Wydział Informatyki, Elektroniki i Telekomunikacji Katedra Telekomunikacji

Transkrypt

1 Wydział Informatyki, Elektroniki i Telekomunikacji Katedra Telekomunikacji Bezpieczeństwo sieci teleinformatycznych Laboratorium 5 Temat: Polityki bezpieczeństwa FortiGate.

2 Spis treści 2. Cel ćwiczenia Opis ćwiczenia Certyfikaty SSL Strumieniowanie danych Usługa POP Zadania projektowe Polityka dla użytkownika A Polityka dla użytkownika B Literatura

3 1. Cel ćwiczenia Celem ćwiczenia jest zapoznanie się z działaniem urządzenia sieciowego FortiWifi firmy Fortigate w zakresie ochrony użytkowników sieci przy pomocy różnych polityk bezpieczeństwa. Zostaną omówione różne polityki bezpieczeństwa, konfigurowane dla poszczególnych interfejsów,. 2. Opis ćwiczenia Ćwiczenie będzie wykonywane w formie zadania projektowego. W celu poprawnego przeprowadzenia ćwiczenia oraz zaobserwowania działania poszczególnych rozwiązań należy przygotować środowisko testowe. W jego skład wejdą dwa komputery, urządzenie sieciowe FortiWifi. Podczas laboratorium uczestnicy wykonają projekt przedstawiony przez prowadzącego Certyfikaty SSL Certyfikaty SSL są powszechnie stosowane przez podmioty udostępniające swoje usługi za pośrednictwem internetu lub sieci lokalnych w celu zapewnienia: bezpieczeństwa szyfrowanie połączeń, bezpieczne przekazywanie danych osobowych, wiarygodności potwierdzenie tożsamości strony WWW lub serwera w internecie, zaufania świadczenie usług zgodnie ze światowymi standardami. Certyfikaty SSL wydawane m. In. przez CERTUM PCC wyróżniają się przede wszystkim polskojęzycznym wsparciem technicznym oraz zgodnością z międzynarodowymi standardami potwierdzonymi przez certyfikat WebTrust. 3

4 Jak wspomniano, certyfikat SSL gwarantuje bezpieczeństwo transmisji oraz zachowanie poufności. Certyfikat SSL to rozwiązanie dla Twojego serwera, jeśli: pobierasz i przetwarzasz dane osobowe, prowadzisz sprzedaż w Internecie, publikujesz informacje wymagające uwiarygodnienia, prowadzisz aktywną działalność w Internecie, przekazujesz swoim współpracownikom i partnerom poufne informacje za pośrednictwem Internetu. Certyfikat SSL ma zastosowanie dla: banków i instytucji finansowych, sklepów internetowych (e-commerce), serwisów aukcyjnych, stron internetowych administracji publicznej (BIP, elektroniczne skrzynki podawcze, systemy obsługi interesantów), e-zdrowia serwisów internetowych przetwarzających i udostępniających dane na temat zdrowia pacjentów, biznesowych serwisów internetowych i portali korporacyjnych, serwisów internetowych szkół i uczelni, serwerów pocztowych i serwerów baz danych, aplikacji typu klient-serwer, komunikacji w ramach sieci intranet i ekstranet, zabezpieczenia serwerów udostępniających pliki (SFTP) Strumieniowanie danych Strumieniowanie danych to ciągły transfer danych z jednego komputera do drugiego w czasie rzeczywistym w postaci pakietów danych. Istotną różnicą pomiędzy strumieniowaniem a klasycznym pobieraniem danych jest to, że przy pobieraniu dane 4

5 nie mogą zostać odtworzone dopóki pobieranie nie zostanie zakończone. Strumieniowanie pozwala na odtwarzanie danych w momencie ich odbierania. Rozróżniamy dwa sposoby strumieniowania danych: na żądanie (on demand) strumienie są dostępne na serwerze przez dłuższy czas i są gotowe do odtwarzania na żywo (live) dane są dostępne tylko w konkretnym momencie tak jak w przypadku audycji radiowych. Nie przewiduje się przewijania odtwarzanej audycji. Rodzaje transmisji wideo: Transmisja jeden-do-jednego (unicast), w których pojedynczy pakiet danych przesyłany jest od nadawcy do jednego odbiorcy, dokładnie pod jeden adres. Transmisja może być zrealizowana np. w oparciu o protokół RTP. Za pomocą tego protokołu klient kontaktuje się z serwerem. Serwer odpowiada klientowi poprzez RTP, przesyłając informację opisującą materiał wideo jako sesję strumieniowania. Sesja strumieniowania może składać się z jednego lub więcej strumieni, np. strumienia audio i strumienia wideo. Serwer przekazuje klientowi informację, jak dużo strumieni powinien on oczekiwać oraz podaje dokładne dane dotyczące m.in. typu przesyłanych danych i zastosowanego kodeka. Transmisja jeden-do-wielu (multicast) składa się z pojedynczego pakietu danych, który adresowany jest do grupy odbiorców, przy czym ruter docelowy może wysyłać pakiety nie tylko do użytkowników końcowych, ale także do innych ruterów. Transmisje rozgłoszeniowe ( broadcast) składają się z pojedynczego pakietu danych, kopiowanego i przesyłanego do wszystkich węzłów sieciowych. Pakiet jest adresowany przez węzeł źródłowy specjalnym adresem rozsyłającym, a następnie przesyłany do sieci, która tworzy kopie pakietu i wysyła je do każdego węzła sieci. Urządzenie typu FortiWifi posiada zaimplementowane mechanizmy pozwalające na ograniczanie dostępu do strumieniowania danych za pomocą: 5

6 obsługi QoS, analizy protokołu TCP, analizy protokołu UDP, blokowanie portów, Współcześnie większość serwisów streamingowych: np. Youtube korzysta z protokołu TCP. Fourtigate umożliwia ograniczanie przesyłania danych wideo poprzez TCP jednak rozwiązanie to ma pewne wady (zostaną one omówione podczas zajęć). Najbardziej uniwersalną formą ograniczania dostępu do różnych strumieni danych jest modyfikacja QoS na FortiWifi Usługa POP3 Protokół internetowy z warstwy aplikacji pozwalający na odbiór poczty elektronicznej ze zdalnego serwera do lokalnego komputera poprzez połączenie TCP/IP. Ogromna większość współczesnych internautów korzysta z POP3 do odbioru poczty. Kiedy użytkownik połączy się z siecią, to korzystając z POP3 może pobrać czekające na niego listy do lokalnego komputera. Jednak protokół ten ma wiele ograniczeń: połączenie trwa wtedy, jeżeli użytkownik pobiera pocztę i nie może pozostać uśpione, każdy list musi być pobierany razem z załącznikami i żadnej jego części nie można w łatwy sposób pominąć - istnieje co prawda komenda top, ale pozwala ona jedynie określić przesyłaną liczbę linii od początku wiadomości, wszystkie odbierane listy trafiają do jednej skrzynki, nie da się utworzyć ich kilku, serwer POP3 nie potrafi sam przeszukiwać czekających w kolejce listów. Istnieje bardziej zaawansowany protokół IMAP, który pozwala na przeglądanie czekających listów nie po kolei na podobieństwo plików w katalogach i posiada niektóre funkcje pominięte w POP3. 6

7 3. Zadania projektowe Aby wykonać zadanie, należy skorzystać z FortiOS Handbook. Sieć powinna wyglądać jak narysunku 1. Rysunek 1. Schemat sieci do testowania polityk bezpieczeństwa Definiowanie polityki dla użytkownika A Należy zaimplementować ograniczenia: zablokować protokół POP3, jakie zagrożenia niesie usługa POP3? zablokować strumieniowanie audio zastanowić się jaki rodzaj ograniczania użyć, zastanowić się nad modyfikacją QoS, w jaki sposób efektywnie wykorzystać możliwości FW (FortiWifi)? zdefiniować różnice między różnymi strumieniami, 4.2. Definiowanie polityki dla użytkownika B Należy zaimplementować ograniczenia: zablokować usługę SSL, 7

8 w jaki sposób wpłynie to na bezpieczeństwo sieci? Czy można ograniczyć zakres blokowania, W jakiej sytuacji blokowanie jest użyteczne? zablokować strumieniowanie wideo: zastanowić się jaki rodzaj ograniczania użyć, zastanowić się nad modyfikacją QoS, w jaki sposób efektywnie wykorzystać możliwości FW (FortiWifi)? zdefiniować różnice między różnymi strumieniami, 4. Literatura 1. FortiWifi QuickStart Guide: 2. FortiOS Handbook - The Complete Guide to FortiOS: Ogólna strona z dokumentacją: 8