Firewall

Firewall um sistema de proteo de redes internas contra acessos no autorizados originados de uma rede no confivel (Internet), ao mesmo tempo que permite o acesso controlado da rede interna Internet Normalmente envolve hardware e/ou software Existem diversos nveis de proteo diferentes (pacotes, e-mails, navegao, etc.)

2001 / 1

Segurana de Redes/Mrcio dvila

160

Caractersticas de Firewalls
Todo trfego entre a rede interna e a externa (entrada e sada) deve passar pelo Firewall Somente o trfego autorizado passar pelo Firewall, todo o resto ser bloqueado O Firewall em si deve ser seguro e impenetrvel
2001 / 1 Segurana de Redes/Mrcio dvila 161

Controles do Firewall
Controle de Servio: determina quais servios Internet (tipos) estaro disponveis para acesso Controle de Sentido: determina o sentido de fluxo no qual servios podem ser iniciados Controle de Usurio: controla o acesso baseado em qual usurio est requerendo (tipicamente os internos, ou externo via VPN) Controle de Comportamento: controla como cada servio pode ser usado (ex: anti-spam)
2001 / 1 Segurana de Redes/Mrcio dvila 162

Recursos do Firewall
O Firewall define um ponto nico de ligao que oferece proteo a uma rede interna
Pelo fato de ser um ponto nico, o gerenciamento dessa tarefa de proteo mais fcil

O Firewall prov uma localizao para o monitoramento de eventos relacionados com segurana
Atravs de auditorias, histricos e alarmes

2001 / 1

Segurana de Redes/Mrcio dvila

163

Recursos do Firewall
O Firewall uma plataforma conveniente tambm para:
NAT (Traduo de Endereo de Rede) Proxy de Web Gateway de email

O Firewall pode servir como plataforma para VPN

Pode implementar Ipsec, ou outro protocolo

2001 / 1

Segurana de Redes/Mrcio dvila

164

Limitaes de um Firewall
O Firewall no protege contra ataques vindos de outras fontes:
conexes diretas (ex: modem) de mquinas internas para ISPs modems de entrada no passando pelo firewall

O Firewall no protege contra ameaas internas O Firewall no protege contra transferncia de arquivos infectados por vrus
Seria impraticvel analisar o contedo de tudo que trafega
2001 / 1 Segurana de Redes/Mrcio dvila 165

Tipos de Firewall
Existem trs tipos de Firewall:
Filtragem de pacotes Gateways de aplicao Gateways a nvel de circuito

2001 / 1

Segurana de Redes/Mrcio dvila

166

Filtragem de Pacotes
Proteo baseada na filtragem de pacotes entre as redes externa e interna

2001 / 1

Segurana de Redes/Mrcio dvila

167

Filtragem de Pacotes
2 polticas de aplicao de regras aplicveis aos pacotes IP:
Padro = Descartar: tudo o que no expressamente permitido, proibido (+ seguro) Padro = Encaminhar: tudo o que no expressamente proibido, permitido

Pacotes no autorizados so descartados As regras so criadas pelo administrador Regras baseadas nos campos dos pacotes transmitidos (normalmente IP, TCP e UDP)
2001 / 1 Segurana de Redes/Mrcio dvila 168

Filtragem de Pacotes
Exemplo:
bloqueia qualquer conexo com SPIGOT permite receber conexes na porta 25 (SMTP) para o host OUR-GW Permite o uso do servidor de envio de e-mail, exceto quando o outro servidor SPIGOT

2001 / 1

Segurana de Redes/Mrcio dvila

169

Filtragem de Pacotes
Exemplo:
permite conexes para fora na porta 25 (SMTP) em qualquer host

2001 / 1

Segurana de Redes/Mrcio dvila

170

Filtragem de Pacotes
Exemplo melhorado:
permite conexes para fora na porta 25 (SMTP) em qualquer host permite receber pacotes TCP de ACK (somente confirmao) na porta 25 (SMTP)

2001 / 1

Segurana de Redes/Mrcio dvila

171

Gateways de Aplicao

O Firewall autentica o usurio e cria uma segunda conexo para a rede interna

2001 / 1

Segurana de Redes/Mrcio dvila

172

Gateways de aplicao
O gateway de aplicao recebe uma conexo para uma aplicao suportada Autentica o usurio externo atravs de senha Para usurios vlidos uma segunda conexo para um servidor interno estabelecida Todo trfego roteado entre ambas conexes Funciona somente em aplicaes conhecidas
2001 / 1 Segurana de Redes/Mrcio dvila 173

Gateways de Aplicao
Firewall gateways de aplicao tendem a ser mais seguros que filtros de pacote Ao invs de filtrar pacotes com base em regras que cercam inmeras possibilidades, permitem conexes desde que sejam de aplicaes permitidas A grande desvantagem o trabalho extra de identificao feito pelo gateway em cada conexo
2001 / 1 Segurana de Redes/Mrcio dvila 174

Gateways a Nvel de Circuito

O Firewall intermedia todas as conexes TCP recebidas ou para fora da rede

2001 / 1

Segurana de Redes/Mrcio dvila

175

Gateways a Nvel de Circuito

O Firewall no permite que conexes TCP sejam estabelecidas diretamente atravs dele Para cada conexo at o Firewall, o mesmo cria uma segunda at o destino O trfego no monitorado A segurana vem do fato de que nem todas as conexes so permitidas O SOCKS um Firewall a nvel de circuito

2001 / 1

Segurana de Redes/Mrcio dvila

176

Estao Bastio
Estao bastio uma mquina segura instalada em um ponto crtico da rede Executa um sistema operacional estvel e serguro e um conjunto mnimo, seguro e controlado de servios Pode ser plataforma para Firewalls gateways de aplicao ou a nvel de circuito Normalmente proxy de servios Internet Pode ser usado conectado a uma rede, duas ou como subrede
2001 / 1 Segurana de Redes/Mrcio dvila 177

Bastio em uma Rede

No existe isolamento a nvel de rede do bastio para as mquinas protegidas O filtro de pacotes permite conexo de/para Internet apenas entre ela e o bastio

2001 / 1

Segurana de Redes/Mrcio dvila

178

Bastio em duas redes

O acesso para a rede protegida passa obrigatoriamente pelo bastio A segurana do fluxo no depende somente do filtro de pacotes

2001 / 1

Segurana de Redes/Mrcio dvila

179

Bastio em outra sub-rede

A rede interna protegida por outro Firewall Define sub-rede restrita entre os roteadores A Internet s enxerga a sub-rede. A rede interna tambm

2001 / 1

Segurana de Redes/Mrcio dvila

180

Atualizao de Firewall
Os principais recursos de firewall normalmente so software (mesmo quando est instalado em um hardware especfico) Software tem falhas que so descobertas com o tempo essencial que o software do Firewall seja constantemente atualizado Anlise permanente dos logs tambm muito importante
2001 / 1 Segurana de Redes/Mrcio dvila 181