Информационная безопасность - пакет Firewall
Название происходит от английского firewall — «противопожарная стена», что метафорически отражает функцию файрвола: создавать барьер между защищённой внутренней сетью и потенциально опасным внешним миром. Информационная безопасность: ISSP \ Домен 05. Телекоммуникации и сетевая безопасность. Часть 7
Firewall может быть:
Сетевым (hardware firewall) — встроенным в маршрутизаторы или специализированные устройства.
Программным (software firewall) — установленным на отдельных компьютерах или серверах.
Облачным — встраивается в инфраструктуру публичного или гибридного облака.
-
Настройка антивирусного сканирования
Включите VPN-сервер для обеспечения защищенного доступа удаленных клиентов (VPN-клиентов) к локальной сети на вкладке Interfaces в меню Configuration / Interfaces (см. гл. Настройка головного офиса). Дополнительные настройки не требуются.
-
Activity Log (журнал событий)
Первая же остановка — в пункте Auto-Protect — принесет массу впечатлений. А что с ними делать, подскажет таблица. Она может оказать существенную помощь в настройке комфортной работы с антивирусной программой.
-
Межсетевой экран FireWall-1
Модуль управления маршрутизатором может приобретаться и как автономный модуль, только для управления маршрутизатором, и вместе с полным решением проблемы безопасности предприятия - FireWall-1 (FireWall-1 enterprise security solution)
Что необходимо принять во внимание?
Немного о взломщиках.
Что такое Stateful Inspection?
Что такое OPSEC?
Как можно создать единую политику безопасности для различных платформ?
Какая платформа наилучшим образом подходит для FireWall-1?
Нужно ли планировать демилитаризованную зону сети (DMZ)?
Контроль и разграничение доступа
Чем обмениваются сети предприятия?
Создание политики безопасности
Распределенный доступ
Элементы защиты от несанкционированного доступа
Примеры методов защиты
Расширенные возможности сбора статистики и генерация предупреждений
Установление подлинности пользователей
User Authentication
Client Authentication
Transparent Session Authentication
Поддерживаемые схемы авторизации пользователя
Трансляция сетевых адресов
Защита вашего IP-пространства
Динамическая мода
Действительно ли этот вариант трансляции полностью динамичный?
Статическая мода трансляции адресов
Простой пример настройки
Content Security - механизм проверки информационных потоков
Выявление компьютерных вирусов
Сканирование URL
Блокирование Java и ActiveX
Поддержка почтового протокола SMTP
Фильтрация HTTP
Обработка протокола FTP
Безопасность операционной системы
Управление списками доступа маршрутизаторов
Точный, простой и всеобъемлющий
Централизованное управление
Автоматическое создание ACL
Обнаружение попыток неавторизованного доступа для FireWall-1
Check Point RealSecure начнет поставляться не позднее третьего квартала 1998 года
Поддержка гибких решений
Технические спецификации
Определяемые атаки
Требования к безопасности, обеспечиваемой Firewall
Технология Stateful Inspection.
-
Преодоление firewall'ов снаружи и изнутри
Пробиться сквозь брандмауэр изнутри намного проще, чем снаружи, поскольку брандмауэр физически выполняется на той же самой машине, что и зловредные приложения и его код свободно доступен для изменения и модификации. Исключение составляет аппаратные firewall'ы, встроенные в материнскую плату, однако, их возможности сильно ограничены
Введение
Как работает брандмауэр
Из свободы в неволю или проникновение извне
Врезка как затоптать SyGate
Из неволи на свободу или проникновение изнутри
Какой из брандмауэров самый лучший
Врезка один за всех и все за одного
Заключение
Врезка: интересные ссылки
-
Межсетевое экранирование
Firewall’ы защищают компьютеры и сети от попыток несанкционированного доступа с использованием уязвимых мест, существующих в семействе протоколов ТСР/IP. Дополнительно они помогают решать проблемы безопасности, связанные с использованием уязвимых систем и с наличием большого числа компьютеров в локальной сети. Существует несколько типов firewall’ов, начиная от пакетных фильтров, встроенных в пограничные роутеры, которые могут обеспечивать управление доступом для IP-пакетов, до мощных firewall’ов, которые могут закрывать уязвимости в большом количестве уровней семейства протоколов ТСР/IP, и еще более мощных firewall'ов, которые могут фильтровать трафик на основании всего содержимого пакета.
Технологические возможности firewall’ов с начала 1990-х годов существенно улучшились. Сперва были разработаны простые пакетные фильтры, которые постепенно развивались в более сложные firewall’ы, способные анализировать информацию на нескольких сетевых уровнях. Сегодня firewall’ы являются стандартным элементом любой архитектуры безопасности сети.
Классификация firewall’ов
Установление ТСР-соединения
Пакетные фильтры
Пограничные роутеры
Пример набора правил пакетного фильтра
Stateful Inspection firewall’ы
Host-based firewall’ы
Персональные firewall’ы и персональные устройства firewall’а
Прокси-сервер прикладного уровня
Выделенные прокси-серверы
Гибридные технологии firewall’а
Трансляция сетевых адресов (NAT)
Статическая трансляция сетевых адресов
Скрытая трансляция сетевых адресов
Межсетевое экранирование
Принципы построения окружения firewall’а
Конфигурация с одной DMZ-сетью
Service Leg конфигурация
Конфигурация с двумя DMZ-сетями
Виртуальные частные сети
Расположение VPN-серверов
Интранет
Экстранет
Компоненты инфраструктуры: концентраторы и коммутаторы
Расположение серверов в DMZ-сетях
Внешне доступные серверы
VPN и Dial-in серверы
Внутренние серверы
DNS-серверы
SMTP-серверы
Политика безопасности firewall’а
Политика firewall’а
Реализация набора правил firewall’а
Тестирование политики firewall’а
Возможные подходы к эксплуатации firewall’а
Сопровождение firewall’а и управление firewall’ом
Физическая безопасность окружения firewall’а
Встраивание firewall’ов в ОС
Стратегии восстановления после сбоев firewall’а
Возможности создания логов firewall’а
Инциденты безопасности
Создание backup’ов firewall’ов
Межсетевое экранирование
Введение
Основные характеристики пакетных фильтров в ОС FreeBSD
ПО пакетных фильтров
OpenBSD Packet Filter (PF) и ALTQ
Указание необходимости использования PF
Опции ядра
Опции rc.conf
Указание необходимости использования ALTQ
Создание правил фильтрации
IPFILTER (IPF) firewall
Указание необходимости использования IPF
Опции, доступные в rc.conf
IPF
IPFSTAT
IPMON
Построение скрипта правил с использованием символьных подстановок
Набор правил IPF
Синтаксис правила
Действие (action)
IN-OUT
Опции
SELECTION
PROTO
SRC_ADDR / DST_ADDR
PORT
TCP_FLAG
STATEFUL
Stateful-фильтрация
Пример включающего набора правил
Пример включающего набора правил - 2
NAT
IPNAT
Правила IPNAT
Как работает NAT
Запуск NAT
NAT для очень больших LAN
Указание порта
Использование пула публичных адресов
Port Redirection
FTP и NAT
Правила фильтрации IPNAT FTP
IPFW
Указание необходимости использования IPFW
Опции /etc/rc.conf
Команды IPFW
Набор правил IPFW
Синтаксис правил
CMD
RULE_NUMBER
ACTION
Создание логов
Опции правила Stateful
Построение скрипта правила
Набор правил Stateful
Пример совместного использования NAT и Stateful
Example.3.1
Межсетевое экранирование
Что такое IDS
Почему следует использовать IDS
Типы IDS
Архитектура IDS
Совместное расположение Host и Target
Разделение Host и Target
Способы управления
Централизованное управление
Частично распределенное управление
Полностью распределенное управление
Скорость реакции
Информационные источники
Network-Based IDS
Host-Based IDS
Application-Based IDS
Анализ, выполняемый IDS
Определение злоупотреблений
Определение аномалий
Возможные ответные действия IDS
Активные действия
Сбор дополнительной информации
Изменение окружения
Выполнение действия против атакующего
Пассивные действия
Тревоги и оповещения
Использование SNMP Traps
Возможности отчетов и архивирования
Возможность хранения информации о сбоях
Дополнительные инструментальные средства
Системы анализа и оценки уязвимостей
Процесс анализа уязвимостей
Классификация инструментальных средств анализа уязвимостей
Host-Based анализ уязвимостей
Network-Based анализ уязвимостей
Преимущества и недостатки систем анализа уязвимостей
Способы взаимодействия сканера уязвимостей и IDS
Проверка целостности файлов
Межсетевое экранирование
Системы Honey Pot и Padded Cell
Выбор IDS
Определение окружения IDS
Цели и задачи использования IDS
Существующая политика безопасности
Организационные требования и ограничения
Ограничения на ресурсы, существующие в организации
Возможности IDS
Учет возможного роста организации
Предоставляемая поддержка программного продукта
Развертывание IDS
Стратегия развертывания IDS
Развертывание network-based IDS
Позади внешнего firewall’а в DMZ-сети (расположение 1)
На основной магистральной сети (расположение 3)
В критичных подсетях (расположение 4)
Развертывание host-based IDS
Стратегии оповещения о тревогах
Сильные стороны и ограниченность IDS
Сильные стороны IDS
Ограничения IDS
Типичные выходные данные IDS
Выполняемые IDS действия при обнаружении атаки
Компьютерные атаки и уязвимости, определяемые IDS
Типы атак
Типы компьютерных атак, обычно определяемые IDS
Атаки сканирования
DoS-атаки
DoS-атаки шквальной эксплуатации
Flooding DoS-атаки
Атаки проникновения
Удаленные vs. локальные атаки
Атака авторизованного пользователя
Атаки публичного доступа
Определение расположения атакующего на основе анализа выходной информации IDS
Чрезмерная отчетность об атаках
Соглашения по именованию атак
Уровни важности атак
Типы компьютерных уязвимостей
Ошибка корректности входных данных
Переполнение буфера
Ошибка граничного условия
Ошибка управления доступом
Исключительное условие при обработке ошибки
Ошибка окружения
Ошибка конфигурирования
Race-условие
Будущие направления развития IDS
Межсетевое экранирование
Введение
Безопасность DNS
Сервисы DNS
Инфраструктура DNS
Компоненты DNS и понятие безопасности для них
Основные механизмы безопасности для сервисов DNS
Данные DNS и ПО DNS
Зонный файл
Name-серверы
Авторитетные name-серверы
Кэширующие name-серверы
Resolver’ы
Транзакции DNS
Запрос / ответ DNS
Зонная пересылка
Динамические обновления
DNS NOTIFY
Безопасность окружения DNS
Угрозы и обеспечение защиты платформы хоста
Угрозы ПО DNS
Угрозы для данных DNS
Межсетевое экранирование
Угрозы для транзакций DNS
Угрозы DNS-запросам и ответам и способы обеспечения защиты
Поддельный или выдуманный ответ
Удаление некоторых ресурсных записей
Защищенный подход для DNS Query/Response – DNSSEC
Угрозы зонной пересылке и способы обеспечения защиты
Угрозы для динамических обновлений и способы обеспечения защиты
Угрозы DNS NOTIFY и способы обеспечения защиты
Выводы
Создание безопасного окружения для сервисов DNS
Безопасность платформы
Безопасность ПО DNS
Использование самой последней версии ПО name-сервера
Выполнение ПО name-сервера с ограниченными привилегиями
Изоляция ПО name-сервера
Выделенный экземпляр name-сервера для каждой функции
Удаление ПО name-сервера с не предназначенных для этого хостов
Сетевое и географическое расположение авторитетных name-серверов
Использование расчлененных зонных файлов
Использования отдельных name-серверов для различных типов клиентов
Управление содержимым зонного файла
Безопасность транзакций DNS
Ограничение участников транзакций на основе IP-адреса
Ограничение участников транзакции DNS Query/Response
Ограничение рекурсивных запросов (специальный случай DNS Query/Response)
Ограничение участников транзакции зонной пересылки
Ограничение участников транзакции динамического обновления
Ограничение участников транзакции DNS NOTIFY
Защита транзакции с использованием НМАС (TSIG)
Создание ключа
Определение ключей для взаимодействующих name-серверов
Указание name-серверу использовать ключи во всех транзакциях
Безопасность зонных пересылок с использованием TSIG
Безопасность динамических обновлений с использованием TSIG
Конфигурирование ограничений перенаправления динамических обновлений с использованием ключей TSIG
Конфигурирование более точных ограничений динамического обновления с использованием TSIG-ключей
Межсетевое экранирование
Механизмы и операции DNSSEC
Типы записей, используемых DNSSEC
Список операций DNSSEC
Создание пары открытый / закрытый ключи (DNSSEC-ОР1)
Пример создания пары ключей
Безопасное хранение закрытых ключей (DNSSEC-OP2)
Опубликование открытого ключа (DNSSEC-OP3) и конфигурирование доверенных anchor’ов (DNSSEC-OP7)
Подписывание зоны (DNSSEC-OP4)
Пример подписывания зоны
Создание доверенной цепочки и проверка подписи (DNSSEC-OP8)
Безопасность ответов кэширующего name-сервера
Дополнительные меры защиты для DNS Query / Response
Динамические обновления в поддерживающей DNSSEC-зоне
Добавление нового типа ресурсной записи в существующий домен
Удаление некоторого типа ресурсной записи из существующего домена
Добавление нового имени домена в зону
Удаление домена из зоны
Краткое резюме
Минимизация раскрываемой DNS-информации
Выбор значений параметров в SOA RR
Утечка информации и Informational RRTypes
Использование периода действительности RRSIG для минимизации последствий компрометации ключа
Администрирование операций для обеспечения безопасности сервисов DNS
Плановое обновление ключа (время жизни ключа)
Обновление ключа в локально безопасной зоне
Обновление ключа в глобально безопасной зоне
Обновление ключа ZSK в глобально безопасной зоне
Обновление ключа KSK в глобально безопасной зоне
Аварийное обновление ключа
Аварийное обновление ZSK
Аварийное обновление KSK
Переподписывание зоны
Межсетевое экранирование
Введение
Причины уязвимости web-сервера
Планирование развертывания web-сервера
Безопасность лежащей в основе ОС
Применение Patch и Upgrade ОС
Удаление или запрещение ненужных сервисов и приложений
Конфигурирование аутентификации пользователя в ОС
Управление ресурсами на уровне ОС
Альтернативные платформы для web-сервера
Trusted ОС
Использование Appliances для web-сервера
Специально усиленные (pre-hardened) ОС и web-серверы
Тестирование безопасности операционной системы
Список действий для обеспечения безопасности ОС, на которой выполняется web-сервер
Безопасное инсталлирование и конфигурирование web-сервера
Безопасное инсталлирование web-сервера
Конфигурирование управления доступом
Разграничение доступа для ПО web-сервера
Управление доступом к директории содержимого web-сервера
Управление влиянием web Bots
Использование программ проверки целостности файлов
Список действий для безопасного инсталлирования и конфигурирования web-сервера
Межсетевое экранирование
Опубликование информации на web-сайтах
Обеспечение безопасности технологий создания активного содержимого
URLs и cookies
Уязвимости технологий активного содержимого на стороне клиента
Уязвимости технологий создания содержимого на стороне сервера
Список действий для обеспечения безопасности web-содержимого
Межсетевое экранирование
Требования к аутентификации и шифрованию
Аутентификация, основанная на IP-адресе
Basic-аутентификация
Digest-аутентификация
Решение общих проблем безопасности
Перемещение по директории
Атаки Cross Site Scripting
Атаки SQL / база данных
Выполнение команд ОС
Атаки переполнения буфера
Проверка параметров
Загрузка файлов
Рекомендуемая конфигурация
SSL/TLS
Возможности SSL/TLS
Слабые места SSL/TLS
Пример SSL/TLS-сессии
Схемы шифрования SSL/TLS
Требования к реализации SSL/TLS
Список действий для технологий аутентификации и шифрования
Введение
Понятие регулярных выражений
Конфигурирование
Включение фильтрации
Сканирование POST-запросов
Настройка отключения динамической буферизации
Динамическое управление ModSecurity
Кодирование запросов и ответов, использующих chunk
Список действий по умолчанию
Неявная проверка корректности
Наследование фильтра
Наследование фильтра - 2
Наследование фильтра в многопользовательских окружениях
Проверка корректности представления URL
Проверка корректности представления Unicode
Проверка диапазона байтов
Правила (Rules)
Простая фильтрация
Нормализация пути
Предотвращать null byte атаки
Выборочное фильтрование
Исключение фильтрования аргументов
Cookies
Исходящая фильтрация
Действия (Actions)
Способы задания действий
Действия для правила
Ограничения в списке действий для каждого правила
Встроенные действия
Заголовки запроса, добавляемые mod_security
Занесение в лог тела запроса
Взаимодействие ModSecurity c пакетным фильтром
Поддержка загрузки (upload) файла
Выбор местоположения для загружаемых файлов
Проверка файлов
Хранение загруженных файлов
Взаимодействие с другими демонами
Ограничение памяти, используемой для загрузки
Скрытие идентификации сервера
Стандартный подход
Подход mod_security
Example.11.1
Межсетевое экранирование
Топология сети
Демилитаризованная зона
Хостинг во внешней организации
Сетевые элементы
Роутер и firewall
Системы обнаружения проникновения (IDS)
Сетевые коммутаторы и концентраторы
Список действий для обеспечения безопасности сетевой инфраструктуры
Создание логов
Основные возможности создания логов
Дополнительные требования для создания логов
Возможные параметры логов
Просмотр и хранение лог-файлов
Автоматизированные инструментальные средства анализа лог-файлов
Процедуры создания backup web-сервера
Политики и стратегии выполнения backup’а web-сервера
Поддержка тестового web-сервера
Поддержка аутентичной копии web-содержимого
Восстановление при компрометации безопасности
Восстановление при компрометации безопасности - 2
Тестирование безопасности web-серверов
Сканирование уязвимостей
Тестирование проникновения
Удаленное администрирование web-сервера
Список действий для безопасного администрирования web-сервера
