02 zaštita na mrežnom sloju
Post on 06-Mar-2016
17 Views
Preview:
DESCRIPTION
TRANSCRIPT
-
Zatita na mrenom sloju
Duan Stamenkovi, M.Sc.
Beograd, 23. oktobar 2014.
-
Bezbednost mrene infrastrukture
Kada govorimo o bezbednosti mree, govorimo o tri faktora:
Ranjivost
Pretnja
Napad
Ranjivost je stepen nemoi koji je prisutan u svakoj mrei i na svakom ureaju.
Ovde su ukljueni ruteri, komutatori, desktop raunari, serveri, pa ak i firewall
ureaji.
Pretnju predstavljaju ljudi koji su zainteresovani i kvalifikovani za iskoriavanje
svake bezbednosne slabosti. Od ovih pojedinaca se moe oekivati da stalno
tragaju za novim slabostima. Pretnje koriste razne alate, skripte i programe za
pokretanje napada na mreu i mrene ureaje.
Cilj napada su najee serveri ili desktop raunari kao skladita informacija i
poverljivih podataka.
-
Bezbednost mrene infrastrukture
Postoje tri osnovne slabosti/ranjivosti:
1. Tehnoloka slabost
2. Slabost konfiguracije
3. Slabost bezbednosne politike
-
Tehnoloke slabosti
Slabost TCP/IP protokola
Hypertext Transfer Protocol (HTTP), File Transfer Protocol (FTP), Internet Control Message
Protocol (ICMP), Simple Network Management Protocol (SNMP), Simple Mail Transfer
Protocol (SMTP) su sami po sebi nesigurni. Zato ?
Najei oblik napada su SYN Floods (jedan od tipova Denial-Of-Service napada u kojem
napada alje uzastopne SYN zahteve ka ciljanom sistemu kako bi konzumirao dovoljno
resursa tako da sistem vie ne reaguje na legitimne zahteve)
Slabosti operativnog sistema
Svaki operativni sistem ima bezbednosne probleme koji se moraju reavati. Unix, Linux,
Mac OS, Windows svi bezbednosni propusti su dokumentovani u arhivama CERT-a
(Computer Emergency Response Team www.cert.org)
Slabosti mrenih ureaja
Razliiti ureaji kao to su ruteri, komutatori i firewall-ovi imaju bezbednosne slabosti koje
moraju biti prihvaene i od kojih se morate zatiti. Glavne slabosti se ogledaju u zatiti
lozinki, nedostatku autentifikacije, protokolima za rutiranje kao i rupama u zatitnim
zidovima.
-
Slabosti konfiguracije
1. Nebezbedni korisniki nalozi
2. Sistemski nalozi sa lozinkama koje je
lako pogoditi
3. Loe podeen pristup internet
uslugama
4. Nesigurna podrazumevana
podeavanja u okviru pojedinih
proizvoda
5. Nezatiena ili pogreno
konfigurisana mrena oprema
1. Korisniki podaci se prenose kroz
nebezbednu mreu
2. Teina lozinke vezana za par
karaktera ili ime
3. Upotreba JavaScript-a u internet
pregledaima
4. Mnogi proizvodi imaju
podrazumevana podeavanja koja
imaju bezbednosne rupe Java
5. Oprema konfigurisana sa pogrenim
parametrima preko protokola za
dinamiko rutiranje moe ugroziti sve
ostale legitimne lanove mree
-
Slabosti bezbednosne politike
1. Nedostatak u pisanju bezbednosnih
polisa
2. Nedostatak u kontinuitetu i
nadogradnji polisa
3. Nedostatak kompatibilnosti izmeu
polisa fizikog i logikog okruenja
4. Nova hardverska i softverska reenja
ne prate polise
5. Nedostatak plana za oporavak od
katastrofe
1. Loe napisane polise u velikoj meri
utiu na bezbednos, DC GPO
2. Pogrean izbor polisa, lakoa
probijanja jednostavnih lozinki
3. Neadekvatan monitoring i
nemogunost nadovezivanja logikih
polisa na fizike
4. Neovlaena promena sistemskih
podeavanja ili instalacija aplikacija
(Chrome, Dropbox, ) moe stvoriti
dodatne bezbednosne propuste.
5. Nedostatak ovog plana omoguava
haos, paniku i zbunjenost usled
napada.
-
Tipovi napada na mrei
Postoji etiri osnovne klase napada:
1.Reconnaissance (izviaki napad)
2.Access (napad radi pristupa)
3.Denial of Service (uskraivanje
usluge)
4.Worms, Viruses, Trojan Horses
(maliciozni softver)
-
Reconnaissance (izviaki napad)
Izvianje je neovlaeno otkrivanje, mapiranje sistema, usluga ili ranjivosti.
Ovaj vid napada je takoe poznat i kao prikupljanje informacije o MAC ili IP
adresama na mrei, o otvorenim portovima na legitimnim korisnicima, o
ranjivostima operativnog sistema, itd
U veini sluajeva, prethodnica je nekoj drugoj vrsti napada.
Primer: ZenMap, Netstat, WireShark
-
Reconnaissance (izviaki napad)
Internet queries (nslookup, whois)
Ping Sweeps (random ping ili
skeniranje mree u potrazi za
aktivnim IP adresama)
Port scans (potraga za otvorenim
portovima na firewall-u sistema ili
ureaja)
Packet sniffers (presretanje paketa
koje alje i prima ciljana adresa)
-
Access (napad radi pristupa)
Neovlaeni pristup sistemu predstavlja sposobnost napadaa da dobije pristup
ureaju za koji nema nalog ili lozinku.
Ostvarivanje pristupa se najee realizuje u vidu hakerskog npada pomou skripti
ili kombinacijom razliitih vrsta alata koji eksploatiu poznate ranjivosti sistema ili
aplikacije koja je napadnuta.
Primer: Reverzni inenjering
-
Access (napad radi pristupa)
Napada moe izvriti napad na korisnike podatke na vie razliitih naina:
Brute-force napad (napad renikom)
Trojan horse program (napad malicioznim kodom koji otvara prostor za pristup)
Packet sniffers (skeniranje paketa u potrazi za korisnikim imenom i lozinkom)
-
Denial of Service (uskraivanje usluge)
DOS napad za cilj ima onemoguavanje ili korumpiranost normalnog rada mree,
sistema ili usluge sa namerom da se ta usluga uskrati legitimnim korisnicima.
DOS napadi variraju, od pada sistema koji je napadnut pa do take usporavanja
tako da sistem nastavlja da funkcionie ali da je skoro u potpunosti neupotrebljiv.
DOS napadi takoe mogu biti sa ciljem da se neke informacije obriu (prepiu).
DOS napade je jednostavno postaviti i realizovati i zbog toga ih se administratori
najvie plae.
-
Denial of Service (uskraivanje usluge)
DOS napadi:
Preoptereenje skladinog prostora, propusnog opsega ili bafera pomou paketa
ogromne veliine (ping of death)
SYN flood (veliki broj paketa)
Packet storms (UDP bomba teradrop)
-
Denial of Service (uskraivanje usluge)
SYN flood (veliki broj paketa)
-
Denial of Service (uskraivanje usluge)
Distributed DOS
-
Worms, Viruses, Trojan Horses
(maliciozni softver)
Maliciozni (zlonamerni) softver moe da se ubaci (instalira) na ciljani sistem i na
taj nain ga oteti ili korumpira. Sa druge strane, neke vrste mogu kopirati sebe
nebrojeno puta i na taj nain opteretiti sistem.
Svojim delovanjem mogu uskratiti pristup mrei legitimnim korisnicima, slati
podatke o navikama korisnika (poseti sajtova), upotrebi raunara, lozinkama
-
Firewall personalnih raunara i SOHO mrea
-
Kontrola naloga i privilegija:
Administrator, obian korisnik, gost, ...
Parental control:
Odreivanje koji korisnici mogu koristiti koje programe i u kom
vremenskom periodu.
Odreivanje zabrana poseivanja pojedinih sajtova i dobijanje
izvetaja o poseenim sajtovima
Deljenje resursa:
Dobra organizacija deljenja fajlova i foldera, ograniavanje privilegija
korisnicima, vidljivost iz drugih mrea, ...
Backup:
Zatitna kopija bitnih podatka
Prevencija i kontrola personalnog raunara
-
Kada su Microsoft Windows operativni sistemi u pitanju esto se
pominje velika trojka za zatitu operativnog sistema:
1. Firewall zatita
2. AntiVirusna i AntiSpyware zatita
3. Windows Update
Kako zatititi raunar od neeljenog sadraja?
-
ta je to Firewall?
Firewall koncept se zasniva na filtriranju saobraaja izmeu pouzdanih i
nepouzdanih mrea, odnosno dolaznih i odlaznih paketa.
Filtriranje paketa se zasniva na IP, TCP, UDP protokolima ali mogu
postojati i drugi kriterijumi kao to je npr. autentikacija korisnika. Ovi
kriterijumi su sadrani u pravilima firewall-a.
Firewall nije isto to i Antivirus i on nas ne moe zatiti od:
Spyware-a i virusa
Exploit-a
PopUp-ova i reklama
Pshishing scams i spam-ova
-
Tipovi Firewall-a
Host orijentisan firewall je firewall koji se nalazi u sklopu operativnog
sisema kao to je Windows 7 ili Unix.
Mreno orijentisan firewall je firewall koji ine ruter, switch i namenski
firewall ureaj.
Hardverski firewall je poseban ureaj koji obezbeuje najvie
performanse.
Softverski firewall je poseban program koji se instalira na nivou
operativnog sistema i koji obavlja ulugu filtriranja saobraaja.
-
Kako Firewall funkcionie
Svaki dolazni paket prolazi kroz filter, vri se njegova inspekcija i
uporeuje se sa listom (Access Control Lists) dozvoljenog
saobraaja:
Ako se paket podudara sa nekim od pravila na listi, paket se
dalje prosleuje TCP/IP protokolu na dalju obradu.
Ako paket ne odgovora nijednom pravilu na listi, paket je
odbaen.
-
Kako Firewall funkcionie
-
Kako Firewall funkcionie
-
Windows 7 Firewall
Podeavanja Windows 7 Firewall-a:
Inbound filtering
Outbound filtering
Pravila firewall-a se kombinuju sa pravilima IPsec-a
Pre Windows Viste, IPsec se konfigurisao posebno i esto je
dolazio u konflikt sa pravilima firewall-a
-
Windows 7 Firewall
Podrka za kompleksna pravila:
IP adrese izvora i destinacije
Portovi izvora i destinacije
Mogunost otvaranja vie portova po jednom pravilu
Vrste interfejsa (Ethernet, Wireless)
Active Directory grupe ili korisnici (IPsec pravila)
Razlika izmeu mrenih konekcija (Home, Work, Public, Domain)
Podrka za kreiranje log fajlova
Omoguava praenje odbaenih/blokiranih paketa
-
Tipovi mrea i Firewall pravila
Domain Podeava administrator mree
Work SOHO mrea za upotrebu u radnom okruenju:
Upaljena je mrena vidljivost izmeu povezanih raunara ali ne i automatsko
deljenje resursa.
Home SOHO mrea za kunu upotrebu:
Upaljena je mrena vidljivost izmeu povezanih raunara i automatsko
deljenje odabranih resursa izmeu lanova mree.
Public Za javna mesta (obino kada se koristi WiFi konekcija):
Ugaena je mrena vidljivost.
Ako je raunar direktno povezan na internet (nema rutera) dobra je praksa da
se mrea definie kao Public.
-
Otvoreni portovi na Firewall-u
25 SMTP
53 DNS
68 DHCP IPv4
80 HTTP
110 POP3
137-139 NETbios
443 SSL
445 CIFS (SMB)
465 SMTP SSL
587 SMTP TLS
546 DHCP IPv6
993 - IMAP
995 POP3 SSL
3389 RDP
5405 NetSupport
-
Demonstracija
Windows 7 Firewall
Linksys WRT54GL Firewall
MS ISA Server 2006 Firewall
MS TMG 2010 Firewall
top related