Comunidad de Soporte de Cisco en Español Webcast en vivo:

Transcripción

1 Comunidad de Soporte de Cisco en Español Webcast en vivo: Zone-Based Firewall: Introducción y análisis a su funcionamiento. Julio Carvajal Ingeniero en Seguridad 22 de Enero del 2014

2 Comunidad de Soporte de Cisco Webcast en vivo El experto del día de hoy es Julio Carvajal Segura Haga sus preguntas a cerca de: Zone-Based Firewall: Introducción y análisis a su funcionamiento. Julio Carvajal Segura Ingeniero en Seguridad Cisco Confidential 2

3 Tema: Zone-Based Firewall: Introducción y análisis a su funcionamiento. Panel de Expertos (Question Manager) Itzcóatl Espinoza Ingeniero de Soporte para Latinoamérica CCIE en Seguridad #33540 Cisco Confidential 3

4 Gracias por su asistencia el día de hoy Le invitamos a participar activamente contestando las preguntas que le haremos durante la sesión, estas serán a cerca del tema que se estará presentando. Cisco Confidential 4

5 Copia de la presentación Si desea bajar una copia de la presentación de hoy, escaneé el QR o vaya a ésta dirección: Cisco Confidential 5

6 Historial de Webcasts de la comunidad: Puede encontrar todos los Webcast de la Comunidad de Soporte de Cisco en español en: espacio-de-los-expertos/webcasts Cisco Confidential 6

7 1ra.Pregunta a la audiencia: Qué clase de Firewall están utilizando en su empresa? a) Cisco ASA/FWSM b) IOS ZBFW/CBAC c) Juniper SRX/Netscreen d) Checkpoint e) Otros Cisco Confidential 7

8 Ahora puede realizar sus preguntas al panel de expertos! Use el panel de preguntas y respuestas (Q&A) para preguntar a los expertos ahora. Ellos empezarán a responder.

9 Comunidad de Soporte de Cisco en Español Webcast en vivo: Zone-Based Firewall: Introducción y análisis a su funcionamiento. Julio Carvajal Ingeniero en Seguridad 22 de Enero del 2014

10 Agenda Introducción a un IOS Firewall. Componentes claves de un Firewall. Funcionalidades avanzadas de un IOS Firewall. Como resolver problemas en un IOS Firewall. Laboratorio. Cisco Confidential 10

11 Firewall Que es un Firewall? Sistema de Seguridad que se encarga de inspeccionar tráfico de tal manera que se respeten las politícas de seguridad acerca del uso de el internet y la red local en la empresa. Que es ZBFW? ZBFW es la herramienta que nos permite transformar nuestro router en un dispositivo de seguridad de alta calidad capaz de filtrar paquetes de manera avanzada. Aparece en la versión de Cisco IOS 12.4(6) T buscando reemplazar CBAC. Se puede utilizar CBAC y ZBFW en el mismo router? La respuesta es Sí, siempre y cuando no se habilite en la misma interface. Cisco Confidential 11

12 Introducción a ZBFW Consiste en dividir al router en diferentes zonas. Las interfaces del router posteriormente se asignarán a cada zona. Políticas de seguridad deben ser configuradas para permitir tráfico entre diferentes zonas. Una interface que forma parte de una zona esta configurada con ZBFW. No puede existir comunicación entre una interface que forme parte de ZBFW y otra que no lo haga. Más de una interface pueden formar parte de la misma zona. Cisco Confidential 12

13 Introducción a ZBFW Tráfico entre interfaces de la misma zona no es protegido por defecto (IOS 15.1) Por defecto todo el tráfico entre diferentes zonas es denegado. ZBFW utiliza el Self-Zone para proteger las interfaces del router (Más adelante entraremos en detalle acerca de esta zona). Cisco Confidential 13

14 Implementación de ZBFW Dividir al router en diferentes zonas según la infraestructura de red. Crear una política escrita donde se mencione que tráfico se debe de permitir entre diferentes zonas (Opcional). Configurar ZBFW. Cisco Confidential 14

15 2da pregunta a la audiencia: Quiero denegar todo el tráfico de la zona Outside a la zona Inside. No tengo ninguna política configurada. Qué debo hacer? a) Configurar una política de la zona outside a inside que bote todo el tráfico. b) Configurar una política de la zona a inside a outside para que inspeccione el tráfico y el de vuelta sea botado. c) Nada, por defecto debería de ser denegado Cisco Confidential 15

16 Implementación de ZBFW Tenemos 2 interfaces: -Una que conecta hacia los servidores internos. -La otra nos permite tener acceso a Internet. Inside Outside Cisco Confidential 16

17 Configuración de ZBFW Crear las Zonas de Seguridad. Identificar tráfico que va a ser permitido o Denegado. Configurar Política de Seguridad que va realizara la acción requerida. Aplicar la Política de Seguridad entre las diferentes zonas Nota: ZBFW utiliza C3PL (Cisco Common Classification Policy Language) para su configuración. Cisco Confidential 17

18 Crear las Zonas de Seguridad. En modo de configuración global creo las zonas que sean necesarias según el escenario. Recordemos que para que ZBFW sea habilitado las interfaces deben de pertenecer a estas zonas previamente creadas. Cisco Confidential 18

19 Identificar el Tráfico Se lleva a cabo mediante el uso de class-maps. Clasifican el tráfico utilizando protocolos o listas de acceso. Tenemos 2 tipos de class-maps: Match-All (Usada por defecto): Para que esta clase sea utilizada todos los párametros dentro de una clase deben de estar presente en el paquete a clasificar. Match-Any: Con solo que identifique un parámetro dentro de un paquete IP con respecto a esta clase será suficiente para hacer un match. Cisco Confidential 19

20 Match-All Vs Match Any Teniendo la siguiente configuración explicaremos si es posible identificar tráfico. Cisco Confidential 20

21 Configuración de Class-Map Supongamos que queremos clasificar el protocolo HTTP dentro de una clase denominada PRUEBA. En este caso al no haber seleccionado si es match-all o match-any se utiliza por defecto el match-all. Cisco Confidential 21

22 Policy-Map Es la parte de la configuración donde yo determino que acción voy a tomar contra el tráfico previamente clasificado. Es por ende que en cada policy-map hago referencia a clases de tráfico. A continuación vamos a discutir las diferentes opciones que tengo para configurar en un policy-map. Cisco Confidential 22

23 Acciones Dentro de un Policy-Map Inspect: Equivalente al IP inspect de CBAC. Añade una entrada en la tabla de estado del FW para una conexión en especifíco de tal manera que el tráfico de vuelta sea permitido de manera dinámico. Verifica que los protocolos sigan los estándares definidos en su respectivo RFC. Se encarga de abrir los puertos necesarios para protocolos que usan puertos dinámicos como FTP,H323,SIP, etc. Cisco Confidential 23

24 Pass: Es el equivalente a un permit en una lista de acceso. Es unidireccional, no genera ninguna entrada en la tabla de estado del firewall. El tráfico de vuelta debe ser permitido manualmente. Drop: Equivalente a un Deny en una lista de acceso. Police: Limita la cantidad de bits que pueden ser transferidos para una clase Cisco Confidential 24

25 Service-Policy Aquí es donde se aplican las políticas de seguridad. Se hace dentro de un Zone-Pair En un zone-pair se hace referencia a tráfico de una zona de origen y destino. Cisco Confidential 25

26 Asignar Interfaces a Zona Interface gigabitethernet 0/0 Zone-member security outside Interface gigabitethernet 0/1 Zone-member security inside Tan pronto configuremos esto ZBFW estará siendo utilizado en esas interfaces. Cisco Confidential 26

27 3ra Pregunta a la audiencia Con la siguiente configuración, Cuándo tengo que hacer match a un paquete? a) Siempre y cuando el paquete venga sobre TCP y tenga puerto destino 80 b) Siempre y cuando el paquete venga sobre UDP y tenga puerto destino 53 c) Nunca existirá tal paquete. d) Siempre y cuando el paquete sea ambos TCP/UDP y venga con puerto origén 80 y destino 53 Cisco Confidential 27

28 Listas de Acceso y el IOS-FW Inside Outside Cisco Confidential 28

29 CBAC crea entradas dinámicas en las listas de acceso configuradas en una interface donde el comando IP Inspect este aplicado (Osea para el tráfico entrante se revisa la lista de acceso solo si CBAC no esta configurado). Con ZBFW el comportamiento cambia debido a que ambos son tomados en cuenta. Primero se revisará la lista de acceso y posteriormente la tabla de estado de un Firewall. Cisco Confidential 29

30 Cómo Proteger al Router? Tráfico desde y dirigído al router no es tomado en cuenta por las políticas de inter-zona. Para proteger al router de una mejor manera podemos hacer uso de la Zona dedicada al Router llamada : Self-Zone. Cisco Confidential 30

31 Recuerda: Todas las direcciones IP asignadas a las interfaces de los routers pertenecen a la zona Self-Zone (esto sin importar si la interface esta asociada a una zona o no. Inspección a nivel de aplicación no se soporta en una política que vaya a asignarse al Self-Zone debido a que no gasta recursos del sistema identificando el tipo de protocolo. A la hora de configurar una politica para el Self-Zone tome en cuenta: Protocolos de Enrutamiento Sesiones de administración al router. Tráfico VPN. Etc. Cisco Confidential 31

32 Configuración Avanzada del FW Parameter-Map : Permite añadir parámetros específicos a las políticas que esten inspeccionando tráfico. Parameter-map type inspect Test Alert on off (Habilita Deshabilita los mensajes por Syslog) Audit-trail on off off (Se encarga de generar logs acerca del establecimiento de conexiones y cuando estas son finalizadas, cantidad de bytes enviados, etc) Ejemplo: Parameter-map type inspect Audit_Parameter Audit-trail on Policy-map type inspect In_Out Class Test Inspect Audit_Parameter Cisco Confidential 32

33 Diferentes Comandos en un Parameter-Map Cisco Confidential 33

34 Deep Packet Inspection La inspección a fondo de paquetes por parte de un FW permite buscar información dentro de el contenido del paquete (payload) para determinar si el tráfico es válido o no. Ejemplos: 1. Permitir tráfico HTTP solo si va hacia google.com 2. Permitir s que tengan hasta cierta cantidad de caracteres. 3. Denegar el uso de ciertas aplicaciones P2P. Cisco Confidential 34

35 Deep Packet Inspection IMAP-POP3 POP3 Asegurarse que los usuarios utilizen el metodo de validación requerido. SMTP Asegurarse que los s tienen un tamaño que respeta lo configurado. SUNRPC Solo ciertos programas sean accessados via RPC. P2P Identificar y denegar tráfico que es enviado vía P2P apps (Kazaa, Gnutella, Edonkey, etc) HTTP Con este protocolo puedes realizar multiples acciones ya que puedes identificar tráfico basado en múltiples valores como header host value, URI, etc. Cisco Confidential 35

36 Qué se requiere para establecer una VPN con ZBFW (Self-Zone)? Solamente UDP puerto 500 debe permitirse entre la zona Self y la zona Outside para que el VPN IPSec Main Mode levante. ESP no necesita ser permitido, desde el punto de vista de ZBFW el tráfico entre los dispositivos a cada lado del VPN debe permitirse entre Inside-Outside o Outside-Inside. Cisco Confidential 36

37 Troubleshooting con los Comandos Show Show zone security Presenta al usuario cada una de las zonas configuradas y a que interface pertenecen. Show policy-map type inspect zone-pair In_Out Presenta al usuario las politicas configuradas para un zone-pair en específico y la cantidad de tráfico que ha formado parte de esa política. Show policy-map type inspect zone-pair In_Out sessions Presenta al usuario un output mas detallado del comando previo (las sesiones activas). Cisco Confidential 37

38 IP inspect log drop-pkt Este comando se encargara de enviar un mensaje syslog por cada paquete que se bote por el Firewall. Tambíen se puede configurar en el policy-map (siempre y cuando sea pass o inspect). Nota: ZBFW logging esta limitado a un log cada 30 segundos por tráfico en específico. Cisco Confidential 38

39 Configuración avanzada de Logging Formas de definir logging para diferentes clases de tráfico. A) Usando un Parameter-Map para una clase. Cisco Confidential 39

40 B)Usando un Parameter-Map de forma global. Este es un reemplazo del comando IP inspect log drop-pkt. Lo menor que se puede configurar el intervalo como dijimos previamente es a 30 segundos. NOTA: Existe la posibilidad de que no se vean los paquetes que son botados por el class class-default aunque tengamos el ip inspect log drop-pkt. Para esas ocasiones se recomienda habilitar el log en el class class-default. Esto ha sido observado en 15.0 y 15.1 con el class-default. Al parecer no muestra los paquetes botados por defecto. Cisco Confidential 40

41 Debugs En 15.1 y después: De igual manera puedo filtrarlo por clase de tráfico como mencionado previamente. debug ip inspect es sólo usado para CBAC Cisco Confidential 41

42 Comandos Debug : Antes de IOS 15 Si quiero aplicarlo a tráfico hacia en puerto TCP/80: Access-list 101 permit tcp any host eq 80 Debug policy-firewall list 101 Cisco Confidential 42

43 4ta pregunta a la audiencia: Porqué es recomendado habilitar la herramienta de audit-trail cuando usamos ZBFW? a) Nos permite ver los paquetes que fueron denegados. b) Nos muestra cuando se inicia una sesión y cuando esta se termina únicamente. c) No es útil para ZBFW. d) Porqué aparte de mostrarnos cuando una sesión se establece y termina también nos muestra la cantidad de bytes intercambiados. Cisco Confidential 43

44 ZBFW Lab Cisco Confidential 44

45 Escenario El router llamado ZBFW y R2 comunican al sitio A con el Sitio B, esto mediando un VPN IPSec L2L. Dentro del Sitio A, el router ZBFW y R1 estan usando OSPF para intercambiar sus tablas de enrutamiento. El VPN túnel esta configurado y funcionando de manera correcta. Existe comunicación entre ambas redes locales. Cisco Confidential 45

46 Tareas Como administradores de red se nos ha solicitado implementado configurar el router ZBFW como un IOS Firewall de tal manera que se consiga lo siguiente: Utilizar una zona denominada Inside y otra llamada Outside. Proteger al router utilizando el Self-Zone. Inspeccionar el siguiente tráfico proveniente del Inside hacia el Outside Sesiones RDP al servidor Sesiones HTTP y Telnet al servidor Inspeccionar únicamente tráfico ICMP de la zona Outside a Inside. Configurar el IOS FW de tal manera que podamos observar los paquetes que se botan por el proceso de Zone-Based Firewall y además el inicio y cierre de sesiones así como la cantidad de bytes utilizados. Cisco Confidential 46

47 Resultado de la Implementación Luego de la implementación verificar que la red funciona de la siguiente manera: La vecindad de OSPF funciona. El IPSec VPN funciona de manera correcta. Sesiones Telnet y HTTP a se establecen de la zona Inside a la zona Outside. Tráfico ICMP de la red externa a la red interna funciona. Verificar que se generan logs por paquetes botados por el IOS-Firewall y aparte ver la cantidad de bytes enviados. Cisco Confidential 47

48 Sesión de Preguntas y Respuestas El experto responderá en vivo algunas de las preguntas que hayan realizado. Use el panel de preguntas y respuestas (Q&A) para preguntar a los expertos ahora

49 Nos interesa su opinión!!! Habrá un sorteo con las personas que llenen el cuestionario de evaluación. Tres de los asistentes recibirán un Regalo sorpresa Para llenar la evaluación haga clik en el link que está en el chat, también aparecerá automáticamente al cerrar el browser de la sesión. Cisco Confidential 49

50 Ask the Experts Event (with Tejas Shah) Julio responderá del 22 de enero al de 7 febrero 2014 If you have additional questions, you can ask them to Tejas. He will be answering from April 2 through April 12, Puede ver la grabación de este evento, y leer las preguntas y respuestas en 5 días hábiles en: You can catch the video or read the Q&A five business days after the event at ://supportforums.cisco.com/community/spanish/espacio supportforums.cisco.com/community/spanish/espacio-de de-los los- expertos/webcasts

51 Próximo Webcast en Español Tema: IOS IOS-XR: Instalación y actualización del Software e Introducción al Cisco Software Manager Martes 25 de febrero: 9:00 a.m. Ciudad de México 10:30 a.m. Caracas 12:00 p.m. Buenos Aires 4:00 p.m. Madrid Estará presentando el experto de Cisco: Sergio Barragán Durante este evento en vivo, el experto de Cisco se se cubrirán los métodos de Turboboot y CLI para la instalación y actualización del sistema IOS XR. Se hablará de la teoría del procedimiento, se abarcarán los principales errores y obstáculos que se encuentran al realizar estos procedimientos.. Participe con nosotros para obtener mayor información sobre este tema y podrá hacer preguntas a los expertos de Cisco. Cisco Confidential 51

52 Inglés Portugués Japonés Ruso Cisco Confidential 52

53 Reconocimientos en la Comunidad El reconocimiento al PartcipanteDestacado de la Comunidad se otorga a los miembros que demuestran liderazgo y colaboración con la Comunidad, está diseñado para reconocer y agradecer a aquellas personas que colaboran con contenido técnico de calidad y ayudan a posicionar nuestra comunidad como el destino número uno para las personas interesadas en tecnología Cisco. Cisco Confidential 53

54 Califique el contenido de la Comunidad de Soporte de Cisco en Español. Ahora puede calificar discusiones, documentos, blogs y videos!!... Esto es con el fin de que nos ayude a distinguir contenido de calidad y también para reconocer los esfuerzos de los integrantes de la Comunidad de Soporte de Cisco en español. 3/06/21/ahora-ratings-en-documentos-blogs-y-videos Cisco Confidential 54

55 Soporte Técnico Móvil, tenga acceso a las Comunidades de Soporte Globales. La Comunidad de Soporte de Cisco cuenta con una aplicación de Acceso Móvil hacia la Comunidades Globales > Español, Portugués, Japonés, Ruso, y Polaco. Cisco Confidential 55

56 supportforums.cisco.com/community/spanish CiscoLatinoamerica Cisco Mexico Cisco España Cisco Cono Sur Comunidad Cisco Cisco and/or its affiliates. All rights reserved. 56

57 CiscoLatam ciscosupportchannel Cisco Technical Support CSC-Cisco-Support-Community Escucha nuestros próximos anuncios en Cisco Radio Latina Cisco and/or its affiliates. All rights reserved. 57

58 Gracias por su tiempo Por favor tomen un momento para llenar su evaluación

59