Скачать презентацию Segurança de Redes 1 Segurança de Redes Скачать презентацию Segurança de Redes 1 Segurança de Redes

41ac381c7cd579a5ce6ce686a52f820a.ppt

  • Количество слайдов: 62

Segurança de Redes 1 Segurança de Redes 1

Segurança de Redes – Motivação Alguns fatos ressaltam a importância do tema Segurança: • Segurança de Redes – Motivação Alguns fatos ressaltam a importância do tema Segurança: • Junho 2013 Edward Snowden, colaborador terceirizado da National Security Agency (NSA) e ex-funcionário da CIA, tornou públicos detalhes de programas altamente confidenciais de vigilância eletrônica dos governos de Estados Unidos e Reino Unido. • Porque ele fez a revelação: “Isso é algo que não é para ser decidido por nós; o público precisa decidir se esses programas e políticas estão certos ou errados. ” • O Governo dos EUA acusou-o de roubo de propriedade do governo, comunicação não autorizada de informações de defesa nacional e comunicação intencional de informações de inteligência para pessoa não autorizada. 2

Segurança de Redes – Motivação 2014: As redes do governo federal são alvos de Segurança de Redes – Motivação 2014: As redes do governo federal são alvos de uma média de 2. 100 incidentes por hora, cerca de 60 são considerados mais sérios. A maioria dos ataques às redes do governo federal está relacionada à desconfiguração, vulnerabilidade de códigos e de servidores, "phishing"(fraude eletrônica para "pescar" dados como senhas) e "malwares“. Na área de segurança é fundamental desenvolver soluções proprietárias, segundo Otávio Cunha da Silva, Coordenador Geral do CEPESC (Centro de Pesquisas e Desenvolvimento para a Segurança das Comunicações) da Abin (Agência Brasileira de Inteligência), evitando assim a inserção de backdoors - maneira de ganhar acesso a serviços e sistemas. Segurança 3

Segurança de Redes – Motivação • 2015: os bancos brasileiros perderam quase R$ 2 Segurança de Redes – Motivação • 2015: os bancos brasileiros perderam quase R$ 2 bilhões com fraudes bancárias, de acordo com a Fenabran (Federação Nacional dos Bancos). • A cada R$ 100 movimentado em lojas de comércio eletrônico no país, R$ 3, 98 eram referentes a tentativas de fraude, segundo a Clear. Sale, especializada em prevenção e detecção de fraude. • No último relatório divulgado pela empresa de segurança Symantec, só em 2015 foram descobertos 430 milhões de novas pragas virtuais — um número 36% maior que o registrado no anterior. Esse mesmo relatório mostra o Brasil na lista dos 10 países que mais produzem vírus no mundo, junto com China e Estados Unidos. • http: //www. uol/noticias/conteudo-publicitario/uol-seguranca-digital-pragavirtual. htm#pragas-virtuais 4

Segurança de Redes – Motivação 21/Outubro/2016: Um ataque distribuído de negação de serviço (DDo. Segurança de Redes – Motivação 21/Outubro/2016: Um ataque distribuído de negação de serviço (DDo. S) contra o Dyn. DNS deixou indisponíveis sites importantes como Github, Twitter, Sane. Box, Reddit, Air. Bn. B, Spotify and Heroku. O ataque foi direcionado ao provedor de DNS, segundo a Dyn proveniente de dispositivos como impressoras e appliances que enviam informações a rede (Io. T). Foram 3 ondas de ataques que envolveram dezenas de milhões de endereços IP. Tecnicamente, poderia ser originado de um único dispositivo que fizesse spoofing de IP, porém as investigações apontam para ~50. 000 dispositivos engajados no ataque. O volume do ataque chegou a 1. 2 Tbps. Para mitigação de DDo. S veja: http: //www. cybersecurityme. com/whitepaper-onlayered-intelligent-ddos-mitigation-systems---by-arbor-networks-mc 5

Segurança de Redes – Motivação 21/Outubro/2016: Quem estava por trás deste ataque? Especulações (ainda Segurança de Redes – Motivação 21/Outubro/2016: Quem estava por trás deste ataque? Especulações (ainda sob investigação – teoria da conspiração? ): Julian Assange perdeu acesso a Internet a partir da embaixada do Equador em Londres onde está sob asilo político sendo acusado de tentar influenciar a eleição americana pela divulgação de emails de Hillay Clinton. Wiki. Leaks supõe que seus apoiadores poderiam ser os responsáveis e postaram no twitter: “Mr. Assange is still alive and Wiki. Leaks is still publishing. We ask supporters to stop 6 taking down the US internet. You proved your point. ”

Segurança de Redes – Motivação 2016: • 4. 1 milhões de dispositivos do tipo Segurança de Redes – Motivação 2016: • 4. 1 milhões de dispositivos do tipo Universal Plug and Play -enabled (UPn. P) foram potencialmente vulneráveis podendo ser empregados em ataques do tipo DDo. S. https: //www. akamai. com/us/en/multimedia/documents/state-of-theinternet/sshowdown-exploitation-of-iot-devices-for-launching-mass-scale-attack -campaigns. pdf • Este ano, 44% dos provedores de serviço indicaram mais de 21 ataques por mês, contra 38% no ano passado. • Este ano a principal motivação para ataques DDo. S é “o crime demonstrando a capacidade de ataques”, com “gaming” e tentativa de extorsão criminosa em segundo e terceiro lugar respectivamente. https: //www. arbornetworks. com/images/documents/WISR 2016_EN_Web. pdf 7

Segurança de Redes – Motivação 2017: • Os ataques cresceram em volume e “ferocidade”. Segurança de Redes – Motivação 2017: • Os ataques cresceram em volume e “ferocidade”. Wanna. Cry: ataque popularizou a palavra ransomware. Infectou 230. 000 sistemas (85% dos computadores da Telefônica, 99 países, TJ-SP). Geolocalização dos ataques. 8

Segurança de Redes – Motivação 2017: • A técnica de exploração utilizada deve-se a Segurança de Redes – Motivação 2017: • A técnica de exploração utilizada deve-se a uma vulnerabilidade referente ao protocolo Server Message Block(SMB) que permite a execução de código remoto. • Passos: Ganhar acesso ao sistema; replicar-se; executar; ligar-se a um domínio externo; se ligação bem-sucedida, o processo termina; caso contrário, prossegue: extrai um cliente TOR, para a comunicação com os servidores de comando e controle; cifra os dados locais; inibe restauro do sistema; pede U$300 em bitcoin no prazo de 3 dias. 9

Segurança de Redes – Motivação 2017: • O britânico Marcus Hutchins descobriu que o Segurança de Redes – Motivação 2017: • O britânico Marcus Hutchins descobriu que o Wanna. Cry tentava se conectar a um domínio não registrado. Ele registrou o domínio (custo de U$11) parando então o ataque. Ele foi preso pouco depois fruto de uma investigação em andamento do FBI e admitiu ter escrito um outro código malicioso que roubava credenciais de banco. • Foi revelada uma vulnerabilidade no Samba que poderia levar a ataques similares ao Wanna. Cry para sistemas Linux. 10

Segurança de Redes Os problemas dividem-se nas seguintes areas interligadas: » Sigilo; » Autenticação; Segurança de Redes Os problemas dividem-se nas seguintes areas interligadas: » Sigilo; » Autenticação; » Não-repúdio; » Integridade Segurança 11

Que nível deve cuidar da segurança? Todos os níveis podem contribuir • Físico: evitar Que nível deve cuidar da segurança? Todos os níveis podem contribuir • Físico: evitar grampos, ex. manter cabo em tubos com gás com pressão controlada; • Enlace: criptografar cada quadro (abrir em cada roteador? ineficiente); • Rede: firewalls controlando IPs; • Transporte: criptografar conexões fim-a-fim; • Aplicação: autenticação de usuário e não-repúdio. 12

Criptografia: escrita secreta. Arte historicamente usada por militares, diplomatas, amantes. . . Governos adotam Criptografia: escrita secreta. Arte historicamente usada por militares, diplomatas, amantes. . . Governos adotam seus algoritmos, muitos utilizam o Princípio de Kerckhoff: Todos os algoritmos devem ser públicos, apenas as chaves são secretas. Ao tornar o algoritmo público, inúmeros criptólogos tentam decodificar o algoritmo; se durante cinco anos após sua publicação ninguém conseguiu ele é considerado sólido. Manter o algoritmo secreto (segurança por obscuridade) não funciona. 13

Conceito de Criptografia The encryption model (for a symmetric-key cipher). Algoritmos de chave simétrica Conceito de Criptografia The encryption model (for a symmetric-key cipher). Algoritmos de chave simétrica usam a mesma chave para codificar e decodificar. Hoje em dia se quer algoritmos complexos, difíceis de decifrar. 14

Blocos de Cifras Os métodos usam substituição ou transposição. • Substituição: cada letra ou Blocos de Cifras Os métodos usam substituição ou transposição. • Substituição: cada letra ou grupo de letras é substituído por outra letra ou grupo de letras. Problema: ataques de dicionário. • Transposição: reordenam as letras. Blocos de Cifras: Obtém n bits de texto simples como entrada e o transformam, usando a chave, em um bloco de n bits de texto cifrado. 15

Chave única Um texto simples que se aplica um XOR com chave qualquer não Chave única Um texto simples que se aplica um XOR com chave qualquer não pode ser violado, independente da capacidade computacional. Não há informação na msg cifrada que permita decodificá-la. Ex: a mensagem “I love you” convertida em ASCII de 7 bits com a chave 1 produz o C 1, com a chave 2 produz “Elvis lives”. Para cada texto há uma chave única que o gera. 16

Product Ciphers Os algoritmos podem ser implementados em hardware ou software. Circuitos elétricos simples Product Ciphers Os algoritmos podem ser implementados em hardware ou software. Circuitos elétricos simples poderiam implementar substituições e transposições. Elementos básicos das chaves-produto (a) Caixa P (Permutation) (b) Caixa S (Substitution) (c) Produto => A saída pode ser uma função muito complicada da entrada 17

AES - Advanced Encryption Standard O NIST (National Institute of Standards and Technology) decidiu AES - Advanced Encryption Standard O NIST (National Institute of Standards and Technology) decidiu que o governo precisava de novo algoritmo. Em janeiro de 1997 patrocinou uma competição mundial. Rules for AES proposals 1. The algorithm must be a symmetric block cipher. 2. The full design must be public. 3. Key lengths of 128, 192, and 256 bits supported. 4. Both software and hardware implementations required. 5. The algorithm must be public or licensed on nondiscriminatory terms. 18

AES (2) Em 2001 o NIST anunciou o algoritmo selecionado denominado Rijndael (Rijmen e AES (2) Em 2001 o NIST anunciou o algoritmo selecionado denominado Rijndael (Rijmen e Daemen – belgas) que foi adotado pelo governo americano; dominante no mundo. Sem entrar nos detalhes matemáticos, o algoritmo utiliza substituição, permutação e várias rodadas: Segurança 19

AES (3) Algoritmo: Segurança 20 AES (3) Algoritmo: Segurança 20

AES (4) Como cada etapa é reversível, a decodificação pode ser feita executando o AES (4) Como cada etapa é reversível, a decodificação pode ser feita executando o algoritmo no sentido inverso. Uma boa implementação por software em máquina de 2 Ghz deve ser capaz de alcançar uma taxa de criptografia de 700 Mbps, o suficiente para codificar mais de cem vídeos de MPEG-2 em tempo real. Em hardware a implementação é mais rápida ainda. 21

Modos de cifra • • Algumas propriedades das cifras de substituição monoalfabética podem ser Modos de cifra • • Algumas propriedades das cifras de substituição monoalfabética podem ser usadas para anular parcialmente a cifra. No exemplo, o conteúdo do arquivo está todo criptografado, porém é possível inverter campos sem necessáriamente conhecer o conteúdo. 22

Cipher Block Chaining Mode • Cipher block chaining. (a) Encryption. (b) Decryption. 23 Cipher Block Chaining Mode • Cipher block chaining. (a) Encryption. (b) Decryption. 23

Outras cifras • Some common symmetric-key cryptographic algorithms. 24 Outras cifras • Some common symmetric-key cryptographic algorithms. 24

Algoritmos de Chave Pública - 1 O elo fraco do sistema de chave simétrica Algoritmos de Chave Pública - 1 O elo fraco do sistema de chave simétrica é a distribuição da chave: ambos os lados devem possuir a chave secreta compartilhada. Em outro tipo de sistema, não é necessário ter a mesma chave para cifrar e decifrar e a chave de decifragem não pode ser derivada de chave de cifragem. A chave de criptografia é pública, e a outra é privada. (O termo chave secreta é mais utilizado para criptografia simétrica). Alice publica EA em sua home page. Mantém DA secreto. Bob publica EB em sua home page. Mantém DB secreto. Quando Alice quer mandar mensagem para Bob, cifra a mensagem usando EB. Como somente Bob tem DB só ele pode decifrar a mensagem. 25

Algoritmos de Chave Pública - 1 Criado por Diffie e Hellman em 1976, novo Algoritmos de Chave Pública - 1 Criado por Diffie e Hellman em 1976, novo sistema de criptografia tem 3 requisitos: 1. 2. 3. D(E(P))=P É muito difícil deduzir D a partir de E E não pode ser decifrado por ataque de texto simples escolhido. (Se intrusos experimentam E até cansar, quebram e decifram D a partir de E. . . ) 26

RSA - 1 Descoberto por pesquisadores do MIT : Rivest, Shamir, Adleman (receberam o RSA - 1 Descoberto por pesquisadores do MIT : Rivest, Shamir, Adleman (receberam o Turing Award 2002). A principal desvantagem é exigir chaves de pelo menos 1024 bits para manter um bom nível de segurança, o que o torna lento. • Baseia-se em princípios da teoria de números. • Cálculo de parâmetros: 1. Escolha 2 números primos extensos, p e q 2. Calcule n = p*q e z = (p-1) * (q-1) 3. Escolha um número d tal que z e d sejam primos entre si (ou seja, único divisor comum entre eles é o 1). 4. Encontre e de forma que (e*d) mod z = 1 (ou, e*d-1 divisível por z) 27

RSA - 2 Agrupe o texto em blocos de k bits, onde k é RSA - 2 Agrupe o texto em blocos de k bits, onde k é o maior inteiro para o qual a desigualdade 2 K < n é verdadeira. Para criptografar a mensagem P, calcule C= Pe (mod n). Para descriptografar C, calcule P = Cd (mod n). A chave pública consiste no par (e, n) A chave privada consiste no par (d, n). A segurança do método está na dificuldade de fatorar números extensos. Fatorando n, poderia encontrar-se p, q e z. Conhecendo z e e, encontra-se d. 28

Exemplo do RSA • Neste exemplo, escolhe-se p=3, q=11, portanto n=33, z=20. Escolheu-se d=7, Exemplo do RSA • Neste exemplo, escolhe-se p=3, q=11, portanto n=33, z=20. Escolheu-se d=7, (7 e) mod 20 = 1 => e=3 • RSA é lento para codificar grandes volumes de dados, portanto é utilizado para distribuição de chaves que são empregadas em algoritmos mais rápidos como AES 29

Digital Signatures Assinaturas visam que: • o receptor verifique a identidade do transmissor, • Digital Signatures Assinaturas visam que: • o receptor verifique a identidade do transmissor, • o transmissor não possa repudiar a mensagem, • o receptor não tenha possibilidade de forjar ele mesmo a mensagem. Há várias estratégias: – Assinaturas de chave simétrica – Assinaturas de chave pública – Sumário de Mensagens 30

Assinaturas de Chave Simétrica • Digital signatures with Big Brother. E se Alice negar Assinaturas de Chave Simétrica • Digital signatures with Big Brother. E se Alice negar que enviou uma mensagem? E se Trudy interceptar e repetir a mensagem? Qual o problema estrutural deste esquema? 31

Assinaturas de Chave Pública Para funcionar é necessário que D(E(P)) = P and E(D(P)) Assinaturas de Chave Pública Para funcionar é necessário que D(E(P)) = P and E(D(P)) = P Digital signatures using public-key cryptography. E se Alice negar que enviou uma mensagem? 32

Função Hash Utilizada em esquema de autenticação que não exige criptografia da mensagem inteira Função Hash Utilizada em esquema de autenticação que não exige criptografia da mensagem inteira (não sigilo). Utiliza função de hash unidirecional, representada por MD (Message Digest), sumário de mensagem. Propriedades importantes: 1. Se P fornecido, o cálculo de MD(P) será muito fácil; 2. Se MD(P) fornecido, será efetivamente impossível encontrar P. 3. Dado P, ninguém pode encontrar P’ tal que MD(P’) = MD(P). 4. Uma mudança na entrada de até mesmo 1 bit produz uma saída muito diferente. 33

Message Digests • Digital signatures using message digests. O algoritmo SHA-1 e SHA-2 são Message Digests • Digital signatures using message digests. O algoritmo SHA-1 e SHA-2 são os mais utilizados. O algoritmo MD 5 muito popular não é mais considerado seguro, pois demonstrou-se que pode se obter P´ tal que MD(P)=MD(P´) 34

SHA e RSA para assinatura • Use of SHA and RSA for signing nonsecret SHA e RSA para assinatura • Use of SHA and RSA for signing nonsecret messages. Para verificar a assinatura Bob deve: – Aplicar SHA sobre M recebido => Hcalculado; – Aplicar EA em DA(H) recebido => Hrecebido – Comparar Hcalculado com Hrecebido. 35

Gerenciamento de Chaves Públicas (1) Um modo de Trudy subverter a criptografia de chave Gerenciamento de Chaves Públicas (1) Um modo de Trudy subverter a criptografia de chave pública. Ataque conhecido como “Man-in-the-middle”. 36

Gerenciamento de Chaves Públicas (2) Que tal um centro de distribuição de chave pública, Gerenciamento de Chaves Públicas (2) Que tal um centro de distribuição de chave pública, 24 horas disponível fornecendo chaves por demanda? Problema de escalabilidade. A solução pensou em entidades certificadores, ou CA (Certification Authority) que não precisam estar online, mas certificam as chaves pertencentes a pessoas ou organizações. As CAs emitem certificados => vincula chave pública a nome de protagonista. Se no exemplo anterior Trudy inserir seu certificado, Alice pode conferir e verificar que não está falando com Bob. 37

Certificado • A possible certificate and its signed hash. • O que acontece se Certificado • A possible certificate and its signed hash. • O que acontece se Trudy pegar o seu certificado e alterar os campos do protagonista? 38

X. 509 • O certificado pode vincular a chave a um atributo, ex: proprietário X. 509 • O certificado pode vincular a chave a um atributo, ex: proprietário maior de 18 anos. • Definiu-se um padrão para certificados, o X. 509. • Campos básicos do X. 509. Segurança 39

Infraestrutura de Chave Pública (1) • Que tal um modelo inspirado no DNS: uma Infraestrutura de Chave Pública (1) • Que tal um modelo inspirado no DNS: uma hierarquia, cada CA regional com sua chave, mas certificadas por uma entidade central mundial. . . Quem seria a entidade central? EUA? Problema do Big. Brother de novo. . . Soluçao: Infraestrutura de Chave Pública => hierarquia a partir de um ponto, âncora de confiança. Existem várias raízes o que evita uma única autoridade confiável no mundo. Navegadores modernos são previamente carregados com chaves públicas de mais de 100 raízes. Segurança 40

Infraestrutura de Chave Pública (2) • (a) A hierarchical PKI. (b) A chain of Infraestrutura de Chave Pública (2) • (a) A hierarchical PKI. (b) A chain of certificates. 41

Revogação de Certificados podem ser revogados, por algum abuso, ou se a chave foi Revogação de Certificados podem ser revogados, por algum abuso, ou se a chave foi exposta, ou até a chave da CA foi exposta, ou o prazo de validade expirou. A CA deve emitir periodicamente uma lista dos certificados revogados, a CRL (Certificate Revocation List), com os números dos revogados. Problema: Como saber se o certificado que você está conferindo não foi revogado? Consultar a CRL, que fica na CA ? Ela tem as informações mais atualizadas, porém pesquisa centralizada é ruim. Guardar as CRLs nos diretórios onde ficam os certificados, pois a CRL é assinada e não pode ser adulterada. . . 42

IPSec (1) Havia uma batalha sobre onde deveria acontecer a criptografia, resultou no projeto IPSec (1) Havia uma batalha sobre onde deveria acontecer a criptografia, resultou no projeto IPSec com vários serviços à escolha dos usuários. Os usuários não conscientes do problema de segurança estariam mais seguros se a camada de rede cuidasse disso. Usa chave simétrica pelo desempenho. Mesmo sendo IP que não tem conexão, usa um tipo de conexão chamada de SA - Security Association. Uma SA é conexão simplex entre extremidades. Um identificador de segurança desta conexão trafega nos pacotes para pesquisar chaves e outras informações relevantes. 43

IPSec (2) Há 2 modos: - Modo de transporte: insere cabeçalho - Modo tunelamento: IPSec (2) Há 2 modos: - Modo de transporte: insere cabeçalho - Modo tunelamento: encapsula em novo pacote IP – só o ponto final do túnel, em geral o firewall, precisa conhecer o IPSec. Authentication Header – AH não oferece sigilo, só integridade. Verifica integridade de campos do cabeçalho IP que não se alteram, basicamente dos IPs, não usando TTL. 44

IPSec: Modo transporte Contra ataques de reprodução Próximo cabeçalho: aponta para o protocolo de IPSec: Modo transporte Contra ataques de reprodução Próximo cabeçalho: aponta para o protocolo de transporte. Indice de parâmetros de segurança: identificador da conexão: permite ao receptor identificar a chave em um BD HMAC (Hashed Message Authentication Code): assinatura digital da carga útil; método mais rápido que do PKI, usa a Segurança 45 chave compartilhada.

VPN (a) Rede privada com linha dedicada: seguras, mas com custo elevado. (b) Rede VPN (a) Rede privada com linha dedicada: seguras, mas com custo elevado. (b) Rede virtual privada – construir túneis entre firewalls, provavelmente com IPSec. Estabelecer SA – Security Association. 46

SSL (1) Secure Sockets Layer. Constrói conexão segura entre dois soquetes, incluindo: • Negociação SSL (1) Secure Sockets Layer. Constrói conexão segura entre dois soquetes, incluindo: • Negociação de parâmetros entre cliente e servidor; • Autenticação mútua; • Comunicação secreta; • Proteção da Integridade. Posicionamento do SSL na pilha de protocolos. O chamado HTTPS é o HTTP sobre SSL Segurança 47

SSL (2) Consiste de 2 subprotocolos: 1 para estabelecer a conexão, outro para utilizá-la. SSL (2) Consiste de 2 subprotocolos: 1 para estabelecer a conexão, outro para utilizá-la. Versão simplificada do estabelecimento de conexão: A partir da chave pré-mestra e dos nonces (number used once) RA e RB, ambos calculam uma chave de sessão, Alice informa que deve mudar de cifra e quando terminou. Bob idem. 48

SSL (3) Provavelmente o usuário Alice não tem certificado, pode usar senha para se SSL (3) Provavelmente o usuário Alice não tem certificado, pode usar senha para se autenticar (fora do escopo do SSL). Admite vários algoritmos de criptografia, dá preferência aos mais rápidos (não AES) como RC 4 ou 3 DES e MD 5. A padronização do SSL pelo IETF resultou no TLS (Transport Layer Security) que prefere o AES, e não interopera com o SSL. A maioria dos navegadores implementa os dois. 49

Questões Sociais A Internet e sua tecnologia de segurança é uma área para a Questões Sociais A Internet e sua tecnologia de segurança é uma área para a qual convergem questões sociais e a política pública. Questões importantes: Até que ponto a privacidade é um direito? Até que ponto anonimato é benéfico? Alice codifica sua mensagem com E 3, depois E 2, finalmente E 1. Em E 1 se retira o primeiro cabeçalho e encaminha sem deixar rastros. Assim sucessivamente os respostadores no meio do caminho. Segurança 50

Questões Sociais - 2 Direitos autorais: Os criadores de Propriedade Intelectual tem o direito Questões Sociais - 2 Direitos autorais: Os criadores de Propriedade Intelectual tem o direito de explorá-la por um período de 50 anos somado à vida do autor. Após este período ela passa para domínio público. É crime manter no meu disco rígido uma música pela qual paguei, baixei legalmente, apenas porque outras pessoas podem encontrá-la? Quem solicitou é que fez o crime… Lei americana: é crime frustrar mecanismos de proteção presentes em obras protegidas por direitos autorais. Tenta-se equilibrar interesses de proprietários e interesse público. 51

Política de Segurança • Uma política de segurança é um conjunto de regras e Política de Segurança • Uma política de segurança é um conjunto de regras e práticas que regulam como uma organização gerencia, protege e distribui suas informações e recursos. A implementação de uma política de segurança baseia-se na aplicação de regras que limitam o acesso às informações e recursos de uma determinada organização. • Essa política define o que é, e o que não é permitido em termos de segurança, durante a operação e acesso de um sistema. 52

Firewall Em edifícios, os firewalls servem para impedir que o fogo se propague de Firewall Em edifícios, os firewalls servem para impedir que o fogo se propague de uma parte do edifício para outra. Uma Internet firewall serve um fim semelhante, isto é, impede que os perigos da Internet se propaguem para a rede local da instituição Firewall é o nome dado ao dispositivo de rede que tem por função regular o tráfego de rede entre redes distintas, impedir a transmissão de dados nocivos ou não autorizado de uma rede a outra. Devem inspecionar o tráfego de acordo com a política de segurança estabelecida. 53

Firewall - 2 Na prática um firewall é mais parecida com o fosso e Firewall - 2 Na prática um firewall é mais parecida com o fosso e a ponte levadiça de um castelo medieval, servindo vários fins: a) obriga a que todas as entradas se efetuem via um ponto cuidadosamente controlado e monitorado; b) impede os atacantes de se aproximarem das defesas internas; c) obriga a que todas as saídas se efetuem via um ponto cuidadosamente controlado e monitorado. 54

Firewall (3) Configuração onde o Firewall protege a rede interna 55 Firewall (3) Configuração onde o Firewall protege a rede interna 55

Iptables O firewall do Linux. Quando um pacote chega o firewall verifica se há Iptables O firewall do Linux. Quando um pacote chega o firewall verifica se há alguma regra que se aplica a ele. Caso não haja, é aplicada a política defaut. • Constituído por 3 “chains”: – INPUT – Pacote entrando na máquina de firewall. – OUTPUT – Pacote saindo da máquina de firewall. – FORWARD – Pacote que entram em uma interface do firewall e saem por outra. ufw – Uncomplicated firewall do Ubuntu – cria suas chains e ao habilitá-lo (ufw enable) já cria regras default. 56

Iptables - chains É altamente recomendado que a política default seja DROP, ou seja, Iptables - chains É altamente recomendado que a política default seja DROP, ou seja, tudo o que não for expressamente permitido será silenciosamente descartado. -L [chain] lista as regras de uma chain -F [chain] apaga todas as regras de um chain -Z [chain] limpa todos os contadores de bytes e pacotes de uma chain Para manipular regras de chains A chain rulespec acrescenta uma regra a uma chain I chain [rulenum] insere regra numa posição da chain R chain rulenum troca posição de regra na chain D chain apaga regra de uma chain 57

Iptables - Variáveis É possível definir variáveis mnemônicas: MY_IP=“ xxx“ #IP externo do firewall Iptables - Variáveis É possível definir variáveis mnemônicas: MY_IP=“ xxx“ #IP externo do firewall LOOPBACK="127. 0. 0. 1/8“ #End. da interface de loopback EXTERNAL_INT=“ eth 0“ #interf. do frw ligada à Internet CLASS_A="10. 0/8" #class A private network CLASS_B="172. 16. 0. 0/12" #class B private network CLASS_C="192. 168. 0. 0/16" #class C private network INTERNAL_NET=“ xxx/xx” 58

Iptables – Políticas default • #Set up the default policy iptables -P OUTPUT ACCEPT Iptables – Políticas default • #Set up the default policy iptables -P OUTPUT ACCEPT iptables -P INPUT DROP iptables -P FORWARD DROP • #Allowing unlimited traffic on the loopback interface iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT iptables –flush #apaga todas as regras Iptables –list –line-numbers #exibe o número da regra Segurança 59

Iptables – Anti-spoofing #Refuse packets claiming to be from you. iptables –A INPUT –i Iptables – Anti-spoofing #Refuse packets claiming to be from you. iptables –A INPUT –i $EXTERNAL_INT –s $MY_IP –j DROP iptables –A INPUT –i $EXTERNAL_INT –s $DMZ_NET –j DROP iptables –A INPUT –i $EXTERNAL_INT –s $INTERNAL_NET –j DROP #Refuse packets claiming to be from a Class A, B, C private network iptables –A INPUT –i eth 1 –s $CLASS_A –j DROP iptables –A INPUT –i eth 1 –s $CLASS_B –j DROP iptables –A INPUT –i eth 1 –s $CLASS_C –j DROP 60

Iptables – TCP Flags # All of the bits are cleared iptables –A INPUT Iptables – TCP Flags # All of the bits are cleared iptables –A INPUT –p tcp –tcpflags ALL NONE –j DROP # SYN and FIN are both set iptables –A INPUT –p tcp –tcpflags SYN, FIN –j DROP # SYN and RST are both set iptables –A INPUT –p -tcp –tcpflags SYN, RST –j DROP # FIN and RST are both set iptables –A INPUT –p tcp –tcpflags FIN, RST –j DROP (Obs: tcpflags 61

Iptables – Regras #Allows already stablished connections iptables –A INPUT –m state --state ESTABLISHED, Iptables – Regras #Allows already stablished connections iptables –A INPUT –m state --state ESTABLISHED, RELATED –j ACCEPT #liberar acesso ssh vindo da Intranet iptables –A INPUT –s $INTERNAL_NET –p tcp –dport ssh –j ACCEPT ou iptables –A INPUT –i $INTERNAL_INT –p tcp –dport ssh –j ACCEPT Obs: -m –módulo, --state – opção do módulo. 62