JAVIER ECHAIZ. Clase 20. Prof. Javier Echaiz D.C.I.C. U.N.S.

Transcripción

1 Clase 20 Prof. Javier Echaiz D.C.I.C. U.N.S.

2 Riesgos Origen de los Riesgos en la Seguridad: Interno (el 70% de los incidentes de seguridad reportados): Externo: Seguridad perimetral para prevenir accesos no autorizados a la red privada desde el mundo externo (Internet o dial-in). Vulnerabilidades en la Red: Protocolos de red. Software. Configuración. 2

3 Especificación de la Política de Seguridad No existe un sistema de protección efectivo sin una política de seguridad sensata. La política es la base de la seguridad. especifica que cosas son importantes proteger dentro de una organización y que acciones amenazan estas cosas. La política de seguridad de red define: Quién puede hacer qué, cuándo, desde dónde y con qué tipo de autentificación? Qué actividades son consideradas amenazas a la seguridad? Quién tiene autoridad/responsabilidad de implementar esta política? En la clase de hoy veremos que podemos hacer en cuanto a protección de nuestra organización frente al mundo exterior. 3

4 Ataques vía Protocolos de Comunicación IP Address spoofing UDP Spoofing TCP Sequence Number Attacks Internet Routing Attacks ICMP Redirect Ping of Death (PoD) Nota: Nombres en inglés dado su uso popular ARP attacks TCP SYN Flood Attack IP Fragmentation Attack UDP Port Denial-of-Service y bombas UDP Random Port Scanning Packet sniffers (Eavesdropping) Man-in-the-Middle (connection hijacking) TCP Connection Spoofing 4

5 Ataques vía Autentificación y Aplicaciones Passwords débiles Password Sniffers Troyanos Apropiación de conexiones (connection hijacking) Ingeniería social Ataques a DNS, SMTP, NFS, NTP, Remote-login, X-Window Fuga de información (finger, whois, echo, ping, traceroute) URL y Web Spoofing Código Java y ActiveX applets maliciosos, virus Buffer overflow Ataques CGI 5

6 Negociación de Conexión en TCP/IP Ejemplo SYN (A, SN A ) Máquina A SYN/ACK (A, SN B ) ACK (A, SN A ) ACK (B, SN B ) Máquina B Connection 6

7 ftp://info.cert.org/pub/tech_tips/denial-of-service SYN Flooding Ping of Death (Win95 target, pruebe ping -l target ) Smurfing Denial of Service (DoS) vía Red spoofing de paquetes ICMP echo (ping) con la dirección de la víctima como la dirección fuente y la dirección de broadcast como destino. Ataques mediante paquetes maliciosos (aplique los patches provistos por el proveedor) Land Drop (Win95) Latierra (Win NT y Win95) Tear Drop (Linux, Win NT y Win95) 7

8 DoS: SYN Flooding 1 SYN(C) Víctima B Atacante A 2 SYN(C) ACK(C), SYN(B) ACK(C), SYN(B) k SYN(C) 8

9 Debilidades de Seguridad en Internet Falta de autentificación en protocolos. Seguridad limitada en routers. Eavesdropping. Confianza en control de acceso basado en passwords. Suposición de números bajos de ports Sistemas mal configurados confianza explícita en el mundo (Everybody/FullControl ), cuentas no cerradas, NFS y FTP no restringidos, etc. Errores de software y backdoors sendmail, finger, etc. 9

10 Los Problemas La gente externa a nuestra máquina/red quiere acceder a recursos internos sin nuestro permiso. Contacta a un compañero (doble agente) en nuestro sistema o a un programa legítimo. Los programas dentro de nuestra red/computadora quieren acceder a Internet sin nuestro permiso. Un caballo de troya en nuestro sistema contacta a alguien (atacante) del exterior. 10

11 Desarrollo de una Política Debemos decidir como controlar el tráfico a través del firewall Lo que no está explícitamente prohibido está permitido Amigable al usuario. Aparecen constantemente nuevos servicios. Mayor potencial de ser víctima de nuevos agujeros de seguridad. Sin sentido hoy en día. Lo que no está explícitamente permitido está prohibido Más seguro. Menos amigable al usuario. 11

12 Desconectarse de Internet los usuarios se hacen dependientes de sus servicios rapidamente. los negocios/educación requieren conectividad Internet. NO PRÁCTICO. Mejorar la seguridad en los Hosts Pros No trae inconvenientes a los usuarios legítimos. Provee protección intra-organización. El software puede ayudar a automatizar la seguridad. Contras Conectividad en Internet Muchas máquinas es difícil implementar seguridad en todas! No hay herramientas de auditoría centralizada - quién está entrando? Bastante bien pero no es suficiente. 12

13 Fortificación del Perímetro de la Red Internet 13

14 Pros: Fortificación del Perímetro de la Red (2) El acceso a la red interna se dirige a un único a hacia un pequeño conjunto de sistemas. Más fácil para el administrador. Más fácil de auditar el tráfico entrante y saliente. Contras: Es difícil determinar el perímetro de la red. Los firewalls pueden ser difíciles de configurar y mantener. Son muchas las técnicas a considerar. FIREWALL Un sistema de software o hardware que regula las comunicaciones entre redes: Entre red interna y externa. Entre subredes internas. 14

15 Funciones de un Firewall Proveer conectividad segura entre redes (posiblemente varios niveles de confianza). Implementar y hacer cumplir una política de seguridad entre redes. Redes Confiables Firewall Redes y Servers no Confiables Internet Usuarios no Confiables Intranet Router DMZ Servers y Redes accesibles desde el exterior (públicos) Usuarios Confiables 15

16 Definición de Firewall Definición del Webster s Dictionary: una pared construida para prevenir que el fuego en un lado de un edificio pase al otro. Un firewall de red tiene un propósito similar: evitar que los peligros de las redes exteriores (Internet) pasen a nuestra red. Punto de acceso controlado. 16

17 Los Firewalls pueden: Restringir el tráfico entrante y saliente a partir de las direcciones IP, ports o usuarios. Bloquear paquetes inválidos. Proveer de un único punto de choque. Proveer funciones de logueo y auditoría. Los puntos anteriores también se aplican al interior al comunicarse con el exterior. 17

18 Conveniente Dar información acerca del tráfico gracias a la posibilidad de loguear. Network Address Translation (NAT). Encripción. 18

19 Los Firewalls NO pueden proteger de: (1) Tráfico que no pasa por ellos Ruteado por otro lado (ej: modems). Tráfico interno. Cuando están mal configurados pueden ser inútiles. Proteger (confidencialidad) los datos en Internet. Prevenir ataques activos (session hijacking, routing, etc) Manejar dispositivos de IP móvil. Queremos una solución end-to-end. Criptografía. 19

20 Los Firewalls NO pueden proteger de: (2) Información exportada en DVDs, memorias flash,. Estupidez de los usuarios que divulgan información confidencial por teléfono. Ing. Soc. Virus, troyanos, etc. que llegan via . Generalizando: cierto software malicioso es subido o copiado usando un canal legítimo y luego es ejecutado. 20

21 El mejor Firewall a la red electricidad Funcionalidad: Muy Mala 21

22 Resumen de la Clase de Hoy 22

23 Era un chistecito 23

24 De-Militarized Zone (DMZ) DMZ zona desmilitarizada Area de red entre dos packet filters. El filtro externo solo permite tráfico desde el exterior. El filtro interno solo permite tráfico desde el interior. Separa la red externa de la interna. Contiene nodos que proveen servicios externos (ej: webserver, DNS) y gateways (aplicaciones) para clientes internos. Cuando los nodos están comprometidos El tráfico interno no puede ser objeto de sniffing. Protección del filtro interno. 24

25 Control de Acceso ALERTA!! Internet Requerimientos de Seguridad Control de acceso a la red y a sus recursos. Proteger la red de posibles ataques. 25

26 Local Area Network DB server wkstn web server wkstn wkstn fire wall Public Network/ Internet Un firewall asegura nuestra LAN: - restringiendo las conexiones externas (entrantes y salientes) a las máquinas y servicios especificados. - analizando, logueando y filtrando todo el tráfico wkstn mail server wkstn wkstn - detectando y reportando intentos de entrarda. - ocultando la estructura interna (direcciones) de la LAN de la Red Pública. 26

27 Dos Tipos de Firewalls Packet Filters El control de acceso sobre la red se efectúa analizando los paquetes entrantes y salientes. Se los deja pasar o se descartan según la dirección IP de la máquina fuente y de la máquina destino. Puede ser un router, bridge o un host particular. Application Proxy El proxy es un programa que representa a todas las computadoras de la red interna, ocultando la LAN de la red pública. El proxy toma todas las decisiones de forwarding, en los dos sentidos. El proxy hará el forwarding para los clientes autorizados hacia servers del exterior y traerá las respuestas a dichos clientes. 27

28 28

29 Firewall comprometido Local Area Network DB server wkstn Public Network/ Internet wkstn wkstn Redes de Telefonía Pública modem web server fire wall wkstn wkstn mail server wkstn 29

30 Coming Next!