POZNAN UNIVERSITY OF TECHNOLOGY ACADEMIC JOURNALS Jakub LAMPERSKI * Piotr ZWIERZYKOWSKI * 2007 Poznańskie Warsztaty Telekomunikacyjne Poznań 6-7 grudnia 2007 LINUKSOWY FILTR PAKIETÓW,,NETFILTER W LABORATORIUM SIECI KOMPUTEROWYCH W artykule przedstawiono propozycję zapory ogniowej stosującej mechanizm NETFILTER. Prezentowana zapora została przystosowana do ćwiczeń laboratoryjnych z zakresu bezpieczeństwa sieci komputerowych. Artykuł omawia również możliwości mechanizmu filtrowania pakietów netfilter oraz niektóre szczegóły implementacji zapory ogniowej. 1. WPROWADZENIE Wraz z postępem cywilizacji rosną możliwości, ale w tym samym czasie pojawiają się zupełnie nowe, nieznane wcześniej niebezpieczeństwa, a definicja bezpieczeństwa nieustannie ulega zmianie. Również informatyzacja, która w zawrotnym tempie zdobywa każdy niemal aspekt codziennego życia niesie ze sobą niewątpliwe nowe zagrożenia. Jednym z takich zagrożeń jest atak na stacje robocze sieci komputerowych. Najczęstszy schemat ataku można przedstawić następująco: skanowanie sieci w celu wyznaczenia celu ataku, zdobycie dostępu do komputera, przejecie kontroli nad atakowanym systemem operacyjnym (uzyskanie praw administratora), ukrycie śladów włamań, instalacja tylnych drzwi (ang. back door), umożliwiających w przyszłości dostęp do maszyny bez potrzeby ponawiania ataku. Ataki na urządzenia działające w sieciach komputerowych można podzielić na: ataki odmowy usługi (ang. DoS - Denial of Service) powodujące uniemożliwienie dostępu do zasobów lub usług urządzenia, man in the middle (popularnie MiM) mające miejsce wtedy, gdy haker staje na drodze pomiędzy ofiara, a maszynami z którymi ona się łączy, umożliwią one podsłuchiwanie ważnych, nieszyfrowanych informacji, nieautoryzowany dostęp do sieci, * Politechnika Poznańska, Wydział Elektroniki i Telekomunikacji PWT 2007 - POZNAŃ 6-7 GRUDNIA 2007 1/8
JAKUB LAMPERSKI, PIOTR ZWIERZYKOWSKI ataki socjotechniczne, np. podstępne nakłonienie użytkownika sieci do zdradzenia jego danych uwierzytelniających. Istnieje wiele skutecznych sposobów, mających na celu uniemożliwienie ataku lub zniechęcenie potencjalnych hakerów do ataku na naszą sieć. Urządzenia dbające o bezpieczeństwo w sieciach noszą nazwę zapór ogniowych (ang. Firewall). Zapory ogniowe można podzielić następująco: filtry pakietów, czyli mechanizmy, które podejmują decyzje dotyczące kwalifikacji pakietów na podstawie zdefiniowanych reguł polityki bezpieczeństwa, filtry poziomu aplikacji, które zapewniają możliwość analizowania ruchu pod kątem usług, które go generują, bramy na poziomie łącza, które analizują protokoły warstwy transportu, stanowiąc swojego rodzaju pośrednictwo pomiędzy chronionym klientem, a serwerami, dynamiczne filtry pakietów, czyli filtry pakietów stanowe (z pamięcią), w przypadku których tożsamość pakietów wychodzących jest uprzednio zapamiętywana, dzięki czemu możliwe jest skojarzenie z nimi kolejnych połączeń, rozwiązania hybrydowe, to firewalle, w których w celu zwiększenia wydajności zapory część ruchu kierowana jest na bramy aplikacji, a pozostała przechodzi (bądź nie przechodzi) przez dynamiczny filtr pakietów; regułami tego filtra zarządza brama aplikacji, zapory sieciowe rozproszone, w przypadku których każde urządzenie sieciowe posiada swój zdalnie i centralnie zarządzany moduł zapory ogniowej. Urządzeniem odpowiedzialnym za politykę bezpieczeństwa jest centralny węzeł zarządzania. Celem artykułu jest omówienie zastosowania mechanizmu Netfilter, który jest przykładem stanowego filtra pakietów, do konstrukcji zapory ogniowej. Artykuł podzielono na 4 rozdziały. W rozdziale 2. przedstawiono zasady działania mechanizmu Netfilter. Rozdział 3. prezentuje propozycję wykorzystania zapory w laboratorium sieci komputerowych, natomiast rozdział 4. zawiera podsumowanie. 2. FILTR PAKIETÓW Netfilter jest stanowym filtrem pakietów działającym w systemie Linux. Jest on zazwyczaj używany na komputerach pełniących funkcje routerów. Zapora opiera się on na trzech podstawowych łańcuchach, dla których zdefiniowane reguły określają działania, które zostaną podjęte w określonych sytuacjach. Iptables jest interfejsem programu Netfilter. W praktyce administrator korzysta tylko z iptables. PWT 2007 - POZNAŃ 6-7 GRUDNIA 2007 2/8
LINUKSOWY FILTR PAKIETÓW,,NETFILTER W LABORATORIUM SIECI KOMPUTEROWYCH Rys.1 Przykładowe zastosowanie filtra pakietów,,netfilter Aplikacja uruchamia się w wierszu poleceń i przyjmuje parametry. Ogólna postać jej wywołania może wyglądać następująco: iptables -t tablica -A łancuch kryteria -j cel Iptables obsługuje tzw. moduły. Są to sposoby klasyfikowania pakietów, czyli typy kryteriów, według których pakiety maja być rozpoznawane. Np. rozpoznanie ruchu ze względu na cechy protokołu TCP możliwe jest dzięki modułowi TCP. Mnogość dostępnych (standardowych oraz dodatkowych) modułów sprawia, że możliwości zapory opartej na mechanizmie,,netfilter są ogromne, zazwyczaj ogranicza je wiedza kreatywność administratora. W większości typowych sieci komputerowych stworzonych dla zastosowań segmentu SOHO (ang. Small Office Home Office), ważne jest, aby urządzenia z wewnątrz tej sieci mogły łączyć się z siecią zewnętrzną, zazwyczaj nie jest potrzebne nawiązywanie nowych połączeń w drugą stronę. w takiej sytuacji warto zabronić inicjowania tego typu połączeń na poziomie firewalla. Należy jednak pamiętać, że nie wolno zakazać wszystkich połączeń z sieci zewnętrznej do sieci chronionej, gdyż w ten sposób użytkownicy nie otrzymaliby żądanej odpowiedzi na wysłane zadania, przez co np. korzystanie z zasobów sieci Internet byłoby niemożliwe. Dzięki możliwościom stanowego filtra pakietów, jakim jest Netfilter, rozróżnienie połączeń nadchodzących na nowe (NEW) i związane (RELATED), bądź juz nawiązane (ESTABLISHED) jest możliwe: iptables -A FORWARD -i ath2 -d 192.168.1.0 -m state \ --state RELATED,ESTABLISHED -j ACCEPT iptables -A FORWARD -i ath2 -d 192.168.1.0 -j DROP PWT 2007 - POZNAŃ 6-7 GRUDNIA 2007 3/8
JAKUB LAMPERSKI, PIOTR ZWIERZYKOWSKI gdzie: ath2 jest nazwą interfejsu firewalla od strony sieci zewnętrznej, a 192.168.1.0 jest adresem chronionej sieci. W celu zapobieżenia próbie uzyskania nieautoryzowanego dostępu poprzez podszycie się maszyny hakera pod adres należący do naszej sieci wewnętrznej, wystarczy wywołać iptables z następującymi parametrami: iptables -A FORWARD -i ath2 -s 192.168.1.0 -j DROP Pakiety spełniające kryteria polecenia, to takie, które pochodzą z interfejsu sieci zewnętrznej, a maja adres pochodzenia sieci wewnętrznej. Próby nawiązania takich połączeń są odrzucane. Optymalnym rozwiązaniem mającym na celu odparcie ataków DoS z użyciem pakietów protokołu ICMP okazuje się ograniczenie ilości dopuszczanych żądań typu echo request, czyli popularnych pingów, np. do wartości 10 pakietów na sekundę. Można dokonać tego za pomocą iptables w następujący sposób: iptables -A FORWARD -p icmp --icmp-type echo-request \ -m limit --limit 10/s -j ACCEPT iptables -A FORWARD -p icmp --icmp-type echo-request \ -j DROP iptables -A INPUT -i ath2 -p icmp --icmp-type \ echo-request -m limit --limit 10/s -j ACCEPT iptables -A INPUT -i ath2 -p icmp --icmp-type \ echo-request -j DROP Bardzo przydatną funkcja jest filtrowanie pakietów ze względu na adresy fizyczne. Umożliwia to wprowadzenie kontroli nad urządzeniami, które mogą używać połączenia z siecią zewnętrzną (np. Internetem). Interfejs każdego urządzenia sieci Ethernet posiada swój unikatowy adres MAC. Polecenie powodujące blokowanie połączeń z urządzenia o określonym adresie MAC wygląda następująco: iptables -A FORWARD -m mac --mac-source ADR_MAC -j RETURN Ciekawym zastosowaniem filtra pakietów jest analiza ruchu wychodzącego z sieci chronionej. W celu rozróżnienia ruchu generowanego przez użytkowników sieci pod katem protokołów warstwy aplikacji, posłużymy się modułem programu netfilter - l7-filter. Połączenia rozpoznane, jako wygenerowane przez dana aplikacje, możemy tradycyjnie: dopuścić, zablokować, zliczyć lub zalogować. Chcąc uniemożliwić np. hostowi 192.168.1.13 korzystanie z protokołu http, wykonujemy następujące polecenie: PWT 2007 - POZNAŃ 6-7 GRUDNIA 2007 4/8
LINUKSOWY FILTR PAKIETÓW,,NETFILTER W LABORATORIUM SIECI KOMPUTEROWYCH iptables -t mangle -A FORWARD -m layer7 --l7proto http \ -s 192.168.1.13 -j DROP Możliwe jest oczywiście również ograniczenie dostępu do usługi WWW dla całej sieci wewnętrznej: iptables -A FORWARD -m layer7 --l7proto http -j DROP 3. ZASTOSOWANIE ZAPORY W LABORATORIUM Przedstawiony stanowy filtr pakietów będzie wykorzystywany w laboratorium sieci komputerowych do ilustracji zagadnień bezpieczeństwa sieci. Istnieje wiele potencjalnych scenariuszy wykorzystywania zapory podczas ćwiczeń laboratoryjnych. W dalszej części rozdziału skupimy się na przykładowym ćwiczeniu laboratoryjnym. Załóżmy, że do przeprowadzenia ćwiczenia wystarczy pojedynczy komputer pełniący rolę użytkownika końcowego oraz komputer na którym został uruchomiony router linuksowy z zaporą. Przykładowy przebieg ćwiczenia mógłby wyglądać następująco: 1. Zapoznaj się z następującymi narzędziami: iptables, nmap, ping. 2. Skonfiguruj kartę sieciowa tak, by należała do sieci o adresie 192.168.1.0 o masce podsieci 255.255.255.0 i domyślna brama był należący do tej samej sieci adres IP firewalla. 3. Odnajdź adres MAC swojej karty sieciowej i skonfiguruj firewall tak, by dopuszczał Twoje połączenia. Sprawdź, czy połączenia zostają poprawnie wykonane. 4. Zablokuj usługę http dla adresu IP swojego komputera. Czy możliwe jest otwieranie stron WWW? Czy możliwe jest pingowanie serwerów WWW? 5. Znajdź (lub stwórz wspólnie z innymi studentami) serwer WWW nasłuchujący na porcie innym od 80 TCP. Czy otwieranie strony z tego serwera powiodło się? Odpowiedz uzasadnij. 6. Skonfiguruj kartę sieciowa tak, by należała do sieci o adresie 192.168.1.0 o masce podsieci 255.255.255.0 i domyślna bramą był należący do tej samej sieci adres IP firewalla. 7. Użyj narzędzia nmap. Stosując różne ustawienia bezpieczeństwa sieci chronionej sprawdź możliwość przeskanowania portów na interfejsie firewalla o adresie z sieci 192.168.0.0/24. Sprawdź również, czy wracają do Twojego PWT 2007 - POZNAŃ 6-7 GRUDNIA 2007 5/8
JAKUB LAMPERSKI, PIOTR ZWIERZYKOWSKI komputera odpowiedzi na zapytania ICMP echo-request z interfejsu firewalla oraz z dowolnego komputera należącego do sieci 192.168.1.0/24 8. Wyjaśnij istotę i zaproponuj sposób przeprowadzenia ataku z wykorzystaniem sfałszowanego adresu IP pochodzenia pakietu. Przejdź do zakładki SHOW CONFIG firewalla i wskaz regułę lub reguły odpowiedzialne za odpieranie takich ataków. Czy zabezpieczenie zauważy każdą próbę sfałszowania adresu IP pochodzenia pakietu? 9. Zaproponuj wiarygodna metodę sprawdzenia, czy blokada usługi XYZ działa poprawnie. Więcej informacji o zaporze i możliwościach jej wykorzystania można znaleźć w pracy [1]. 4. PODSUMOWANIE Mechanizm,,netfilter daje olbrzymie możliwości tworzenia filtrów pakietów. Nadaje się on znakomicie do implementacji zapory ogniowej chroniącej małe i średnie sieci domowe lub biurowe. Powszechna dostępność dokumentacji i rozszerzeń oraz darmowość tak tworzonego firewalla czynią z niego narzędzie bardzo często stosowane przez administratorów sieci komputerowych. Celem artykułu było przedstawienie propozycji zapory powstałej w ramach pracy dyplomowej. Proponowany filtr pakietów będzie wykorzystywany w laboratorium sieci komputerowych Katedry Sieci Telekomunikacyjnych i Komputerowych Wydziału Elektroniki i Telekomunikacji Politechniki Poznańskiej. Filtr wraz z przygotowanym zestawem ćwiczeń laboratoryjnych umożliwi studentom zapoznanie się z wybranymi zagadnieniami bezpieczeństwa sieci komputerowych. Porównanie podstawowych możliwości filtracji uzyskanej zapory ogniowej z możliwościami innych rozwiązań przedstawia tabela 1. Analizując tabelę można zauważyć, że proponowany firewall implementuje tylko wybrane możliwości rozróżniania ruchu sieci IP. Warto zwrócić uwagę na specyficzną cechę filtru jaką jest funkcja inspekcji protokołów warstw wyższych, dzięki której zrezygnowano z filtracji ze względu na port docelowy protokołów TCP lub UDP. Wybranie tylko niektórych możliwości rozróżniania ruchu podyktowane było zamiarem wykorzystania filtru wraz z ćwiczeniami w laboratorium przeznaczonych dla wszystkich studentów, a więc w laboratorium nie mającym charakteru specjalnościowego. Firewall, którego elementy zaprezentowano, można wzbogacić o szereg dodatkowych funkcji, jak np.: funkcje QoS, klasyfikując ruch ze względu na wymagania jakościowe i dzieląc go odpowiednio pomiędzy wieloma łączami dostępu do Internetu. Inną ciekawą opcją jest możliwość tzw. kształtowania ruchu. PWT 2007 - POZNAŃ 6-7 GRUDNIA 2007 6/8
LINUKSOWY FILTR PAKIETÓW,,NETFILTER W LABORATORIUM SIECI KOMPUTEROWYCH Umożliwia ona ograniczanie dostępnego pasma dla wybranych komputerów bądź usług. Możliwe jest również dynamiczne jego przydzielanie np. ze względu na porę dnia. W wielu przypadkach przydatne okazać się może wyznaczenie strefy zdemilitaryzowanej, która zapewni ograniczenie, dostępu serwerom publicznym istniejące w chronionej sieci, do chronionych danych i usług użytku wewnętrznego. Tabela 1 Porównanie możliwości filtracji różnych firewalli zapora Windows XP Cisco Access List zapora oparta na iptables Checkpoint VPN-1 Trend Micro Internet Security źródłowy IP nie tak tak tak tak docelowy IP tak tak nie tak tak źródłowy port TCP/UDP docelowy port TCP/UDP inspekcja protokołów warstw wyższych częściowo tak nie tak tak nie tak nie tak tak nie nie tak tak B/d źródłowy adres MAC nie tak tak tak nie docelowy adres MAC nie tak nie tak nie ruch wychodzący tak tak tak tak tak ruch przychodzący nie tak tak tak tak PWT 2007 - POZNAŃ 6-7 GRUDNIA 2007 7/8
JAKUB LAMPERSKI, PIOTR ZWIERZYKOWSKI LITERATURA [1] J. Lamperski. Funkcje, możliwości i implementacja linuxowej zapory ogniowej bazującej na mechanizmie filtracji pakietów netfilter, Master s of Science Thesis, Poznan University of Technology, 2007. [2] D.R. Mirza Ahmad, I. Dubrawsky, H. Flynn, J. Grand, R. Graham, N.L. Johnson Jr., K2, D. Kaminsky, F.W. Lynch, S.W. Manzuik, R. Permeh, K. Pfeil, R.F. Puppy, R. Russel. Hack Proofing Your Network Edycja Polska. Wydawnictwo Helion, 2002 [3] W.R. Chestwick, S.M. Bellovin, A.D. Rubin. Firewalle i bezpieczeństwo w sieci. Vademecum profesjonalisty. Wydawnictwo Helion, 2003. [4] Jon Erickson. Hacking - sztuka penetracji : poznaj metody działania elity hakerów. Wydawnictwo Helion, 2004. [5] Fyodor. Insecure.org - nmap free security scanner, tools & hacking resources. Website, 1997. http://insecure.org/. [6] L. Gheorghe. Designing and Implementing Linux Firewalls and QoS using netfilter, iproute2, NAT, and L7-filter. Packt Publishing, 2006. [7] IDG. Bezpieczeństwo idg.pl. Website, 2003. http://bezpieczenstwo.idg.pl/. [8] Ph.D. J. Stanger, P.T. Lane, E. Danielyan. Hack Proofing Your Linux Edycja Polska. Wydawnictwo Helion, 2003. [9] Justin Levandoski, Ethan Sommer, Matthew Strait. Application layer packet classifier for linux. Website, 2007. http://l7-filter.sourceforge.net. [10] Harald Welte. netfilter/iptables project homepage. Website, 1999. http://netfilter.org. PWT 2007 - POZNAŃ 6-7 GRUDNIA 2007 8/8