W dzisiejszej terminologii sieciowej firewall oznacza urządzenie lub grupę urządzeń, które pracują na styku sieci lokalnej z publiczną i których zadaniem jest wieloraka ochrona lokalnych zasobów. Kryje się za tym głównie złożona filtracja ruchu wraz z detekcją stanów nietypowych, wskazujących na określony rodzaj zagrożenia. Router Vigor oferuje bogaty zestaw możliwości, odpowiadający nowoczesnej koncepcji firewall na poziomie wymagań użytkownika prywatnego czy średniej wielkości firmy. Istnieje możliwość określenia do jakich miejsc/usług w Internecie może mieć dostęp dany użytkownik, oraz zablokowania dostępu do określonych stron na podstawie ich zawartości. Można odrzucić niepożądany ruch, tak aby nie dostał się on do sieci LAN, oraz rejestrować i blokować wzorce ruchu rozpoznane jako ataki tupu DoS. Filtr pakietów W centrum oferowanej przez router Vigor funkcji firewall znajduje się filtr pakietów. Jest to narzędzie pozwalające precyzyjnie ustalić które pakiety IP będą wpuszczone do sieci lokalnej, oraz które mogą ją opuścić. Pakiety mogą być wskazywane na podstawie źródłowych i docelowych adresów IP, opcji zawartych w nagłówku (np. fragmentacja), oraz przenoszonych protokołów. Przede wszystkim określa się rodzaj protokołu i ustala zakres portów dla TCP i UDP. Do budowy filtru można użyć wielu oddzielnie zdefiniowanych reguł. Poprzez ich łączenie w logiczną całość uzyskuje się zamierzony cel odrzucenie bądź akceptację praktycznie dowolnego rodzaju ruchu (przychodzącego bądź wychodzącego z sieci lokalnej). Innym ważnym aspektem filtru jest możliwość określenia jakie pakiety mogą pobudzać router do zainicjowania połączenia z Internetem. Domyślnie kontrola ruchu odbywa się w oparciu o dwie grupy reguł: Filtr Połączeń (ang. Call Filter), oraz Filtr Danych (ang. Data Filter) według schematu pokazanego na rysunku: Łącze aktywne? nie Filtr Połączeń połączenie Interfejs LAN tak odrzucenie Interfejs WAN Filtr Danych odrzucenie Każdy pakiet IP jest traktowany oddzielnie. Jeżeli z tabeli routingu wynika konieczność jego wysłania poprzez interfejs WAN, router bada aktualny stan łącza. Jeżeli łącze jest nieaktywne, pakiet zostaje przekazany do Filtru Połączeń. Filtr ten decyduje o tym czy dany pakiet może być powodem nawiązania połączenia, czy też nie. Jeżeli pakiet nie zostanie odrzucony przez żadną z reguł filtru następuje nawiązanie połączenia i wysłanie pakietu. Natomiast jeżeli w danym momencie łącze WAN jest aktywne, pakiet jest poddawany rygorom Filtru Danych. Dotyczy to także pakietów napływających od strony sieci publicznej poprzez aktywne połączenie WAN są one również filtrowane przez Filtr Danych, celem określenia czy mają zostać przekazane do sieci lokalnej poprzez interfejs LAN. 1
Główne okno pokazane na rysunku oferuje dostęp do poszczególnych elementów Firewall. Jak widać, w ramach filtru pakietów można zdefiniować do 12 zestawów reguł: Każdy zestaw składa się z maksymalnie 7 aktywnych reguł filtrujących: Łącznie zatem 12 zestawów po 7 reguł daje 84 niezależne reguły filtrujące pogrupowane w zestawy. Zestawy łączymy w łańcuch w sposób dowolny, wskazując kolejny zestaw z wnetrza 2
aktualnego. Jeżeli dany zestaw stanie się ogniwem Filtru Połączeń czy Filtru Danych, wszystkie jego aktywne reguły będą analizowane po kolei, aż do spełnienia przez pakiet warunków którejś z reguł. Wówczas podejmowana jest stosowna akcja (patrz dalej definicja reguły). Definicja reguły filtrującej określa ruch oraz podejmowaną wobec niego akcję: Niektóre opcje mogą wymagać komentarza: Połącz z innym zestawem z wnętrza reguły można dokonać przejścia na skróty do innego zestawu reguł (normalnie zestawy są łączone w prosty szereg) Log/Duplikuj w LANie pozwala indywidualnie dla danej reguły zdecydować, czy pakiet spełniający regułę ma być logowany w routerze i duplikowany do sieci LAN dla dalszej analizy, np. przez analizator sieci Keep State uwzglednianie informacji o aktualnych sesjach komunikacyjnych (z uwzględnieniem fazy otwarcia, nasłuchiwania i rozłączenia połączenia) w procesie filtrowania. Monitorowanie stanów połączeń pozwala wyeliminować intruza podszywającego się pod drugi koniec aktywnej siesji. Router będzie tu realizował tzw. filtrowanie dynamiczne. Pakiety fragmentaryczne określa sposób traktowania pofragmentowanych pakietów: Ignoruj reguła nie bierze pod uwagę faktu fragmentacji (nie ma on znaczenia) Pełne tylko pakiety oryginalne (nie będące fragmentami) spełnią regułę Fragmentaryczne tylko pakiety pofragmentowane spełnią regułę Za krótkie regułę spełnią tylko pakiety o długości zbyt krótkiej, aby mogły pomieścić cały nagłówek TCP/UDP/ICMP 3
Ochrona przed atakami DoS/DDoS Poza regularnym filtrowaniem ruchu mającym na celu zapewnienie podstawowego bezpieczeństwa sieci lokalnej, możliwe jest włączenie jeszcze bardziej subtelnej ochrony. Polega ona na wyczuleniu routera na określone nietypowe wzorce ruchu, które nie występują w normalnym procesie komunikacji. Mogą one jednak być generowane celowo z wykorzystaniem rzadkich opcji protokołów, ich historycznych wad i w parze ze znajomością słabych punktów w klasycznych systemach zabezpieczeń i systemach operacyjnych. Atak typu DoS (ang. Denial of Service) może przyjąć formę masową, w postaci paraliżującego zalewu systemu określonymi pakietami. Jeżeli nie zostanie to rozpoznane jako anomalia i odrzucone, system docelowy (np. serwer w sieci LAN) podejmie próbę normalnej obsługi każdego pakietu. Wywoła to zamierzony przez atakującego efekt: zawieszenie systemu, czy nawet jego trwałe uszkodzenie. Innym rodzajem ataku DoS będzie wykorzystanie słabego elementu systemu (sprzęt, oprogramowanie protokołów) jako furtki prowadzącej do jego wnętrza. Potencjalna szkodliwość może być większa niż w ataku masowym. Router Vigor potrafi zareagować na większość nietypowych wzorców ruchu, które odpowiadają określonym rodzajom ataku DoS/DDoS. Konfiguracja sprowadza się do włączeniu ochrony przed DoS i wybrania rodzaju ruchu, który ma być blokowany. 4
Włącz ochronę przed SYN flood router zablokuje przychodzące datagramy TCP z ustawioną flagą SYN (a więc żądania otwarcia sesji), jeżeli intensywność ich napływu przekroczy wyznaczony limit (domyślnie 300 pakietów/s przez 10 sekund) Włącz ochronę przed UDP flood router odrzuci pochodzące z Internetu datagramy UDP, jeżeli intensywność ich napływu przekroczy wyznaczony limit (domyślnie 300 pakietów/s przez 10 sekund) Włącz ochronę przed ICMP flood router odrzuci żądanie odpowiedzi na pakiety ICMP typu echo (ping), jeżeli napływa ono z intensywnością przekraczającą wyznaczony limit (domyślnie 300 pakietów/s przez 10 sekund) Próg/Timeout pozwala indywidualnie określić, jakie natężenie ruchu (liczba pakietów na sekundę) ma być po upływie wybranego czasu (Timeout) uznane za nienormalne, skłaniając router do reakcji. Włącz detekcję skanowania portów router zablokuje próbę zdalnego wykrywania stanów portów na danym komputerze w sieci LAN, która może być podjęta w celu zebrania informacji pomocnych do przeprowadzenia konkretnego ataku. Wartość w polu Próg (domyślnie 300) oznacza liczbę datagramów zaadresowanych na różne porty tego samego hosta. Blokuj opcje IP router zablokuje wszystkie pakiety IP zawierające niestandardowe ustawienia w polu Opcje pakietu. Blokuj Land router wykryje i odrzuci segmenty TCP z ustawioną flagą SYN, zawierające podmieniony źródłowy adres IP oraz numer źródłowego portu (mogą one być ustawione identycznie z adresem i portem docelowym po to, aby dokonać paraliżu oprogramowania protokołów) tzw. spoofing. Blokuj Smurf nastąpi odrzucenie pakietu ICMP typu echo (ping), wysłanego nie na konkretny adres IP, tylko na adres rozgłoszeniowy (broadcast) Blokuj trace route router nie weźmie udziału w przekazywaniu pakietów wysyłanych przez popularne narzędzie diagnostyczne trace route (tracert) Blokuj fragmenty SYN odrzucone zostaną wszystkie segmenty z ustawioną flagą synchronizacji (SYN) które mają zaznaczony bit more, mówiący o tym że pakiet stanowi fragment oryginalnego pakietu (nastąpiła rzekomo fragmentacja) Blokuj atak Fraggle blokowanie wszelkich pakietów UDP wysłanych na adres typu broadcast Blokuj skanowanie flag TCP blokowanie datagramów TCP zawierających nienormalne ustawienia flagi, np. FIN bez ACK, FIN i SYN itp. Blokuj Tear Drop atak ten polega na generowaniu i wysyłaniu pofragmentowanych pakietów IP. W rzeczywistości jest to imitacja fragmentacji pakietu, zawierająca celowe anomalie jak np. powtarzające się fragmenty. Może to spowodować zawieszenie się docelowego systemu. Router będzie wykrywał i eliminował tego rodzaju ruch. Blokuj Ping of Death blokowanie jednostek protokołu ICMP przekraczających maksymalny rozmiar 1024 oktety, rozpychających pakiety IP do nietypowych, problematycznych rozmiarów Blokuj fragmenty ICMP blokowanie jednostki ICMP (np. ping - echo), która jest przenoszona przez pofragmentowany pakiet IP (fragmenty będą odrzucane) Blokuj nieznany protokół pozwala domyślnie zablokować każdy pakiet IP, który przenosi niemożliwą do zidentyfikowania jednostkę danych (pochodzącą od nieznanych bądź zmodyfikowanych protokołów). Jako zawartość pakietu IP akceptowane będą tylko standardowe protokoły TCP, UDP, ICMP i IGMP wystarczające do obsługi wszelkich typowych aplikacji. Możliwość takiej selekcji jest istotną zaletą Vigora. Nie zawsze obciążanie routera maksymalnym uzbrojeniem jest wskazane, mimo to niewiele tego typu routerów na 5
rynku posiada opcje elastycznej konfiguracji ochrony DoS. Jest ona często trwale włączona, co zmusza użytkownika do jej używania w pełnym wydaniu. DrayTek natomiast implementuje bardzo szeroki wachlarz ochronny z możliwością selekcji, włącznie z calkowitą rezygnacją z ochrony DoS. Ponadto, dla ataków typu flood (zalew pakietów) można samodzielnie ustalać poziom czułości detektora (patrz rysunek). Filtr zawartości Ciekawym narzędziem oferowanym przez router Vigor w ramach koncepcji Firewall jest filtr zawartości (ang. Content Filter). Jest on bardzo prosty w konfiguracji i nader użyteczny, zwłaszcza w zastosowaniach domowych. Stanowi często poszukiwane przez użytkowników dopełnienie procesu filtrowania na poziomie aplikacji. Filtr pozwala zablokować transfer dokumentu html, jeżeli w adresie URL wystepują wybrane ciągi znaków (nastepny rysunek). Włącz ograniczenia dostępu do stron WWW uruchomienie filtru zawartości Lista słów zakazanych można wprowadzić na listę i uaktywnić do kilkudziesięciu słów i znaków (po kilka w każdym polu). Jeżeli któreś z nich zostanie znalezione w adresie URL strony www, dostęp zostanie zablokowany. Odpowiedni dobór słów pomaga na przykład wyeliminować dokumenty o treściach pornograficznych czy też inną niepożądaną zawartość. Ograniczaj dostęp na podstawie IP serwisu można też wybrać opcję bardziej radykalnego ograniczania dostępu na podstawie adresu IP serwera. Konsekwencje zaznaczenia tej opcji będą następujące: jeżeli w którymkolwiek z pobieranych dokumentów choć raz wystąpi słowo zdefiniowane na liście jako zakazane, filtr nie poprzestanie na zablokowaniu aktualnego dokumentu. Nastąpi dodatkowo odnotowanie adresu IP serwera WWW i trwała eliminacja możliwości skomunikowania się z tym serwerem z wnętrza sieci lokalnej. 6
Ograniczenia elementów stron: Java blokowanie pobierania aktywnych skryptów Java. Są to programy pobierane ze stron www i wykonywane lokalnie na komputerze. Stanowią istotne wzbogacenie serwisów www, ale ze względu na swój charakter bywają też narzędziem wielu infekcji i włamań. ActiveX kontrolki systemu ActiveX na podobnej zasadzie jak skrypty Java mogą się okazać niebezpieczne i można zdecydować się na ich zablokowanie. Pliki zip/exe Blokowanie pobierania plików *.zip i *.exe. Zip stanowi popularny format kompresji danych. Pobieranie plików w tym formacie nie zawsze pozwala programom antywirusowym na wykrycie przemycanej w ten sposób infekcji plików. Podobnie, plik wykonywalny z rozszerzeniem *.exe jest potencjalnym zagrożeniem, jeżeli pochodzi z niepewnego źródła. Najwięcej rodzajów infekcji (np. tzw. konie trojańskie) działa bowiem na zasadzie dołączania złośliwego kodu do pliku *.exe. Kod ten jest wykonywany razem z głównym kodem programu po jego uruchomieniu w środowisku systemu operacyjnego. Wykorzystanie Firewall Bezpieczeństwo, jakie router Vigor potrafi zapewnić sieci prywatnej ujawnia się najpełniej przy odpowiednim połączeniu wszystkich elementów Firewall. Wystarczy zwrócić uwagę na przypadek usług www. Router Vigor w ramach Firewall pozwala przykładowo: zabronić niektórym lub wszystkim komputerom w sieci prywatnej dostępu do usług www (przy zachowaniu wszystkich innych usług, np. pocztowych) zabronić dostępu jedynie do wybranych serwerów www określić czy ruch www może być powodem nawiązania połączenia ISDN, czy też nie jest on na tyle ważny aby decydować się na ponoszenie opłat (można np. pozwolić na korzystanie z www poprzez ISDN tylko wybranym komputerom oraz tylko o określonej porze dnia). wprowadzić kontrolę zawartości pobieranych dokumentów www z możliwością blokowania wybranych treści Można wreszcie uruchomić własny serwer www, który pracując w sieci prywatnej będzie świadczył usługę dostępną publicznie (patrz DDNS, NAT). W jego zabezpieczeniu pomogą wówczas opcje Firewall w postaci ochrony DoS. Co więcej, powyższe rozważania odnośnie www można rozciągnąć na wszystkie typowe usługi czy formy ruchu generowanego w Sieci. Użycie monitora SysLog Dzięki programowi SysLog praca mechanizmów firewall może być monitorowana przez administratora lokalnie lub zdalnie (przez Internet). Możliwe jest zapisywanie informacji do pliku w celu ich późniejszej analizy, lub praca w trybie online. Monitor SysLog instaluje się z płyty CD dodawanej do routera. Program pokazuje przechwycone informacje w trybie graficznym. Typowe zdarzenie to odparcie ataku DoS, zablokowanie dostępu do strony www, zablokowanie lub przepuszczenie pakietu IP, spełniającego regułę filtru. Każdemu zdarzeniu towarzyszy dokładny czas wystąpienia oraz szczegółowe okoliczności, związane np. z atakiem DoS: 7
Poniższe okno zawiera przykład rejestrowania pakietów które zostały przepuszczone przez filtr pakietów (litera p oznacza passed). Obok czasu, występuje tutaj adres źródłowy i docelowy pakietu, numery portów, interfejs przez który pakiet został wysłany oraz identyfikator reguły filtru: Z kolei następne okno pokazuje przypadek rejestrowania pakietów odrzuconych (litera b to blocked): Osobna zakładka skupia dane na temat aktualnych sesji komunikacyjnych pomiędzy lokalnymi hostami pracującymi w sieci LAN a maszynami odległymi. Oprócz czasu podane są lokalne i 8
docelowe porty oraz adresy IP, protokół i ewentualnie typ usługi. Występują też informacje o fazie w jakiej znajduje się dana sesja (np. wskazanie momentu jej zamknięcia). Taki podgląd bieżącej sytuacji może pomóc w sprawdzenia skuteczności działania firewall, i uszczelnienia ewentualnych luk w systemie zabezpieczeń. 9