دانشگاه صنعتي بيرجند

1. دانشگاه صنعتي بيرجند فصل چهارم: تعيين استرات‍ژي دفاعي درس مباني امنيّت شبكه هاي كامپيوتري سيد مهدي رضوي 29/07/1387

2. مقدّمه • در اين فصل ضمن آشنايي با استراتژي دفاعي جهت ايمن نمودن شبكه و كاهش خطرات و ريسك هاي موجود آن به معرّفي رايج ترين و ايمن ترين استرات‍ژي دفاعي يعني استراتژي دفاع در عمق خواهيم پرداخت.

3. بهره گيري از استراتژي دفاع در عمق (Defense In Depth) • دفاع در عمق يك استراتژي علمي و عملي براي ايمن نمودن اطلاعات و سيستم هاي مرتبط با آن در محيط شبكه هاي امروزي است و به عنوان يكي از مناسب ترين استراتژي هاي موجود براي تأمين امنيّت مي باشد كه بر اساس سه مؤلفه ظرفيت هاي حفاظتي، هزينه ها و رويكردهاي عملياتي يعني انسان، تكنولوژي و عمليات تأكيد داشته و توازني معقول بين آنها برقرار مي نمايد.

4. بهره گيري از استراتژي دفاع در عمق (Defense In Depth) • محور اصلي يك استراتژي مناسب و كارآمد اصولاً بر اساس ايجاد يك سيكل مدوّن و منسجم امنيّتي براي حفاظت، تشخيص و واكنش مناسب در برابر حملات و تهديدات موجود مي باشد. • حفاظت مطمئن(Protection)، تشخيص به موقع(Detection) و واكنش مناسب(Response) از جمله مواردي است كه مي بايست همواره در ايجاد يك محيط ايمن به آن توجه و آن را به طور كامل رعايت و اجرا نمود.

5. Prevention Response Detection Circle of Security

6. بهره گيري از استراتژي دفاع در عمق (Defense In Depth) • سازمان ها و مؤسّسات علاوه بر يكپارچگي مكانيزمهاي حفاظتي خود مي بايست هميشه آمادگي لازم جهت مقابله با حملات را داشته و خود را با ابزارهاي تشخيص و روتين هاي واكنش سريع مجهز نمايند تا زمينه برخورد مناسب با مهاجمان براي آنها فراهم گردد.

7. بهره گيري از استراتژي دفاع در عمق (Defense In Depth)

8. بهره گيري از استراتژي دفاع در عمق (Defense In Depth)

9. اركان اصلي استراتژي دفاع در عمق • انسان • تكنولوژي • عمليات

10. Defense-in-Depth Strategy • Information Assurance Strategy • Ensuring confidentiality, integrity, and availability of data • People • Hire talented people, train and reward them • Technology • Evaluate, Implement, Test and Assess • Operations • Maintain vigilance, respond to intrusions, and be prepared to restore critical services

11. اركان اصلي استراتژي دفاع در عمق (انسان) • موفّقيّت در ايمن سازي اطلاعات و سيستم ها با پذيرش مسئوليّت مديران شبكه و بر اساس شناخت مناسب از تهاجمات حاصل مي گردد. • نيل به موفّقيّت مطلوب با بكارگيري سياست ها و روتين هاي مناسب، تعيين دقيق وظايف و مسئوليّت ها و آموزش درست و به موقع منابع انساني امكان پذير مي باشد.

12. اركان اصلي استراتژي دفاع در عمق (انسان) • با توجه به جايگاه ويژه مديران شبكه در ايجاد يك محيط ايمن لازم است به موارد زير توجه نمود: • تدوين سياست ها و دستورالعمل هاي مناسب براي شبكه. • ارائه آموزش هاي لازم جهت افزايش دانش و اطلاعات كاربران در خصوص مسائل امنيّتي. • مديريّت متمركز سياست هاي امنيّتي. • امنيّت فيزيكي سيستم هاي موجود. • امنيّت اطلاعات موجود و اطلاعات ارسالي. • تدابير لازم الاجرا براي پيشگيري و مقابله با حملات.

13. اركان اصلي استراتژي دفاع در عمق (تكنولوژي) • امروزه از ابزار و تكنولوژي هاي متعدّد به منظور ارائه سرويسهاي لازم در رابطه با امنيت و تشخيص به موقع حملات استفاده مي شود. • سازمانها و مؤسسات مي بايست سياست ها و فرآيندهاي لازم به منظور استفاده صحيح از يك تكنولوژي را مشخص نموده تا زمينه انتخاب، پيكربندي و بكارگيري درست از آن در سازمان فراهم گردد. • در اين رابطه مي بايست مواردي همچون سياست هاي امنيّتي، اصول ايمن سازي، استانداردهاي معماري امنيّتي، استفاده از محصولات شناخته شده، پيكربندي صحيح و تستهاي لازم براي ارزيابي ريسك سيستم هاي مجتمع مورد توجه قرار گيرد.

14. اركان اصلي استراتژي دفاع در عمق (تكنولوژي) • امنيت لايه اي يا Layered Security به معناي دفاع و مقابله در چندين سطح يكي از ايمن ترين رهيافت هاي استراتژي دفاع در عمق مي باشد. • از آنجا كه مهاجمان اطلاعاتي و نفوذگران(داخلي و خارجي) ممكن است يك هدف را از چندين نقطه مورد تهاجم قرار دهند بنابراين لازم است از روشهاي حفاظتي متفاوت در چندين سطح استفاده نمود تا زمینه عكس العمل مناسب براي مقابله با انواع حملات را فراهم نماييم.

15. اركان اصلي استراتژي دفاع در عمق (عمليات) • منظور از عمليات(Operations) ، مجموعه فعاليت هايي كه جهت نگهداري وضعيت امنيتي يك سازمان در حدّ مطلوب اجرا مي شوند، مي باشند. در اين رابطه مواردي را لازم است كه به آن توجه نمود: • پشتيباني و بروز رساني سياست هاي امنيتي مطابق با تحولات صورت گرفته. • تأمين اطلاعات ضروري براي مديريت ريسك و تهديدات. • مديريت وضعيت امنيتي سيستم ها با نصب Patch هاي امنيتي و بهنگام سازي منظم نرم افزارهاي آنتي ويروس و پيكربندي صحيح ابزارهاي امنيتي.

16. اركان اصلي استراتژي دفاع در عمق (عمليات) • اجراي سرويس هاي مديريتي و نظارتي و حفاظت از زيرساختهاي مهم اطلاعاتي. • ارزيابي سيستم هاي امنيتي با استفاده از ابزارهايي كه نفوذگران براي نيل به مقاصد خود از آنها بهره مي گيرند. • واكنش مناسب در مقابل حملات در حال وقوع. • پاسخ مناسب به حملات صورت گرفته به منظور پيشگيري از تكرار موارد مشابه. • بازسازي و برگردان امور به حالت اوليه.

17. Layered Security امنیّت لایه ای یا Layered Security رهیافتی از استراتژی دفاع در عمق می باشد.

18. چرا امنیّت لایه ای؟ • زیرا بهترین محصولات و ابزارهای مرتبط با امنیّت دارای نقاط ضعف ذاتی و نیز آسیب پذیری های جدّی می باشند، بنابراین همیشه زمان لازم و مناسب برای نفوذ به سیستم ها وجود خواهد داشت و لازم است قبل از سوء استفاده از سازمان و سیستم های آن اقدامات مناسبی جهت مقابله با اینگونه تهدیدات صورت گیرد. • هریک از مکانیزم های امنیّتی انتخاب شده، بایستی قادر به ایجاد موانع لازم در ارتباط با حفاظت و تشخیص به موقع حملات را دارا باشند. • این باعث خواهد شد که زمان لازم برای امکان شناسایی و تشخیص به موقع و انجام عملیات نفوذ توسط نفوذگران افزایش و از طرفی شانس آنها برای اجرای خواسته های شان کاهش یابد.

19. سطوح و لایه های امنیّتی در امنیّت لایه ای • Perimeter • Network • Host • Application • Data

20. سطوح و لایه های امنیّتی در امنیّت لایه ای

21. Perimeter Security(لایة امنیّت محیط پیرامون) • این لایه به عنوان اولین لایة امنیّتی، اوّلین و آخرین نقطة ارتباطی با شبکة نامطمئن خارجی(اینترنت)محسوب میشود. • بنابراین مرز بین شبکة داخلی و اینترنت و یا هر شبکه مرتبط با شبکة موجود را مشخص می کند و شامل یک یا چند فایروال و مجموعه ای از سرورهای عمومی همچون Web server, Anti Server,DNS,E-mail Gateway و کلیة سرورهای خارجی که به طور کلی بخش عمومی شبکه را تشکیل می دهند و به عموم کاربران اینترنت سرویس می دهند را در برمی گیرد.

22. Network Security(لایة امنیّت شبکه) • این لایه به امنیّت شبکة داخلی که مجموعه ای از کامپیوترهای سرویس گیرنده، سرویس دهنده و سایر تجهیزات شبکه ای که در پشت لایة اول امنیّتی پنهان می شوند می پردازد. ابزارهایی که در این لایه قرار می گیرند عبارتند از: سیستم IDS(Intrusion Detection System) و IPS(Intrusion Prevention System) یا سیستم کشف نفوذ و سیستم جلوگیری از نفوذ. • سیستم های IDS با اعلام خطر به مسئول شبکه سریعاً وقوع یک حمله را گزارش می دهند و IPSها نیز جهت مقابله بطور اتوماتیک چنین ترافیکی را بلوکه می نماید.

23. Host Security(لایة امنیّت میزبان) • این سطح امنیّتی تنها به تجهیزات منفرد شبکه از جمله سرورها، کلاینت ها، سوئیچ ها، روترها، فایروالها و غیره وابسته بوده و برای هر یک از این سیستمها لازم است تعداد زیادی پارامترهای پیکربندی و امنیّتی را به دقّت اعمال نمود که عدم رعایت و یا پایبندی به آن، خود باعث ایجاد شکافهای امنیّتی فراوان در شبکه می شود. • پارامترهای قابل تنظیم به ازای هر میزبان شامل تنظیمات رجیستری و پیکربندی، نصب Patchهای عرضة شدة سیستم عامل و برنامه های کاربردی موجود بر روی آن می باشد.

24. Application Security(لایة امنیّت برنامه های کاربردی) • امروزه این لایة امنیّتی بیشتر مورد توجّه شبکه ها قرار گرفته زیرا امنیّت پایین برنامه های کاربردی ارائه شده توسط سازندگان و توسعه دهندگان، دسترسی راحت و آسان به اطلاعات محرمانة شرکت و سازمان را برای مهاجمان فراهم می نماید. • از آنجا که این برنامه ها جهت فراهم نمودن دسترسی راحت مشتریان، شرکای تجاری و ... غالباً بر روی وب قرار می گیرند بیشتر مورد توجّه نفوذگران می باشند. • از این رو لازم است برای مقابله با چنین تهدیداتی و کاهش ریسک حملات موجود یک استراتژی جامع حفاظتی را برای استفادة صحیح از اینگونه برنامه ها وضع نمود.

25. Data Security(لایة امنیّت داده ها) • سیاست امنیّتی در این لایه آمیزه ای از اعمال سیاست رمزنگاری داده و بکارگیری صحیح تکنیک های ارتباطی موجود می باشد. • امنیّت داده های موجود بر روی سیستم های حیاتی نیز به طور گسترده به سیاست های اتّخاذ شده جهت اجرای فرآیند رمزنگاری و کنترل دسترسی به داده و اینکه چه افرادی مجاز به استفاده از چه داده هایی می باشند و چه شخصی مسئول تأمین صحّت و درستی آن بوده، وابسته می باشد.

26. Web Security Network Security Email Security Topics • The Security Struggle • Security Applications • Web Security • Email Security • Network Security

27. THAT ARE DIFFICULT TO INTEGRATE AND MANAGE DEMAND MULTIPLE DEFENSES VPN • Evaluate • Purchase • Train • Install • Integrate • Configure • Manage • Update Firewall Intrusion Detection Anti- Virus URL Filtering Spam Blocking Anti- Spyware The Security Struggle MULTIPLYING THREATS

28. VPN • URL Filter • IDS • Email Anti Virus • Firewall • 2000 The growing demand for Internet Security • Central report tool • Central config tool • Central mgmt tool • Signing/encryption • VoIP Security • VPN Remote access • NAC • Wireless security • P2P filter • IM filter • Anti Spyware • Multi protocol AV • IPS • VPN • URL Filter • IDS • Email Anti Virus • Firewall • 2005 • App 3 • App 2 • App 1 • UTM Gateways • Clean pipe • 2010 • Firewall • 1995

29. Web Filtering Content Filter Anti Virus & Spyware IM & P2P Control Firewall IPS VPN Network Protection Email Security Spam Filter Anti Virus & Phishing Encryption Integrated Email, Web and Network Protection

30. Firewall and VPN Internet External users Internal users LANs Intrusion Protection Content Filtering– Virus/Spam/URL/Spyware/Phishing Database Email Web Internal Resources Layered Security Astaro Security Gateway V7

31. Web Security Network Security Email Security Update Management Interface Installation Logging and Reporting Integrated Management

32. Virus Protection Content Filtering Web Security Spyware Protection IM and P2P Control Web Security Network Security Email Security

33. Spyware Protection • Blocks downloads of spyware, adware, and other malicious software • Prevents infected systems from sending information back to the spyware server • Checks against a database of known spyware URLs • Gateway spyware blocking complements desktop anti-spyware tools

34. Virus Protection for the Web • Block viruses, worms, trojans, and other “malware” before they reach desktops • Scans HTTP and FTP traffic • Web & ftp downloads • Web-based email (MSN Hotmail, Yahoo! Mail) • Dual virus scanners with multiple detection methods • Virus signatures, heuristic analysis • Database of more than 300,000 virus signatures • Frequent automatic updates • Flexible management • Can specify file formats and text strings to block

35. Content Filtering (URL Blocking) • Enforces policies on appropriate use of the web • Administrators can define web use policies based on pre-defined categories of web sites • Nudity, gambling, criminal activities, shopping, drugs, job search, sports, entertainment, etc. • Sophisticated classification techniques • text classification, recognition of symbols and logos • Whitelists and blacklists to tailor access for groups of users • Measure and report on activities

36. Email Security Virus Protection Phishing Protection Spam Protection Email Security Web Security Network Security Email Security

37. Virus Protection for Email • Block viruses, worms, trojans, and other “malware” before they reach email servers of desktops • Scans SMTP and POP3 traffic • Dual virus scanners with multiple detection methods • Virus signatures, heuristic analysis • Database of more than 300,000 virus signatures • Frequent automatic updates • Flexible management • Can specify file formats and text strings to block • Emails and attachments can be dropped, rejected with message to sender, passed with a warning, quarantined • Gateway virus protection supplements desktop virus scanning.

38. Spam Protection • Identifies and disposes unsolicited emails (spam) • Scans SMTP and POP emails • Multiple methods to identify spam • Realtime Blackhole Lists, header and text analysis, whitelists, blacklists, URL scanning, greylisting, BATV, SPF record checking… • Heuristic methods create a “spam score” based on probability • Flexible management • Emails and attachments can be dropped, rejected with message to sender, passed with a warning, quarantined • User can individually release blocked messages via daily spam report or end user portal

39. Email Internet Scans for phishing signatures Databases of Phishing Sites Web Server Email Server Protection Against “Phishing” • “Phishing” – • Criminals imitate emails from banks, credit card companies, eBay and other sources to obtain confidential user information • Astaro identifies and blocks phishing emails through several techniques: • Virus scanner identifies phishing signatures • URL filtering database captures phishing servers in the “suspicious” category • Content downloaded from web sites will be blocked if it matches patterns of phishing content

40. Email Security Email Encryption Email Security Web Security Network Security

41. Internal User Email in clear text Email Server SMTP Encrypted Email External User ‘snmffdsa g Dsfg sdfgdsfgfdg Fdsg fgsdfgsdfgdsf Sfdgsdfdsfgsdf Fg fdsgdsfgsdfg Dfgdfsgfdsgfdsg dslsgdsfg Email Encryption • En-/Decryption and Digital Signatures for Emails • supports OpenPGP and S/MIME • Completely transparent • No additional Software on Client required • Easy Setup • Only three configuration steps to start • Central Management of all keys and certificates • No key or certificate distribution required • Allows Content/Virus scanning even for encrypted SMTP emails

42. Firewall Web Security Network Security Network Security VPN Gateway Intrusion Protection Email Security Network Security

43. Firewall • Stateful Packet Inspection • Packet filtering – inspects packet headers • Stateful packet inspection – tracks events across a session to detect violations of normal processes • Time-based rules and Policy-based routing • Application-Level Deep Packet Filtering • Scans packet payloads to enforce protocol-specific rules • Security proxies to simplify management • HTTP, FTP, POP3, SMTP, DNS, Socks, Ident • NAT (Network Address Translation) and masquerading • DoS (Denial of Service Attack) protection • Transparent mode eases administration

44. Virtual Private Network (VPN) Gateway • Encrypts data to create a secure private communications “tunnel” over the public Internet • Supports IPSec, SSL, L2TP, and PPTP VPNs • Windows, Linux, Unix and MacOS x clients • Advanced encryption • Supports all major encryption methods • Many authentication methods • Internal certificate authority • Full Public Key Infrastructure (PKI) support • Supports VPN tunnels based on dynamic IP interface addresses (DynDNS)

45. Intrusion Protection • Identifies and blocks application- and protocol- related probes and attacks • Database of over 6,000 patterns and rules • Probing, port scans, interrogations, host sweeps • Attacks on application vulnerabilities • Protocol exploitations • Intrusion detection and prevention • Notify administrator, or block traffic immediately • Powerful management interface • One click to enable or disable complete rule sets e.g. for email- or webservers