Chương VII - INTERNET FIREWALL

Chia sẻ: Nguyễn Văn Chiến | Ngày: | Loại File: PDF | Số trang:29

Thêm vào BST

Báo xấu

88
lượt xem 23
download

Download Vui lòng tải xuống để xem tài liệu đầy đủ

Tường lửa đơn giản là một chương trình phần mềm hoặc một thiết bị phần cứng, dùng để lọc những thông tin qua internet đến mạng cá nhân hoặc hệ thống máy tính.

Chủ đề:

Bình luận(0) Đăng nhập để gửi bình luận!

Lưu

Nội dung Text: Chương VII - INTERNET FIREWALL

Chương VII INTERNET FIREWALL
Tổng quan về internet firewall  Mô hình firewall tổng quát: • Tường lửa đơn giản là một chương trình phần mềm hoặc một thiết bị phần cứng, dùng để lọc những thông tin qua internet đến mạng cá nhân hoặc hệ thống máy tính.
Tổng quan về internet firewall  Định nghĩa: • Là 1 kỹ thuật được tích hợp vào hệ thống mạng để chống sự truy cập trái phép nhằm bảo vệ thông tin cũng như việc hạn chế các truy cập không mong muốn. • Nó có thể là thiết bị phần cứng hoặc phần mềm:  Phần mềm: Norton Internet Security, ZoneAlarm,ISA, . . .  Phần cứng: Cisco Pix 515, 515-DC . . .
Tổng quan về internet firewall  Chức năng: • Quyết định cho phép những dịch vụ nào từ bên trong có thể truy cập từ bên ngoài và ngược lại. • Để firewall làm việc hiệu quả thì tất cả các thông tin cần trao đổi đều phải thông qua nó. • Chỉ những trao đổi được cho phép bởi chế độ an ninh mới có quyền lưu thông qua firewall
Tổng quan về internet firewall  Cấu trúc: • Một hệ thống máy chủ kết nối với các bộ định tuyến hoặc có chức năng định tuyến. • Các phần mềm quản lý an ninh chạy trên hệ thống máy chủ: xác thực, cấp quyền và kế toán
Tổng quan về internet firewall  Thành phần của firewall: • Bộ lọc gói tin. • Cổng ứng dụng • Cổng vòng
Tổng quan về internet firewall  Bộ lọc gói tin: • Nguyên lý: cho phép hay từ chối mỗi packet mà nó nhận được. Thực hiện kiểm tra toàn bộ đoạn dữ liệu để quyết định xem đoạn dữ liệu đó có thỏa mãn một trong số các luật lệ của lọc gói tin hay không:  IPs  IPd  TCP, UDP, ICMP, IP tunnel  Ports TCP/UDP  Portd TCP/UDP  ICMP message type  Incomimng interface of packet  Outcomming interface of packet
Tổng quan về internet firewall  Bộ lọc gói tin: • Ưu điểm: Chi phí thấp vì cơ chế lọc gói tin đã được chứa trong phần mềm định tuyến. Ngoài ra nó trong suốt với người sử dụng và do đó không cần đào tạo đặc biệt. • Hạn chế:  Định nghĩa chế độc lọc khá phức tạp đòi hỏi người quản trị mạng cần hiểu biết chi tiết về các dịch vụ trên internet.  Không kiểm soát được nội dung trên packet
Tổng quan về internet firewall  Cổng ứng dụng: • Nguyên lý:  Đây là một loại firewall được thiết kế để tăng cường chức năng kiểm soát dịch vụ, giao thức được cho phép truy cập vào hệ thống mạng.  Cơ chế hoạt động dựa trên cách thức Proxy Server(dịch vụ ủy quyền), là các bộ chương trình đặc biệt được cài trên getway cho từng ứng dụng
Tổng quan về internet firewall  Cổng ứng dụng: • Một cổng ứng dụng được coi là một bastion host, được thiết kế để chống lại sự tấn công từ bên ngoài. Các biện pháp đảm bảo an ninh của 1 bastion host này là:  Luôn chạy trên các version an toàn của các phần mềm OS, được thiết kế đặc biệt để chống lại sự tấn công vào OS.  Chỉ những dịch vụ cần thiết mới được cài đặt trên bastion host. Ví dụ: Telnet, DNS, FTP, SMTP và xác thực user.  Có thể yêu cầu nhiều mức độ xác thực, ví dụ như user password hay smart card.  Mỗi proxy được cấu hình để cho phép truy nhập chỉ 1 số các máy chủ nhất định.  Mỗi proxy duy trì 1 quyển nhật ký để ghi chép lưu lượng, mỗi sự kết nối, khoản thời gian kết nối.  Mỗi proxy đều độc lập với các proxy khác trên bastion host.
Tổng quan về internet firewall  Cổng ứng dụng: • Ưu điểm:  Cho phép người quản trị điều khiển được các dịch vụ trên mạng.  Cho phép kiểm tra độ xác thực rất tốt.  Dễ dàng cấu hình và kiểm tra hơn bộ lọc gói tin. • Hạn chế:  Yêu cầu người dùng phải thay đổi thao tác hoặc phần mềm đã cài đặt trên máy client cho truy nhập vào các dịch vụ proxy.
Tổng quan về internet firewall  Cổng vòng (cổng mạch): • Là một chức năng đặc biệt có thể thực hiện được bởi 1 cổng ứng dụng. Nó thực hiện chuyển tiếp các kết nối TCP mà không thực hiện bất kỳ một hành động xử lý hay lọc gói tin nào.
Tổng quan về internet firewall  Cổng vòng (cổng mạch): • Thường được sử dụng cho những kết nối ra ngoài, nơi mà người quản trị mạng thật sự tin tưởng những người dùng bên trong. • Ưu điểm lớn nhất của cổng vòng là một bastion host có thể được cấu hình như là một hỗn hợp cung cấp cổng ứng dụng cho những kết nối đến và cổng vòng cho các kết nối đi
Tổng quan về internet firewall  Hạn chế của tường lửa: • Chỉ có thể ngăn chặn sự xâm nhập của những nguồn thông tin không mong muốn nhưng phải xác định rõ các thống số địa chỉ. • Không thể ngăn chặn cuộc tấn công nếu cuộc tấn công này không đi qua nó. • Không thể chống lại các cuộc tấn công bằng dữ liệu. • Không thể làm nhiệm vụ rà quét virus trên các dữ liệu được chuyển qua nó.
Tổng quan về internet firewall  Cách tấn công vào tường lửa: • • Đăng nhập từ xa Macros • • Backdoors Spam • • Lỗi HĐH Viruses • • DoS Redirect bombs • • E-mail bombs Source routing
Tổng quan về internet firewall  Cài đặt tường lửa: tường lửa có thể được cài đặt theo ý của người quản trị hoặc người dùng, có nghĩa là có thể thêm hoặc bớt những bộ lọc dựa trên nhiều điều kiện. • • SMTP IP Address • • SNMP Domain names • • Telnet Protocols • • Port TCP • HTTP • FTP • UDP • ICMP
Tổng quan về internet firewall  Các ví dụ: • Packet-filtering Router Mạng nội bộ Internet  Ưu điểm: chi phí thấp, trong suốt với người dùng.  Nhược điểm: dễ bị tấn công khi các bộ lọc được cấu hình không hoàn hảo, khi một Packet-filtering Router bị sự cố dẫn đến ngừng hoạt động hệ thống mạng nội bọ có thể bị tấn công
Tổng quan về internet firewall  Các ví dụ: • Screened Host Firewall: sử dụng 1 bộ lọc và 1 bastion host. Internet Mạng nội bộ  Máy chủ cung cấp các thông tin công cộng qua dịch vụ Web và FTP có thể được đặt trên bộ lọc và bastion host.  Cần cấm người dùng truy cập vào bastion host .
Tổng quan về internet firewall  Các ví dụ: • Demilitarized Zone (DMZ): sử dụng 2 bộ lọc và 1 bastion host. Mạng nội bộ Internet  Khả năng bảo mật cao nhất. Ở đây DMZ đóng vai trò như 1 mạng nhỏ, cô lập đặt giữa mạng nội bộ và internet. Router ngoài điều khiển truy cập tới DMZ. Router thứ 2 điều khiển DMZ truy nhập mạng nội bộ chỉ với những truyền thông đi qua bastion host.
Chương VIII Virus