Aktywne elementy bezpieczeństwa w sieciach WLAN. Krzysztof Lembas InŜynier Konsultant

Transkrypt

1 Aktywne elementy bezpieczeństwa w sieciach WLAN Krzysztof Lembas InŜynier Konsultant

2 Agenda Dlaczego sieć bezprzewodowa ZagroŜenia i mechanizmy bezpieczeństwa w kontekście sieci bezprzewodowych Cisco Unified Wireless - komponenty Co moŝna jeszcze znaleźć w Cisco Podsumowanie

3 Sieć WiFi Standaryzacja protokołów a/b/g (wkrótce n) Powszechna integracja kart bezprzewodowych w przenośnych urządzeniach elektronicznych Niskie koszty zakupu urządzeń z interfejsem WiFi Mobilność

4 Zalety i zastosowanie sieci WiFi Dostęp do Internetu lub strony urzędu w miejscach publicznych Łatwość implementacji punktów informacyjnych Sprawna obsługa petentów Dostęp dla pracowników Monitoring miejski Realizowanie połączeń telefonicznych WiFi

5 Agenda Dlaczego sieć bezprzewodowa ZagroŜenia i mechanizmy bezpieczeństwa w kontekście sieci bezprzewodowych Co moŝna jeszcze znaleźć w Cisco Podsumowanie

6 Problem medium bezprzewodowego Analizator ruchu moŝne bez przeszkód śledzić całą komunikację KaŜdy moŝe próbować podłączyć się do sieci

7 ZagroŜenia dla sieci bezprzewodowych

8 Rozwiązanie problemu Zaszyfrować wszystkie dane wymieniane między uŝytkownikiem a punktem dostępowym Zastosować silne mechanizmy uwierzytelniania Zadbać o fizyczne bezpieczeństwo punktów dostępowych (a jeśli to nie moŝliwe, istotnych danych konfiguracyjnych) Analizować środowisko radiowe w celu wykrycia potencjalnych intruzów

9 Trochę historii Wprowadzone w 1999 r. Razem z pierwszym standardem System otwarty Algorytm WEP Jak się okazało łatwy do złamania nawet w przeciągu kilkunastu minut!!!

10 Koniecznie coś nowego Wprowadzenie bezpiecznych mechanizmów opartych o zmienne klucze oraz silne metody uwierzytelniania: WPA (TKIP, PSK lub 802.1x) WPA2/802.11i (AES, PSK lub 802.1x)

11 WPA/WPA2 W WPA wyeliminowano słabości protokołu WEP równocześnie pozostawiono pewną kompatybilność wstecz w postaci algorytmu szyfrowania RC4. MoŜliwość uwierzytelniania za pomocą dzielonego klucza PSK oraz uŝycia 802.1x Główne składniki WPA: - TKIP (Temporal Key Integrity Protokol) - PPK (Per Packet Keying) - MIC (Message Integrity Check) Główna róŝnica WPA2 w stosunku do WPA to zastosowanie silnego algorytmu szyfrowania AES zamiast TKIP.

12 802.1x 802.1x jest standardem IEEE do kontrolowania dostępu do sieci wykorzystuje: Extensible Authentication Protocol (EAP) RADIUS 802.1x pomaga pokonać ograniczenia bezpieczeństwa

14 Komponenty systemu Localization Appliance Stacja zarządzająca Kontroler Przełącznik L2/L3 Punkty dostępowe zgodne z LWAPP

15 Punty dostępowe (AP) złącza dla anten zewnętrznych (1242, 1250) Antena zintegrowana (1131) Poszerzony zakres temperaturowy pracy, obudowa metalowa (1242) Estetyczny wygląd doskonały do zastosowań biurowych (1131, 1250) 802.1x (EAP) WPA, WPA2 16 SSID / 16 VLAN Zasilanie PoE AP 1242 AP 1131 AP 1250

16 Kontrolery i ich rola Catalyst 3750G 25 lub 50AP Cisco AP Cisco AP Cisco WiSM 300 AP Moduł Cisco WLC 6,8,12 Cisco AP Cisco AP Cisco AP 1-2 AP 2-6 AP >=25 AP >=100 AP >=300 AP

17 WCS Funkcjonalności: Zaawansowane narzędzie do Planowania Konfiguracji Zarządzania Monitorowania Lokalizowania oraz wykrywania niepoŝądanych zachowań w sieci Odnajdywania nieprawidłowości w konfiguracji sieci WLAN MoŜliwość implementacji map Zintegrowany system obsługi wielu kontrolerów jednocześnie System filtracji, korelacji i alarmowania w systemie i przez e- mail W zaleŝności o licencji obsługa: 50, 100, 500, 1000, 2500 AP

18 Location Appliance Funkcjonalności: Zaawansowany system śledzenia z duŝą dokładnością: 90% - 10m ; 50% - 5m Do 2,500 jednoczesnych urządzeń bezprzewodowych: aktywne tagi obce AP punkty dostępowe klienci Pełna historia do 30 dni wstecz Interfejs graficzny za pośrednictwem WCS Nie wymaga Ŝadnych aplikacji instalowanych na klientach końcowych

19 Komunikacja w systemie - LWAPP Light Weight Access Point Protocol jest protokołem uŝywanym pomiędzy punktami dostępowymi, a kontrolerem LWAPP transportuje dane oraz ruch kontrolny UmoŜliwia centralne zarządzanie Jest czynnikiem umoŝliwiającym wprowadzenie inteligencji do sieci bezprzewodowych

20 Zarządzanie domeną RF Dynamiczne przypisanie kanału Dynamiczny dobór mocy Kanał 1 Kanał 6 Kanał 11 Stała wymiana komunikatów IP kontrolera/grupy mobilnej Wysyłane na pełnej mocy Uwierzytelnione UmoŜliwia systemowi: Zapobiec interferencjom i zakłóceniom Wyeliminować dziury w pokryciu WLAN Zoptymalizować pokrycie

21 Zarządzanie domeną RF Rozwiązanie problemu uczęszczanych miejsc na terenie firmy (sal konferencyjnych, pokazowych, terenu recepcji..) 2 1

22 Zarządzanie domeną RF Rozwiązanie problemu uczęszczanych miejsc na terenie firmy (sal konferencyjnych, pokazowych, terenu recepcji..) 2 2

23 Zarządzanie domeną RF Minimalizacja wpływu szumów na pracę sieci Interferencje na Kanale 11 Kanał 1 Kanał 11 Kanał 1 Kanał 6

24 Zarządzanie domeną RF Minimalizacja wpływu szumów na pracę sieci Interferencje na Kanale 11 Kanał 1 Kanał 1 Kanał 11 Kanał 6

25 Brak pojedynczego punktu awarii System zarządzania automatycznie pokrywa luki powstałe w wyniku awarii AP

26 Brak pojedynczego punktu awarii System zarządzania automatycznie pokrywa luki powstałe w wyniku awarii AP

27 Brak pojedynczego punktu awarii AP przechowuje ustawienia kanału i mocy nadawania tak długo, jak jest zasilany Automatyczne przywracanie elementów sieci po awarii kontrolera Nie wymaga interwencji operatora

29 Mechanizmy dostępne w rozwiązaniach Cisco Systems Wsparcie dla WPA, WPA2, 802.1x (PEAP, TLS, TTLS, FAST, SIM, oraz LEAP) Ukrywanie SSID Filtracja adresów MAC Lokalna autoryzacja na kontrolerze w przypadku braku łączności z serwerem RADIUS Lokalna autoryzacja w przypadku braku łączności z kontrolerem na AP (H-REAP) ACL + Firewall Ochrona (DHCP i ARP) Blokowanie połączeń klient klient IDS dla sieci bezprzewodowej

30 Mechanizmy dostępne w rozwiązaniach Cisco Systems Wykluczanie klientów Wykrywanie nieautoryzowanych: - połączeń Ad-Hoc - Punktów dostępowych - Klientów - Wykrywanie czy AP jest podłączony do sieci przewodowej Zakłócanie obcych sieci bezprzewodowych Ochrona ramek zarządzających Autoryzacja AP (LWAP) na podstawie certyfikatów X.509 Wysoka dostępność w kontekście bezpieczeństwa RównowaŜenie obciąŝenia

31 Mechanizmy dostępne w rozwiązaniach Cisco Systems Dostęp dla gości (uwierzytelnianie Web) MoŜliwość tworzenia wielu SSID Integracja z NAC Integracja z zewnętrznym systemem IPS Integracja z Firewall

32 ACL + Firewall

33 Ochrona (DHCP i ARP) AP podgląda ramki ARP i upewnia się czy adres MAC widniejący w zapytaniu jest identyczny w stosunku do adresu zawartego w nagłówku zapytania. Dodatkowo zablokowany jest ruch (odpowiedzi) DHCP od klientów bezprzewodowych

34 IDS dla sieci bezprzewodowej

35 Wykluczanie klientów Na podstawie: - błędnego procesu przyłączenia - błędnego procesu uwierzytelnienia (802.11) - błędnego procesu uwierzytelnienia (802.1x) - duplikacji adresu IP - błędnego procesu uwierzytelnienia Web

36 Wykrywanie nieautoryzowanych urządzeń bezprzewodowych

37 Wykrywanie czy AP jest podłączony do sieci przewodowej NMS WCS Rdzeń Kontroler Dystrybucja Dostęp Dziki AP Dziki AP Dziki AP

38 Zakłócanie obcych sieci bezprzewodowych

39 Ochrona ramek zarządzających Ramki zarządzające są dodatkowo wyposaŝone w niewielką sygnaturę dzięki czemu mogą być identyfikowane przez system. Wsparcie dla komunikacji klient AP wymaga zgodności po stronie klienta z CCX 5

40 Dostęp dla gości Uwierzytelnianie Web: Uwierzytelnianie lokalne UŜycie kontrolera w strefie DMZ (kotwica) Web Authentication z uŝyciem zewnętrznego serwera RADIUS Web Authentication z uŝyciem zewnętrznego serwera WEB Web Authentication z uŝyciem Cisco NAC Guest Server

41 Dostęp dla gości Dlaczego kotwica : - uŝycie tuneli EoIP pozwala na logiczną separację i transport ruchu gości pomiędzy kontrolami brzegowymi i kotwicą - pozostały ruch (np. pracowników) jest w dalszym ciągu lokalnie terminowany przez kontrolery brzegowe - nie ma konieczności definiowania VLANu gości na przełącznikach obsługujących kontrolery brzegowe - ramki gości są zachowywane przy transporcie przez tunele EoIP i LWAPP - moŝliwości redundancyjne (tunele do kontrolerów)

42 Dostęp dla gości (uwierzytelnianie Web)

43 MoŜliwość tworzenia wielu SSID MoŜliwość stworzenia do 16 SSID: Definiowanie, które SSID mają być rozgłaszane Przypisywanie mechanizmów uwierzytelniania do SSID Przypisywanie VLAN do SSID Przypisywanie dynamiczne na podstawie informacji od serwera RADIUS parametrów takich jak VLAN, QoS, ACL

44 Integracja z NAC Dzięki zastosowaniu rozwiązania Cisco NAC istnieje moŝliwość sprawdzenia stanu stacji pod kątem atrybutów takich jak: - aktualność systemu operacyjne - istnienie oraz poprawność konfiguracji Personal Firewall - istnienie oraz poprawność konfiguracji systemu antywirusowego

45 Integracja z zewnętrznym systemem IPS System IPS zawarty w WLC pozwala na analizowanie ruchu na poziomie sieci bezprzewodowej Klasyczny system IPS doskonale uzupełnia powyŝsze rozwiązanie przez analizowanie ruchu klienta

46 Integracja z Firewall Rozwiązanie Firewall wbudowane w WLC jest prostym narzędziem opartym jedynie o klasyczne ACL

47 Agenda Dlaczego sieć bezprzewodowa ZagroŜenia i mechanizmy bezpieczeństwa w kontekście sieci bezprzewodowych Co moŝna jeszcze znaleźć w Cisco Podsumowanie

48 Dobre praktyki przy budowie bezpiecznego systemu WLAN Zabezpieczyć stacje końcowe Zabezpieczyć Infrastrukturę Zabezpieczyć transmisję Wykrywać zdarzenia Blokować ataki

49 Zabezpieczyć stacje końcowe (same w sobie) Aktualne oprogramowanie (poprawki) System anty-wirusowy System Host-IPS System Personal Firewall

50 Zabezpieczyć stacje końcowe z pkt. widzenia infrastruktury ZagroŜenia: Podłączenie do obcego AP Podłączenie obcej stacji Ad-Hoc Ataki DOS z uŝyciem ramek zarządzających

51 Zabezpieczyć stacje końcowe z pkt. widzenia infrastruktury Ochrona Silne mechanizmy uwierzytelniania i szyfrowania Wykrywanie obcych AP i klientów Wykrywanie sieci Ad-Hoc Blokowanie połączeń peer-to-peer Ochrona ramek zarządzających

52 Zabezpieczyć Infrastrukturę ZagroŜenia Nieautoryzowany dostęp Ataki sieciowe

53 Zabezpieczyć Infrastrukturę Ochrona Zarządzanie pasmem radiowym IDS dla WLAN Tylko LWAPP Silna polityka odnośnie dostępu do zarządzania Bezpieczeństwo fizyczne Autoryzacja AP (np. certyfikaty X.509)

54 Zabezpieczyć Infrastrukturę Ochrona Ochrona serwera AAA (WLAN IDS) Port Security na przełącznikach Filtracja ruchu do niezbędnego minimum Nadzorowanie komunikacji ARP i DHCP