Download - Bezpieczeństwo sieci i odtwarzanie po awarii
Bezpieczeństwo sieci i odtwarzanie po awarii
dr inż. Maciej MiłostanInstytut Informatyki,
Politechnika Poznańska
BEZPIECZEŃSTWO SIECICzyli jak chronić sieć przed nieautoryzowanym dostępem
Internet a intranet Internet = źódło informacji Internet = źródło zagrożeń dla
użytkowników intranetuUdostępnianie zasobów i swoboda
komunikacjiOchrona sieci przed agresorami i
intruzami
Struktura sieciPołączenie ze światem
zewnętrznym, czyli InternetemPotrzeby użytkowników,
bezpieczeństwo danych a struktura sieci
Podział sieci wewnętrznej na segmenty
Zapora ogniowa (firewall)Minimalizacja zagrożenia z
zewnątrzPersonalizacja (na poziomie
komputera) zasad dostępuOchrona przed niektórymi wirusamiBrak ochrony przed zagrożeniami z
wnętrza IntranetuPodatne na awarie (dotyczy
rozwiązań programowych)
Reguły na zaporach sieciowych(firewall)
ProtokółKierunek komunikacjiStan połączenia
StanoweBezstanowe
Filtracja na poziomie pakietówFiltracja na poziomie sesjiLiczba połączeń itp.
Jedna zapora czy dwieIn
tern
etDMZ
Personalizacja dostępuUżytkownik – w zasadzie grupy
użytkowników (Problem: użytkownik może statycznie ustawić cudzy adres)
Adres IPDHCP i adres fizyczny
IP + MACPersonalizacja ustawień zapory
ogniowejMożliwość zlokalizowania
użytkownikaMożliwość wyłączenia portu, do
którego wpięty jest komputer użytkownika
MaryBob
IEEE 802.1X Protokół uwierzytelniania w sieciach
LAN:bezprzewodowychprzewodowych
ftp://ftp.dlink.it/FAQs/802.1x.pdf
Sys. op. wspierający ten standard
802.1x Standard ten definiuje kontrolę dostępu opartą na modelu
klient-serwer wraz z protokołami uwierzytelniania uniemożliwiającymi dostęp do sieci nieautoryzowanym urządzeniom za pośrednictwem publicznie dostępnych portów. Serwer uwierzytelniania przeprowadza uwierzytelnianie każdego klient, który podłącza się do sieci zanim zaoferuje mu jakąkolwiek usługę.
IEEE 802.1X
Bazujące na portachPort na przełączniku aktywowany dopiero
po uwierzytelnieniu Bazujące na adresach fizycznych
Wielu użytkowników może używać tego samego portu jednocześnie i istnieje możliwość ograniczenia liczby adresów MAC, które się komunikują przy jego użyciu
802.1x - definicje Adres multikastowy dla protokołu EAPOL
(Extensible Authentication Protocol over LAN), czyli tzw. Port Access Entity (PAE)
Umożliwia przełącznikom rozpoznawanie właściwych pakietów
802.11x - role Klienta Uwierzytelniającego (przełącznik) Serwera
OTP = hasło jednorazowe
802.11x scenariusze
Sieci VLANSieć VLAN (Virtual Local Area
Network) to logiczne zgrupowanie urządzeń sieciowych lub użytkowników.
Użytkownicy sieci oraz urządzenia pogrupowane według pełnionych funkcji, działu firmy itp., niezależnie od ich fizycznego położenia w sieci
Ramka Ethernetu
Ethernet II
802.3 vs Ethernet II
VLAN
Dynamiczne VLAN-yPorty automatycznie przypisują się
do odpowiedniego VLANuSkąd wiedzą do jakiego VLANu się
przypisać:W trakcie uwierzytelniania
przełącznik otrzymuje od serwera radius VLAN ID klienta
MONITORING I SYSTEMY DETEKCJICzy sieć jest bezpieczna i działa prawidłowo?
Czy sieć jest bezpieczna?Analiza logówMonitorowanie sieci (NETFLOW,
CFLOW, SFLOW, IPFIX, SNMP, PORT STATS, MRTG)
Aktualizacja reguł firewallaAktualizacja krytycznych systemów
Cele atakówUzyskanie dostępu do danychW celu przejęcia kontroli nad
systememW celu zniszczenia systemu
IDSDetekcja zagrożeń Alarmy - “Hej, coś jest nie tak!”Monitorowanie - sondyMechanizmy reakcji na zdarzeniaSystemy detekcji intruzów = prosta
idea
Idea a praktyka Co jest włamaniem lub jego proba, a co nie? Jakie są metody włamań? Jakie luki występują w systemach? Czy wiedza systemu IDS jest aktualna? Czy system może działać w pełni automatycznie? Sekwencja działań może być rozciągnięta w
czasie Sekwencja działań może być rozbita pomiędzy
różne sesje Poprawnie działający system może być
wykorzystany do ataku na inny system (np. DRDoS)
Ataki DoS DoS – atak typu odmowa usługi (np. SYN
flood) Distributed DoS – rozproszony atak typu DoS
(wiele źródeł ataku, zwykle jeden cel) Distributed Reflected DoS – fałszowanie
pakietów SYN, tak by pakiet SYN/ACK był wysyłany do atakowanego komputera
SYN (sq.#1)
ACK(sq. #2)
Problemy w IDS Problem 1.: Jakie metody można użyć? Problem 2.: Jaka powinna być struktura
systemów wykrywania włamań? Problem 3.: Co to jest włamanie? Problem 4.: Jak zidentyfikować
tożsamość intruza?
Problem 5.: Jak korelować informacje? Problem 6.: Jak złapać intruza w
pułapkę? Problem 7.: Jak reagować na
incydenty?
Pułapki internetowePodejrzany użytkownikSystem rzeczywistySystem wykrywania włamańSystem pułapkaAspekty prawne
Reagowanie na incydentyPodjęcie działań i decyzji
zmniejszających ryzyko dalszego naruszenia bezpieczeństwa
Ocena wpływu incydentu na działanie systemu i firmy
Ewentualne zawiadomienie organów ściagania o popełnienu przestępstwa
ARCHIWIZACJA DANYCH I PLANY ODTWARZANIA
Zapewnianie ciągłości procesów biznesowych
Po co archiwizować Wymogi prawne Zapewnienie ciągłości biznesu Groźba utraty danych
Na czym archiwizować dane
StreameryMacierze dyskowe – RAIDBiblioteki taśmoweDyski magnetoptyczneZdalny mirroringPłyty CD/DVDMikrofilmyDyski magnetyczne
Wybór technologiiAwarie a błędy użytkowników
(istotne w kontekście RAID)Koszty technologiiMiejsce składowania danychKoszty przechowywaniaOgraniczenia technologiiSystemy krytyczne i zapasowe
centra danychSieci SAN
Czym jest storage?
Jakie są koszty składowania danych?
Jakie są przewidywania?
Granice możliwości
SASServer Attached Storage. Jest to pamięć masowa przyłączana do zwykłego serwera znajdującego się w sieci w celu składowania danych.
Sieć NASNetwork Attached Storage. Stacje pamięci masowych są przyłączane do sieci jako kolejne maszyny.
Cechy:• Brak wydzielonej części do wymiany danych• Interfejs iSCSI lub protokoły bazujące na przesyłajaniu plików• Serwer kontrolujący (niekonieczny)
Protokoły używane przez NAS
Common Internet File ServicesNetwork File SystemNetWare Core Protocol
Stary slajd, ale architektura aktualna (z dokładnością do
transferów)
Sieć SANStorage Area Network. Jest to sieć mająca za zadanie wyłącznie gromadzenie danych, złożona ze stacji pamięci masowych. Kontrolę nad nią sprawują specjalne serwery.
Przykładowa architektura sieci ze storagem i innymi
elementami
DHCPRADIUS
WWW MAILFile server
DMZ
Intranet
FRouter brzegowy
SAN
Bilioteka taśmowa
Bilioteka taśmowa
Bilioteka taśmowa
Fiber channel Produkty Fibre Channel pracowały z
przepływnościami: początkowo odpowiednio 1 Gb/s oraz 2 Gbit/s. W 2006 standardy dla szybkości 4 Gbit/s i
10 Gbit/s zostały ratyfikowane Standard 8 Gbit/s został także opracowany i od
połowy roku 2008 są już dostępne w sprzedaży przełączniki z portami FC o tej szybkości.
Produkty oparte o standardy 1, 2, 4 i 8 Gbit/s powinny ze sobą współpracować, jakkolwiek standard 10 Gbit/s wymaga całkowitej zmiany.
Warstwy FC FC0 Warstwa fizyczna zawierająca kable,
światłowody, złącza, itp. FC1 Warstwa łącza danych która implementuje
kodowanie 8b/10b i dekodowanie sygnałów. FC2 Warstwa sieci, zdefiniowana przez standard
FC-PH, zawierający rdzeń protokołu FC. FC3 Warstwa implementująca zewnętrzne funkcje
które rozciągają się pomiędzy wieloma portami urządzenia FC.
FC4 Warstwa aplikacji lub enkapsulacji protokołów wyższych warstw, odpowiedzialna jest za przesyłanie danych innych protokołów po protokole FC.
TECHNOLOGIA RAIDMacierze dyskowe, czyli jak nie stracić danych
Zabezpieczenia sprzętowe - RAID
Zabezpieczenia sprzętowe stanowią jeden z podstawowych elementów polityki bezpieczeństwa przedsiębiorstwa. Najważniejszym obiektem zabezpieczeń jest serwer danych.
Podstawowym zabezpieczeniem sprzętowym jest zagregowanie dysków w macierz dyskową RAID (Redundant Array of Inexpensive Disks), co umożliwia ochronę pamięci masowej przed awarią dysku, a tym samym stanowi to ochronę przed utratą danych.
RAID programowy- architektura RAID sprzętowy- architektura
Poziomy architektury RAID
RAID-0 RAID-0 (ang. striping - podział danych, zapis paskowy) jest podstawową, a zarazem i najszybszą wersją RAID‘ a. W architekturze tej dane przynależne do jednego logicznego napędu dzieli się na bloki (klastry), które zapisywane są kolejno na wszystkich zainstalowanych dyskach. Bloki przyporządkowywane są do napędów fizycznych poprzez rotację. Pierwszy blok zapisywany jest na pierwszym dysku, drugi na drugim, itd.
Architektura RAID-0
Poziomy architektury RAID- c.d.
RAID-1 Standard RAID-1 znany jest przede wszystkim jako zapis lustrzany (ang. mirroring). W architekturze tej dane przynależne do jednego logicznego napędu przechowywane są jednocześnie (w takiej samej postaci) na dwóch dyskach. Ten koncepcyjnie prosty system jest jednak dosyć drogi w eksploatacji. Wadą jest bowiem wykorzystanie tylko połowy sumarycznej pojemności zainstalowanych dysków.
Architektura RAID-1
Poziomy architektury RAID- c.d.
RAID-2 Architektura, podobnie jak RAID-0, implementuje podział danych (striping). Jedyną różnicą w stosunku do RAID- 0 jest wielkość podziału - w tym przypadku podział danych następuje na poziomie bitów. Dodatkowo, dla większego bezpieczeństwa, dane mogą być przechowywane jednocześnie na kilku nośnikach (mirroring) bądź też może dla nich być wyznaczana informacja kontrolna - parzystość. Ostatni przypadek stanowi podwaliny standardu RAID-3
Poziomy architektury RAID- c.d.
RAID-3 Architektura RAID-3 stanowi rozszerzenie architektury RAID-0. Dane, podobnie jak w RAID-0, zapisywane są naprzemiennie na zainstalowanych dyskach (ang. striping), a dodatkowy dysk służy do przechowywania informacji kontrolnej - parzystości. Napędu tego nie uwzględnia się przy określaniu szerokości paska. Parzystość wyznaczana jest oddzielnie dla każdego paska.Pojemność elementarnego klastra (bloku) w standardzie RAID-3 wynosi jeden bajt lub jedno słowo.
Architektura RAID-3
Poziomy architektury RAID- c.d.
RAID-4 Architektura RAID-4 stanowi odmianę architektury RAID-3. Główną wadą RAID-3 jest zbyt mały rozmiar klastra - jeden bajt lub jedno słowo. Skutkuje to zbytnim obciążeniem wszystkich dysków macierzy, które muszą naprzemiennie obsługiwać praktycznie każde odwołanie do macierzy.W architekturze RAID-4 rozmiar klastra jest znacznie większy - równy fizycznemu rozmiarowi sektora dysku bądź też rozmiarowi sprzętowego bufora wejścia-wyjścia. Zapewnia to znacznie mniejszy stopień obciążenia poszczególnych napędów i daje dobre efekty, zwłaszcza przy długich, sekwencyjnych odczytach danych.Obecnie każdy sprzętowy kontroler RAID-3 pozwala jednocześnie na pracę w standardzie RAID-4.
Poziomy architektury RAID- c.d.
RAID-5 Poważną wadą architektur RAID-3, RAID-4 jest zbyt duże obciążenie dysku z informacją o parzystości. Każdy zapis danych wymusza również zapis i na tym dysku, co skutecznie obniża wydajność systemu. Technologia RAID-5 omija to uniedogodnienie. Informacja o parzystości umieszczana jest dla kolejnych pasków w różnych lokacjach. Dla pierwszego paska na ostatnim dysku, dla drugiego - na przedostatnim itd.
Architektura RAID-5
Najpopularniejsze RAIDy RAID 0 – zero bezpieczeństwa w przypadku
awarii pojedynczego dysku RAID 1 – lustrzana kopia dysku RAID 10 – lustrzana kopia każdego z dysków
tworzących raid 0. RAID 5 – pojedyncza parzystość, przetrwa
awarie jednego dysku (ale odbudowa macierzy jest kosztowna, uwaga na awarie drugiego dysku)
RAID 6 – przetrwa awarie dwóch dysków (podwójna parzystość)
SŁÓW KILKA O ZASILACZACH
Zasilanie, to podstawa
Zabezpieczenia sprzętowe- c.d.
Zastosowanie zasilaczy awaryjnychCzęsto zdarza się, że występują wahania napięcia sieciowego lub nawet jego brak. Skutecznym rozwiązaniem chroniącym przed uszkodzeniem sprzętu (płyta główna, dyski) jest zastosowanie zasilacza awaryjnego, który reaguje natychmiastowo sygnalizując wystąpienie awarii i podtrzymując napięcie sieciowe. Stosowanie zasilaczy awaryjnych jest bardzo powszechne i dotyczy nie tylko serwera, ale także stacji roboczych pracujących w sieci lokalnej.
Zastosowanie zasilaczy typu hot-swapNagłe wahania napięcia lub inne nieprawidłowości zasilania mogą spowodować uszkodzenie zasilacza serwera. Dlatego powszechnie stosuje się serwery z dwoma lub trzema zasilaczami typu hot-swap, które mogą być wymienione pod napięciem bez konieczności wyłączania serwera.
KOPIE ZAPASOWE I PLANY ODTWARZANIA POAWARII
Informatyce dzielą się na tych co robią „backupy” i na tych co jeszcze nie robią
Wybór technologi (cd.) Identyfikacja krytycznych procesów i danych Określenie okna backup'u Określenie dopuszczalnego czasu
niedostępności po awarii Określenie czasu przez, który chcemy
przechowywać kopie archiwalne Określenie czasu, który jest potrzebny na
odtworzenie danych przy wykorzystaniu danej technologii
Określenie czasu potrzebnego na odtworzenie procesów
Disaster recovery plan Disaster recovery – plan gwarantujący
dostępność danych i aplikacji w określonym czasie po zdarzeniu o charakterze katastrofalnym
Klasyfikacja planów odtwarzania po awarii: Tier 0 – Do nothing, no off-site data Tier 1 – Offsite vaulting Tier 2 – Offsite vaulting with a hot site Tier 3 – Electronic vaulting Tier 4 – Electronic vaulting to hot site (active
secondary site) Tier 5 – Two site two phase commit Tier 6 – Zero data loss
Rodzaje zagrożeńLokalneLogiczneKatastrofy
Rodzaje stratStraty bezpośrednie i pośrednieStraty bezpośrednie:
Zmniejszenie przychodówSpadek wydajności pracyKary za opóźnienia
Straty pośrednie:Utrata klientówUtrata wiarygodnościKorzyści utraconeKoszty przestoju
Koszty przestojuKoszty przestoju różnych rodzajów
aplikacji [$/min] (USA, 1998)Call location: $27 000 /mine-commerce: $10 000 / minCustomer service center: $3 700 / minPoint of sale: $3 500 / min
Parametry profilów DRRTO – czas potrzebny na
odtworzenie danych – jak długo biznes może działać bez systemu
RPO – okres czasu pracy systemu z jakiego utracimy dane na skutek awarii
BWO - “Okno backupowe”, czas potrzebny na wykonanie kopii
Retencja - Okres przechowywania na nośnikach
Koszty przestoju i koszt technologii
Pieniądze
Czas
Koszt technologiiStraty wynikające z przestoju systemu
Systemy macierzowe i klastroweSystemy macierzowe
Zabezpieczają przed skutkami awarii dysku, kontrolera
Pełna nadmiarowośćRównoległa struktura połączeń
Systemy klastroweSzerszy zakres ochronyEliminacja “single point of failure”Ułatwienie zarządzania – w sensie np.
wymiany węzłów
Prędkości transmisji Czas przesłania 1TB danych w [min]:
10Mbps – 13653,33100Mbps – 1365,333SAN FCP (scsi-3) 2Gbps – 68,27OC -255 ATM 13,21 Gbps – 10,34SAN + DWDM 200 Gbps – 0,68
Nie zapominajmy o prędkości samych dysków – w przypadku pojedynczego SSD jest to max 500MB/s przy sekwencyjnym odczycie i maks. 20 000 IOPS dla odczytów losowych przy blokach 4K
Tworzenie planów
BWORPORTO
Start projektu
Analiza procesów
Analiza ryzyka
Opisy procesów, tworzenie procedur
Plany odtwarzania
Sposób ochronydanych
TESTYZarządzaniezmianami
PodsumowanieZapora ogniowa System IDSFizyczna ochrona danych i
archiwizacjaPlany na wypadek awarii