66.69 Criptografía y Seguridad Informática FIREWALL

Transcripción

1 66.69 Criptografía y Seguridad Informática

2 Qué es un Firewall? = Cortafuegos

3 Qué es un Firewall? = Cortafuegos

4 Qué es un Firewall? = Cortafuegos Elemento de hardware o software utilizado en una red de computadoras para controlar las comunicaciones, permitiéndolas o prohibiéndolas según las políticas de seguridad.

5 Dónde opera un Firewall? Punto de conexión de la red interna con la red exterior ( DMZ ) Zona Desmilitarizada

6 Tipos de Firewall APLICACIÓN PRESENTACIÓN URL de HTTP De capa de aplicación SESIÓN TRANSPORTE protocolo + puerto RED ENLACE FISICA OSI IP MAC De filtrado de paquetes

7 ( I ) Funciones posibles del Firewall ( Translation NAT (Network Address

8 ( I ) Funciones posibles del Firewall ( Translation NAT (Network Address

9 ( I ) Funciones posibles del Firewall ( Translation NAT (Network Address

10 ( II ) Funciones posibles del Firewall PROXY La información solicitada al exterior es recuperada por el firewall y después enviada al host que la requirió originalmente.

11 ( II ) Funciones posibles del Firewall PROXY La información solicitada al exterior es recuperada por el firewall y después enviada al host que la requirió originalmente.

12 ( II ) Funciones posibles del Firewall PROXY La información solicitada al exterior es recuperada por el firewall y después enviada al host que la requirió originalmente.

13 ( III ) Funciones posibles del Firewall QOS HTTP HTTP La LAN esta haciendo mucho uso de Intenet via HTTP y el firewall limita la salida para que por ejemplo los usuarios puedan recibir sin problemas su correo

14 ( IV ) Funciones posibles del Firewall Balanceo de Carga HTTP HTTP La LAN tiene dos vinculos con internet y el firewall distribuye la carga entre las dos conexiones.

15 Limitaciones del Firewall No protege de ataques fuera de su área No protege de espías o usuarios inconscientes No protege de ataques de ingeniería social No protege contra ataques posibles en la transferencia de datos, cuando datos son enviados o copiados a un servidor interno y son ejecutados despachando un ataque.

16 Implementación Hardware específico configurable o bien una aplicación de software corriendo en una computadora, pero en ambos casos deben existir al menos dos interfaces de comunicaciones (ej: placas de red)

17 Implementación Hardware específico configurable o bien una aplicación de software corriendo en una computadora, pero en ambos casos deben existir al menos dos interfaces de comunicaciones (ej: placas de red) REGLAS 1) ACEPTAR 2) DENEGAR

18 Implementación Hardware específico configurable o bien una aplicación de software corriendo en una computadora, pero en ambos casos deben existir al menos dos interfaces de comunicaciones (ej: placas de red) IPTABLES ( LINUX )

19 IPtables = NETFILTER LINUX Kernel IPTables Filtrado de paquetes Connection tracking NAT

20 Funcionamiento de IPtables paquete IP regla1 regla2 regla3... cadena 1 cadenas básicas INPUT OUTPUT FORWARD... el usuario puede crear tantas como desee.

21 Funcionamiento de IPtables paquete IP regla1 regla2 regla3... cadena 1 regla1 regla2 regla3... cadena 2... enlace a otra cadena

22 Funcionamiento de IPtables REGLAS condiciones a matchear DESTINO ACCEPT DROP QUEUE RETURN... cadena definida por usuario

23 Funcionamiento de IPtables REGLAS condiciones a matchear DESTINO protocolo IP origen IP destino puerto destino puerto origen flags TCP... ACCEPT DROP QUEUE RETURN... cadena definida por usuario

24 Funcionamiento de IPtables paquete IP... cadena 1... cadena cadena N TABLA

25 Funcionamiento de IPtables Hay tres tablas ya incorporadas, cada una de las cuales contiene ciertas cadenas predefinidas : FILTER TABLE responsable del filtrado cadenas predefinidas INPUT OUTPUT FORWARD NAT TABLE responsable de configurar las reglas de reescritura de direcciones o de puertos de los paquetes ( DNAT ) PREROUTING ( SNAT ) POSTROUTING ( local OUTPUT (DNAT MANGLE TABLE responsable de ajustar las opciones de los paquetes, como por ejemplo la calidad de servicio; contiene todas las cadenas predefinidas posibles.

26 Funcionamiento de IPtables

27 ( I ) Ejemplo de IPtables Queremos bloquear todos aquellos paquetes entrantes provenientes de la dirección IP iptables -s No estamos especificando qué hacer con los paquetes. Para esto, se usa el parámetro -j seguido por alguna de estas tres opciones: ACCEPT, DENY o DROP. iptables -s j DROP Necesitamos también especificar a qué chain o cadena vamos a aplicar esta regla. Para eso está el parámetro -A. iptables -A INPUT -s j DROP

28 ( II ) Ejemplo de IPtables Si lo que buscamos es que a nuestra computadora le sea imposible comunicarse con la anterior, simplemente cambiaremos el INPUT por el OUTPUT, y el parámetro -s por el -d. iptables -A OUTPUT -d j DROP Si quisiéramos ignorar sólo las peticiones Telnet provenientes de esa misma IP iptables -A INPUT -s p tcp --puerto-destino telnet -j DROP Si vamos a usar la computadora como router, deberemos setear la cadena de FORWARD para que también quede en ACCEPT. iptables -P FORWARD ACCEPT

29 ( 1 Implementación (escenario REGLAS Todo lo que venga de la red local al Firewall : ACEPTAR Todo lo que venga de una IP domiciliaria al puerto TCP 22 = ACEPTAR Todo lo que venga de la IP domiciliaria del Gerente al puerto TCP 1723 = ACEPTAR Todo lo que venga de la red local al exterior = ENMASCARAR Todo lo que venga del exterior al puerto TCP 1 al 1024 = DENEGAR Todo lo que venga del exterior al puerto TCP 3389 = DENEGAR Todo lo que venga del exterior al puerto UDP 1 al 1024 = DENEGAR ALTERNATIVA: implementar reglas por PROXY a nivel aplicación

30 ( 2 Implementación (escenario VPN L1 L2 PaP L3 VPN con túnel IPSEC. (. ENCRIPT ) Punto a Punto seguro, o política de seguridad anti-intrusos o sniffing