerste ruter med eget adresseomrde Utgende Kun subnettets adresser kjent for systemer p privat nett; De kan derfor ikke selv sette opp direkte forbindelser til systemer p internett

    30. 24.03.2003 Hi Forelesning 12 30 Brannmur og DMZ

    31. 24.03.2003 Hi Forelesning 12 31 Trusted Systems En mte forbedre evnen til forsvare systemer mot inntrengere og ondsinnet programvare.

    32. 24.03.2003 Hi Forelesning 12 32 Data Access Control Ved login kan en bruker identifiseres og auteniseres overfor systemet Assosiert med hver bruker kan det finnes en profil som spesifiserer lovlige handlinger og filaksess Operativsystemet kan hndheve regler basert p brukerprofilen.

    33. 24.03.2003 Hi Forelesning 12 33 Aksesskontroll Generelle aksesskontrollmodeller: Aksesskontrollmatriser Aksesskontrollister Adgangskortlister (capability list) Sikkerhetsmerker

    34. 24.03.2003 Hi Forelesning 12 34 Aksesskontroll Aksesskontrollmatrise

    35. 24.03.2003 Hi Forelesning 12 35 Aksesskontroll Aksesskontrollmatrise grunnleggende elementer Subjekter: Noe som kan aksessere objekter. Typisk prosess p vegne av bruker Objekt: Alle ressurser som er underlagt aksesskontroll f.eks. filer, programmer, kanaler Aksessrettighet: Den mten som et objekt brukes av et subjekt f.eks. Lese, skrive, eksekvere

    36. 24.03.2003 Hi Forelesning 12 36 Aksesskontroll Aksesskontrolliste: Matrisens kolonner Til hvert objekt finnes en liste over vilke subjekter som har rettigheter og vilke disse rettigheter er Adgangskort - Matrisens rader Hvert subjekt har adgangskort som inneholder spesifikasjoner av vilke objekter subjektet har rettigheter og og vilke rettigheter dette er

    37. 24.03.2003 Hi Forelesning 12 37 Trusted Systems - Konseptet Beskyttelse av data og andre ressurser p basis av sikkerhetsniver (f.eks. militre) Brukere kan gis klarering til visse kategorier av data Flerniv sikkerhet Definisjon av flere niver av data Et flernivsikkert system m hndheve: No read up (ikke lese ovenfor). Et subjekt kan kun lese objekter med lavere eller samme sikkerhetsniv. No write down (Ikke skrive nedover): Et subjekt kan kun skrive til et objekt p samme eller hyere sikkerhetsniv.

    38. 24.03.2003 Hi Forelesning 12 38 Trusted Systems - Konseptet

    39. 24.03.2003 Hi Forelesning 12 39 Trusted Systems Reference monitor Refernce monitor Er kontrollerende element i maskinvare og operativsystem som regulerer aksess til objekter p bakgrunn av sikkerhetsparametre Har aksess til en fil sikkerhetskjernens database Hndhever sikkerhetsreglene (policyen - no read up, no write down) Egenskaper ved Reference Monitor Fullstendig formidling (mediation); Policy/regler hndheves for hver aksess Isolering: Monitor og database beskyttet mot uautorisert modifikasjon Verifiserbar: Monitorens korrekthet m kunne bevises (matematisk) Et system som tilfredsstiller disse krav er Trusted

    40. 24.03.2003 Hi Forelesning 12 40 Trusted Systems som forsvar mot Trojanske hester

    41. 24.03.2003 Hi Forelesning 12 41 Trusted Systems som forsvar mot Trojanske hester

More Related