Netværkssikkerhed

Netværkssikkerhed 

Netv rkssikkerhed 

Intrusion Detection og Firewalls 

09/10/2012 ITU 7.1

Indhold 

• Computer netværk og distribuerede systemer 

• TCP/IP protokolsuite 

• Sårbarheder og trusler i et netværk 

• VLAN 

• Firewalls 

• Intrusion detection system (IDS) 

• IPsec 

• Virtual Private Network (VPN) 

09/10/2012 ITU 7.2

Netværksterminologi 

Computing system Computing netværk 

Link 

Distributed system: 

a piece of software that ensures that: 

a collection of independent computers appears 

to its users as a single coherent system 

Noder, knuder, hosts, sites... 

09/10/2012 ITU 7.3

Udstrækning, type & topologi 

• Udstrækning 

• Type 

—WAN, MAN, LAN, PAN, BAN 

—Fixed og Wireless (f.eks. WLAN) 

• Topologi (logisk og fysisk) 

—Ring / bus / star / mesh 

• broadcast 

• point to point 

• Interaktion 

• klient-server (eng. client-server) 

• peer-to-peer 

• multi-tier arkitektur 

09/10/2012 ITU 7.4

Transmissionsmedier 

• Kobber (wire) 

• Prisbilligt og let at installere, men interferens og dæmpning 

• Twisted pair (10/100/1000Base-T). UTP, STP. 

• Kategorier 1 - 7 , Fire rating 

• Lysledere (fiber optic) 

—Stor båndbredde, ingen interferens og lille dæmpning. 

Kompliceret at reparere 

• Trådløs 

—radiobølge 

—mikrobølge 

—satellit 

• Geosynkrone 

• VSAT (Very Small Aperture Terminal) 

• Low Earth Orbit 

—Infrarød 

09/10/2012 ITU 7.5

• ISO/OSI referencemodel 

Referencemodeller 

ISO/OSI & TCP/IP 

• (lagdelt model) 

• De jure standard - påbegyndt 1977 

• Eksempler på OSI protokoller er: 

— FTAM, X.400, X.500, X.25 

— Netværksadresser er 128 bit 

• TCP/IP 

• Defineret ved protokoller 

• De facto standard (RFC) 

• Netværksadresser er 32 bit 

Application 

Layer 

Transport 

Layer 

Network 

Layer 

Data Link 

Layer 

Physical 

Layer 

09/10/2012 ITU 7.6

ping 

application 

ICMP 

IGMP 

DHCP 

TCP/IP protokol suite 

HTTP 

ARP 

Telnet 

TCP UDP 

FTP SMTP 

DNS 

IP 

Ethernet 

Token ring 

FDDI 

WLAN 

... 

Routing Protocols 

Application 

Layer 

Transport 

Layer 

Network 

Layer 

Data Link 

Layer 

Physical 

Layer 

09/10/2012 ITU 7.7 

RIP 

PIM 

OSPF 

Logical Link Control 

Media Access Control 

SNMP

Internettet er et typisk pakkekoblet 

netværk 

Header data Header data 

Header data 

09/10/2012 ITU 7.8

Applikationslaget 

HELO itu.dk 

MAIL FROM: 

RCPT TO: 

DATA 

Bla bla bla 

. 

QUIT 

ping 

application HTTP Telnet FTP SMTP DNS 

09/10/2012 ITU 7.9 

SNMP 

socket = new Socket("smtp.mail.dk",25); 

out= new PrintStream(socket.getOutputStream()); 

inp= new DataInputStream(socket.getInputStream()); 

inp.readLine(); 

out.println("HELO bar.com”); 

inp.readLine(); 

out.println("MAIL FROM:");

Port numbers 

• 16 bit integer (unsigned) 

• Well Known Ports: 0 - 1023. 

• Registered Ports: 1024 - 49151 

• Dynamic and/or Private Ports: 49152 - 65535 

• Eksempler (TCP porte): 

—daytime 13/tcp Daytime (RFC 867) 

—ftp-data 20/tcp File Transfer [Default Data] 

—ftp 21/tcp File Transfer [Control] 

—ssh 22/tcp SSH Remote Login Protocol 

—telnet 23/tcp Telnet 

—smtp 25/tcp Simple Mail Transfer 

—http 80/tcp World Wide Web HTTP 

09/10/2012 ITU 7.10

UDP-header 

Connection less 

Transportlaget 

TCP/UDP headers 

TCP-header 

Connection oriented 

09/10/2012 ITU 7.11

Header 

IP header 

Data 

IP protokollen er stateless 

09/10/2012 ITU 7.12

IP - Netværkslaget 

• Notation 

192.168.0.1 = 3232235521 

• Tre typer af IP adresser: 

• unicast 

• broadcast 

• multicast IP 

• Reservede IP adresser for private netværk 

• 10.0.0.0 - 10.255.255.255 

• 172.16.0.0 - 172.31.255.255 

• 192.168.0.0 - 192.168.255.255 

• Multicast adresser 

• 224.0.0.0 - 239.255.255.255 

• Domain Name Service (DNS) 

09/10/2012 ITU 7.13

LAN standarder (IEEE 802) 

•Fixed 

—Ethernet 

•IEEE 802.3 

—Token bus 

•IEEE 802.4 

—Token ring 

•IEEE 802.5 

—FDDI 

•IEEE 802.8 

—… 

•Wireless 

—WLAN 

•IEEE 802.11 (a, b, g), Hiberlan, Wimax 

—Bluetooth, 

•IEEE 802.15 

—… 

•ATM er både en LAN og WAN standard 

09/10/2012 ITU 7.14

LAN 

Header 

Transceiver 

Frames 

Network 

interface 

hardware 

Data 

CPU 

RAM 

MAC adresser er brændt i HW: Eks: 00-60-08-BB-D2-B0 

Unicasting 

Broadcasting 

Multicasting 

09/10/2012 ITU 7.15

Address resolution protocol (ARP) 

• Danner forbindelse mellem IP og MAC 

adresser 

Router 

Router 

Hub: Trafik sendes til alle noder 

Switch: Virtual forbindelser, men broadcast sendes til alle noder 

Router: Adskiller to net 

09/10/2012 ITU 7.16

Trusler og sårbarheder 

• Sniffing 

—IP trafik 

—password og følsomme oplysninger 

—trafik analyse 

• Probe (undersøgelse af indre netværk) 

—Traceroute (sæt TTL) 

—Portscan 

• Spoofing 

—IP spoofing 

—Password spoofing 

• f.eks. telnet, ftp, distributed login 

—DNS spoofing 

—ARP spoofing 

—Pfarming 

• TCP as authentication & session hijacking 

• Man in the middle attack 

• DoS og DDoS attacks 

Passive trusler 

Aktive trusler 

09/10/2012 ITU 7.17

Drive-by pharming 

09/10/2012 ITU 7.18

Mulige modmidler 

• Boundary Control (protection) Systems 

• switch kontra hub 

• router 

• firewall 

• Intrusion Detection System (IDS) 

• evt distribuerede 

• Honey pot & Padded cell 

• Vulnerability scanner 

• Kryptering 

• VPN 

09/10/2012 ITU 7.19

VLAN 

Traditionelt netværk med switches 

VLAN 

Trunk 

09/10/2012 ITU 7.20

IEEE 802.1q 

12 bits til VLAN, dvs, 4096 forskellige LANs 

09/10/2012 ITU 7.21

Firewalls (boundary protection) 

• Fordele 

• Ulemper 

—Koncentreret (punkt) beskyttelse 

—Brandmur mellem indre og ydre netværk 

—Policy enforcing 

—Logning, audit 

—Strong authentication 

• Smartcard eller authentication Tokens 

Subjects 

—Blokering af ønskede services 

—Mindre effektiv mod data-driven attacks 

—alle æg i samme kurv (single point of failure) 

09/10/2012 ITU 7.22 

Reference 

monitor 

audit 

autorisation 

objects

Firewall komponenter 

• Sikkerhedspolitik (policy) 

—Hvem skal have adgang? 

—Hvad skal stilles til rådighed (data + ressourcer) 

—Hvordan reguleres adgangen? 

• Advanced authentication 

—Smartcard 

—token 

• Eksempel på typer: 

—Pakkefiltrering 

—Proxy firewall 

• Application- and circuit-level firewall 

—Stateful firewall 

—Dynamisk pakkefiltrering 

—Kernel proxy firewall 

09/10/2012 ITU 7.23

Pakkefiltrering 

• Kaldes også screening router 

• Filtrerer på TCP/IP protokollag 

• Vanskeligt 

• source IP address 

• destination IP address 

• TCP/UDP source port 

• TCP/UDP destination port 

• at programmere for store net med forskellige behov 

• at teste 

09/10/2012 ITU 7.24

Felter for filtrering (TCP/IP) 

TYPISKE FELTER 

FOR FILTRERING 

TCP HEADER 

TYPISKE FELTER 

FOR FILTRERING 

09/10/2012 ITU 7.25

Application gateway 

• Kaldes også proxy gateway 

—Filtrerer på applikationslag 

• Kræver proxy (stedfortræder) for hver applikation 

2. 

User request 

forwarded 

FIREWALL 

User request 

Proxy 

Server response Proxy 

Proxy 

3. 

Proxy 

Server response 

forwarded 

4. 

SERVER KLIENT 

Audit log 

09/10/2012 ITU 7.26 

1.

Packet filtering firewall system 

• Fordele 

• Simpel og billig. 

• Fleksibel. 

• Ulemper 

• Filtreringsreglerne kan være vanskelige at 

konfigurere og teste. 

• Visse services lader sig ikke let filtrere. 

• Skjuler normalt ikke adresser på det indre netværk. 

• Single point of failure. 

09/10/2012 ITU 7.27

Dual-homed gateway firewall 

system 

• Fordele 

• Gode muligheder for log og audit. 

• Mulighed for strong authentication. 

• Mulighed for at skjule opbygningen af det indre 

netværk. 

• Udnyttelse af høj assurance komponenter (guards). 

• Ulemper 

• Manglende fleksibilitet. 

• Kræver udvikling af proxies. 

• Flaskehalsproblemer. 

• Single point of failure. (Uden screening router). 

09/10/2012 ITU 7.28

Screened subnet firewall system 

09/10/2012 ITU 7.29

Firewall implementering 

• Backup og fysisk beskyttelse af FW 

• Daglig overvågning (mail, personsøger) 

• Modificeret OS (hardened, f.eks C2 complient) 

—fjern unødvendige services 

—fjern IP forwarding og source routing 

—fjern sensitive filer og unødvendige applicationer 

—fjern unødvendige brugeraccounts 

• forbyd remote login og begræns root adgang 

• Design politik for selve firewall systemet 

—Al trafik, der ikke direkte er tilladt, er forbudt 

—Al trafik, der ikke direkte er forbudt, er tilladt 

09/10/2012 ITU 7.30

Personal firewalls 

• Installeres på klient maskinen 

—ZoneAlarm 

—Norton 

—Tiny Personal Firewall 

—McAfee 

—… 

—Iptables 

• Et “must” når man er koblet på Internet. 

• Ekstra features: 

—Learning mode 

—Application policy 

09/10/2012 ITU 7.31

McAfee Desktop Firewall 

09/10/2012 ITU 7.32

Dual home firewall 

iptables - eksempel 

# Flush all the rules and set the default policy for the FORWARD chain to deny all 

iptables -F INPUT 

iptables –F OUTPUT 

iptables –F FORWARD 

iptables -P FORWARD deny 

# Block all incoming and outgoing traffic on eth0 

iptables -A INPUT -i eth0 -j DROP 

iptables -A OUTPUT -o eth0 -j DROP 

# Instruct Netfilter to accept fragmented packets (-f) 

iptables -A FORWARD -f -j ACCEPT 

# Accept incoming TCP packets from established connections 

iptables -A FORWARD -m state -p tcp --state ESTABLISHED,RELATED -j ACCEPT 

# Accept incoming TCP connections to SSH arriving at eth0 

iptables -A FORWARD -p tcp -i eth0 -d 208.209.210.0/24 --dport ssh -j ACCEPT 

# Accept all outgoing TCP and UDP connections entering the private interface (eth1) 

iptables -A FORWARD -p tcp -i eth1 -j ACCEPT 

iptables -A FORWARD -p udp -i eth1 -j ACCEPT 

# Accept incoming ICMP packet of "echo reply (=0)" type (ping replies) 

iptables -A FORWARD -p icmp -i eth0 -d 208.209.210.0/24 --icmp-type 0 -j ACCEPT 

# Accept all outgoing ICMP connections entering the private interface (eth1) 

iptables -A FORWARD -p icmp -i eth1 -j ACCEPT 

# Drop all other traffic in the FORWARD chain 

iptables -A FORWARD -j DROP 

iptables –A OUTPUT –j LOG 

09/10/2012 ITU 7.33

Intrusion detection systemer (IDS) 

• Detektion/reaktion kontra opbygning af fort 

• Tre klasser af intruders (hackers or crackers): 

—Masquerader (outsider) 

—Misfeasor (insider) 

—Clandestine user (out- or insider) 

09/10/2012 ITU 7.34

Intrusion detection systemer (IDS) 

• Kategorier 

—Misuse 

• Signature-based 

—Anomaly-based 

• Statistics, packet sizes, destinations, protocol 

distributions, etc 

• Typer 

—NIDS 

—HIDS 

—IPS 

• Produkter 

—Tripwire, Snort, ISS 

• Problemer 

—Synkronisering (f.eks. tid), datamængder, switches, signaturdatabase, 

fastlæggelse af normalbillede 

09/10/2012 ITU 7.35

Internet Security Systems (ISS) 

09/10/2012 ITU 7.36

TCP/IP suite 

Application layer 

Transport layer (TCP/UDP) 

Network layer (IP) 

Physical layer 

TCP/IP suite 





Kryptografisk beskyttelse 

End to end kryptering 

beskyttet hele ruten 

sikrer bruger autenticitet 

max nøgler (DES): n*(n-1)/2 

data beskyttet mellem computere (ikke host) 

sikrer ikke bruger (men node) autenticitet 

skjult service, evt hardware 

Link kryptering 

TCP/IP suite 





TCP/IP suite 





09/10/2012 ITU 7.37

IPv6 kontra IPv4 

• Flere og mere hierarkiske netværksadresser 

—128 bits adressefelt 

—3,4×1038 adresser 

—eller ca. 5×1028 (~295 ) adresser for hver af de ca. 6,5 milliarder 

folk i 2006 

• Bedre understøttelse af tidskritiske applikationer 

—prioriteter (0-15) og virtuel kredsløb (Flow kontrol) 

• Forberedt for IPSEC (sikkerhed) 

• Mere effektiv routing (simpel header) 

• One or more extension headers 

frame ip x x 

tcp data 

09/10/2012 ITU 7.38

IPSEC (IP-security) 

• Kan både anvendes med IPv4 og IPv6 

• Access control 

• Connectionless integrity (per packet) 

• data origin authentication 

• confidentiality 

• Protection against 

• replay 

• trafic analysis 

• DoS 

09/10/2012 ITU 7.39

Two modes supported by IPSEC 

• Transport mode 

• Typisk end to end kommunikation mellem to hosts 

• Bekytter lagene over IP-laget. Dvs. TCP, UDP, 

ICMP… 

• Tunnel mode 

• Skaber en virtuel forbindelse mellem to netværk. 

Hele IP-pakken indkaples i en ny IP-pakke. 

• Beskytter hele IP-pakken og hindrer til dels 

trafikanalyse 

09/10/2012 ITU 7.40

IPSEC headers 

• Authentication Header (AH) 

—Connectionless autenticitet og integritet 

• transport mode 

• tunnel mode 

• Encapsulating Security Packet (ESP) 

—Confidentiality 

• transport mode 

• tunnel mode 

• Security Association (SA) 

—Simplex forbindelse 

—Identificerer algoritmer, nøgler og lifetime 

• Både AH og ESP har beskyttelse mod replay 

09/10/2012 ITU 7.41

Authentication header (AH) 

• Sekvensnummeret nulstilles for hver ny SA 

• AH standarder 

—HMAC med MD5 

—HMAC med SHA-1 

• Anti replay service 

09/10/2012 ITU 7.42

Transport mode 

AH in IP 

Tunnel mode 

09/10/2012 ITU 7.43

Encapsulating Security Payload 

(ESP) 

• ESP standarder 

• Triple DES 

• RC5 

• IDEA 

• CAST 

• AES 

• ... 

•Authentication er optional 

Transport mode Tunnel mode 

09/10/2012 ITU 7.44

• ISAKMP 

Key distribution 

(Internet Security Association Key Management Protocol) 

• Nøglefordeling 

• Host-oriented keying 

• User-oriented keying 

• Session-unique keying 

• manuelt 

• IKE, Diffie-Hellman evt. Kerberos 

09/10/2012 ITU 7.45

Lokalnet 

Virtual Private Network 

Internet 

Lokalnet 

Alternativt (fastopkoblede) telefonlinjer 

09/10/2012 ITU 7.46

Netværkssikkerhed

Create successful ePaper yourself

Delete template?

Save as template?