CONCEPTES AVANÇATS DE SISTEMES OPERATIUS Departament d’Arquitectura de Computadors (apunts de l’assignatura en format transparència) Introducción a los sistemas firewall Javier Morillo & David Lucena

CONCEPTES AVANÇATS DE SISTEMES OPERATIUS Departament. d’Arquitectura de Computadors - UPC 2 Indice –El problema... –...la solución? –La Solución! –Características –Criterio básico –Reglas adicionales –Esquema final –Bibliografia

CONCEPTES AVANÇATS DE SISTEMES OPERATIUS Departament. d’Arquitectura de Computadors - UPC 3 El Problema... o Actualmente, necesitamos proteger redes, sistemas y demás recursos contra ciertos problemas de seguridad: –Pérdida de confidencialidad –Imposibilidad de garantizar la integridad de la información –Pérdida de disponibilidad en servicios críticos –Exposición de información que permita realizar ataques a nuestro sistema o a terceros.

CONCEPTES AVANÇATS DE SISTEMES OPERATIUS Departament. d’Arquitectura de Computadors - UPC 4... la Solución? o Un sistema firewall es una combinación de hardware y software usado para implementar la política de seguridad establecida sobre el intercambio de información entre 2 o más redes. o Es la primera línea de defensa sobre ataques externos; también puede ser usado para prevenir ataques internos.

CONCEPTES AVANÇATS DE SISTEMES OPERATIUS Departament. d’Arquitectura de Computadors - UPC 5 La Solución! o Mejora la seguridad de la red y reduce los riesgos de accesos incontrolados dentro de los sistemas: –Concentración de la seguridad –Filtrado de servicios / protocolos –Ocultación de información –Control de accesos detallado (accounting)

CONCEPTES AVANÇATS DE SISTEMES OPERATIUS Departament. d’Arquitectura de Computadors - UPC 6 Características o Para poder valorar un sistema firewall, hemos de analizar los siguientes aspectos del mismo: –Performance –Availability –Security –Flexibility –Ease of use

CONCEPTES AVANÇATS DE SISTEMES OPERATIUS Departament. d’Arquitectura de Computadors - UPC 7 Criterio básico o Existen dos posiciones iniciales para poder representar la política de seguridad (+ reglas adicionales): –Todo acceso prohibido (default deny) –Todo acceso permitido (default permit) FIREWALL ENTRADA SALIDA PROHIBIDO SALIDA ENTRADA Red ARed B

CONCEPTES AVANÇATS DE SISTEMES OPERATIUS Departament. d’Arquitectura de Computadors - UPC 8 Reglas adicionales o Existen 3 categorias básicas de firewalls; esta clasificación depende de en que nivel o niveles dentro del modelo TCP/IP trabaje el sistema firewall: –Packet filtering –Proxy servers –Stateful multilayer inspection

CONCEPTES AVANÇATS DE SISTEMES OPERATIUS Departament. d’Arquitectura de Computadors - UPC 9 Categoria: Packet filtering o Actúa dentro del nivel IP según el modelo TCP/IP o Suele ser implementado utilizando routers o Cada paquete puede ser analizado en función de: origen / destino –Puerto origen / destino –Protocolo usado: TCP / UDP / ICMP

CONCEPTES AVANÇATS DE SISTEMES OPERATIUS Departament. d’Arquitectura de Computadors - UPC 10 Esquema 4 Transporte 5 Aplicación 3 IP 2 Data Link 1 Físico Packet filtering

CONCEPTES AVANÇATS DE SISTEMES OPERATIUS Departament. d’Arquitectura de Computadors - UPC 11 Categoria: Proxy server o Actúa dentro de los niveles de transporte y aplicación ( circuit level gateway y application gateway respectivamente) según el modelo TCP/IP. o Procesa, valida y regenera cada paquete recibido; impidiendo la conexión directa entre 2 redes diferentes. o Para cada servicio ( telnet, ftp, http... ) se utiliza un proxy específico, pudiendo así prohibir el uso de determinadas órdenes de un servicio.

CONCEPTES AVANÇATS DE SISTEMES OPERATIUS Departament. d’Arquitectura de Computadors - UPC 12 Esquema 4 Transporte 5 Aplicación 3 IP 2 Data Link 1 Físico Packet filtering 4 Transporte 5 Aplicación 3 IP 2 Data Link 1 Físico Application gateway 4 Transporte 5 Aplicación 3 IP 2 Data Link 1 Físico Circuit level gateway

CONCEPTES AVANÇATS DE SISTEMES OPERATIUS Departament. d’Arquitectura de Computadors - UPC 13 Categoria: Stateful multilayer inspection o Actúa dentro de los niveles de IP, transporte y aplicación según el modelo TCP/IP o Comprueba (y no procesa, como en un Proxy server) los paquetes a distintos niveles verificando la validez de estos, basándose en un seguimiento del estado de la conexión en cada momento. o Permite conexiones directas entre distintas redes, dando un servicio transparente a ambos lados.

CONCEPTES AVANÇATS DE SISTEMES OPERATIUS Departament. d’Arquitectura de Computadors - UPC 14 Esquema 4 Transporte 5 Aplicación 3 IP 2 Data Link 1 Físico Stateful multilayer inspection 4 Transporte 5 Aplicación 3 IP 2 Data Link 1 Físico Packet filtering 4 Transporte 5 Aplicación 3 IP 2 Data Link 1 Físico Application gateway 4 Transporte 5 Aplicación 3 IP 2 Data Link 1 Físico Circuit level gateway

CONCEPTES AVANÇATS DE SISTEMES OPERATIUS Departament. d’Arquitectura de Computadors - UPC 15 Bibliografia o [Fithen, 2000] –William Fithen, Deploying Firewalls o [Graham, 2000] –Robert Graham, FAQ: Firewall forensics o [Gollman, 2000] –Dieter Gollman, Computer Security. John Wiley & Sons. Capítulos11 (World Wide Security) y 13 (Network Security)