04.28. Tûzfalak

Mi az a tûzfal? Nehéz kérdés, vagy inkább könnyû?! „Csodaszer, kint tartja a virusokat, meg a csúnya-gonosz hackereket!” „Hálózati határvédelmi eszköz, ami a biztonságtechnikai szabályzat hálózati forgalomra vonatkozó szabályait betartatja.” Értsd: valamilyen módon szûri a hálózati forgalmat A kérdés általában csak az, hogy ezt milyen módon teszi (flame-war)

Vírus-keresõk újra A legtõbb vírus/trójai/spyware már nem diskeken terjed, hanem a hálózaton keresztül Ha sikerülne megfogni a veszélyes tartalmat a hálózaton, az jó lenne... Worm-ok miatt a legtõbb kliens gép az interneten ki van téve valamilyen támadásnak Egy alap winXP az interneten csak pár percet él túl Megoldás: Hálózati kapcsolatok ellenõrzése a kliens gépeken

Personal-tûzfalak Ez is tûzfal, még ha a „komoly-tûzfalasok” le is nézik... Egy gép, általában kliens védelmét látják el Ma többnyire integrálva vannak valamilyen vírus-keresõ megoldással Nem csupán a hálózati forgalmat ellenõrzik! Alap-elv: Kivülrõl -> befelé mindent tilos Belülrõl -> kifelé van pár dlog engedélyezve

Personal-tûzfalak mûködése Csomagokat általában kapcsolatonként kezelik, szûrik (tiltás, engedélyezés) Kimenõ kapcsolatokat programokhoz, és ezen keresztül felhasználókhoz kötik. Leginkább beépített policy-kat használnak, és automatikusan tanulnak Kimenõ kacsolat kezelésére rákérdeznek a felhasználónál...

Hálozati tûzfalak Cél: hálózati határpontokon a forgalom szûrése Markáns példa: Internet – Intranet „Hálózati hozzáférés-vezérlés” Hasonlóan mint egy „szerveren” a fájl-elérés Probléma: hálózati szinten nehéz definiálni a hozzáférés tipusokat Pl: egy web oldal lekérése az minek minõsül? Cél: covert-channel-el minimalizálása Mindent tilos, ami explicit nem engedélyezett! (Minimal privilage) Hardware – software megoldások

Tûzfal transzparencia Egy tûzfal transzparens, ha az engedélyezett szolgáltatások tekintetében észrevehetetlen A kliens oldalon nem igényel semmilyen speciális beállítást, programot A kliens ilyenkor közvetlenül a szerverhez kapcsolódik Nem-transzparens eset, pl: böngészõben a proxy Szerver oldalon a kapcsolatot a szerver a kliens felől érzékeli, nem a tûzfaltól

Tûzfalak fejlõdése Meglévõ eszközök kibõvítése Router -> csomagszürõk Bastion-host -> proxy IDS+csomagszürõ -> IPS A fõ cél általában a kényelem és az ár volt...

Tûzfalak fejlõdése SOCKS PROXY IDS/IPS

Tûzfalak szabályrendszere Szabály rendszer legtõbbször valamilyen rule- settel van reprezentálva ACL = Access Control List: FROM 0.0.0.0/0 TO 0.0.0.0/0 PORT 80 ACCEPT FROM 1.2.3.4 TO 5.6.7.8 PORT 22 ACCEPT DENY

L7 ellenörzés Mai támadások általában az alkalmazás-szinten vannak, cél: ezt a szintet ellenörizni! Probléma: csomgszürõ rendszerek inkább csak a hálózati réteggel foglalkoznak IDS = Intrusion Detection System Ismert minták alapján behatolás, támadás érzékelése, és riasztás IPS = Intrusion Prevention System IDS ami nem csak riaszt Mindent szabad, ami nincs tiltva!

IDS - IPS Vannak host és hálózati szintû IDS-ek Hálózati IDS figyeli a hálózati forgalmat (sniff) Host IDS a gép egyes mûködési paramétereit ellenörzi (pl: syscal, napló stb.) Preventiv – Detectiv hozzá-állás Preventiv nem 100%-os, ezért kell a detectiv Javítás Korektiv módszerekkel Mi van a nem ismert támadásokkal? (0-day) Vírus-keresõkhöz hasonló heurisztikák Agregált, és statisztikai ingadozások figyelése

UTM Unified Threat Management Egységes fenyegetés kezelés Célja: a különbözõ veszély-források egységes kezelése Általában probléma a túl nagy mennyiségû információ, és azok kezelése Általában integrált vírus-keresõ, tûzfal, IDS/IPS rendszer (kávét sajnos nem fõz!) Tipikus felhasználás: SMB piac Ma már elterjedt enterprise környezetben is Általános incidens menedzsment, even-corelation, risk mgmt stb.

Speciális tûzfalak Bizonyos „tûzfalak” speciális protokolok kezelésére vannak tervezve: gateway-ek Nem a teljes forgalommal foglalkoznak, hanem csak egy jól meghatározott részével. Virus-wall: virus/spam szûrés a hálózaton Http, smtp, pop3 stb protokolokban WEB-tûzfalak: csak a webes forgalom ellenõrzése, tartalom szûrés XML-tûzfalak, sok kommunikáció használ XML alapu ûzeneteket: SOAP, XML-RPC (middleware)

Pár tûzfal „termék” Proxy Csomagszürõ alap Socks + egyéb TIS FWTK, Gauntlet, Cyberguard, Zorp, Rex, Sidewinder G2, ALF Csomagszürõ alap CheckPoint/Nokia FW-1, Juniper Netscreen, Cisco PIX, iptables/ipchains/pf/ipf, Astaro Security Linux, SonicWall Socks + egyéb MS ISA 2000

Források https://listserv.icsalabs.com/mailman/listinfo/fire wall-wizards http://www.icsalabs.com/icsa/main.php?pid=gdd fg http://www.balabi.hut/common- dl/wps/WP_theevolutionofthefirewall_060626_h u.pdf

Szorgalmi feladat Állítsd össze egy átlagos internet felhasználáshoz szükséges tűzfal szabályzatát! Topológia: Kliens – Tűzfal – Internet „Mit állítanál be az adsl-router-en?” Milyen tűzfal-tipust választanál?