Firewalls em Sistemas BSD Unix

AgendaIntrodução/ConceitosOpções disponíveisConfigurações/Prática

ConceitosModelosPreventivoReativo

Preventivo + ReativoOnde estão os ativosPontos de vulnerabilidadeSegurança FísicaPolítica de SegurançaAtualização de Sistemas

Preventivo + ReativoTreinamentoEducaçãoBackupIdentificação de Ameaças

Política de SegurançaConteúdoExplicaçõesLinguagem simplesAutoridadeResponsabilidade de todosProblemas não relacionados acomputadores

Tecnologias de FirewallFiltragem de PacotesServiços de ProxyNAT (Network Address Translation)VPN (Virtual Private Networks)

Arquiteturas de FirewallRoteadoresBastion HostsSubredes

Pago ou Feito em Casa?

Estratégias de SegurançaMenor PrivilégioDefesa em ProfundidadeSegurança por Obscuridade

Opções DisponíveisSistemas OperacionaisFreeBSDNetBSDOpenBSDFirewallsIPFILTERIPFWPF

FreeBSDRobustoEstávelSeguroLimpo

IPFILTERLeveEstávelPortado para outros sistemas UnixCurva de aprendizado baixa

PF e OpenBSDPróximo Evento..

HardwareQualquer Pentium?32, 64, 128MB de RAM..4GB de HD2 ou mais interfaces de redeMelhor hardware = MaiorestabilidadeQualidade dos componentes

Instalando o FreeBSDInstalação básica, seguindo o roteiro:http://www.abdv.net/roteiro.htmlAtualização do sistemaAjustes no /etc/rc.confsshd_flags=“-4”syslogd_flags=“-ss”

Como particionar o disco?Particionamento do disco/ - 128MBSwap – Por volta de 2 x a memória RAM/var – 256MB/tmp – 256MB/usr – Restante do disco

Compilação do Kernel parasuporte ao IPFILTERFontes em /usr/src/sys/i386/confArquivo de configuração padrão:GENERICVamos criar nosso próprio arquivo:cp GENERIC SERVER (nome da suamáquina)vi SERVERLocalize a entrada ident GENERIC porident SERVER

Compilação do Kernel parasuporte ao IPFILTERLocalize a entrada “options INET6” e,logo abaixo, insira:options IPFILTERoptions IPFILTER_LOGEdite o arquivo /etc/make.conf e adicionea linha:KERNCONF=SERVER

Compilação do Kernel parasuporte ao IPFILTERCompilando e instalando o kernel:make buildkernelmake installkernelmake cleanEspere 1 minuto, próximo slide porfavor...shutdown -r now

IPFILTERConfigurações no /etc/rc.confipfilter_enable=“YES”ipfilter_flags=“”ipmon_enable=“YES”ipmon_flags=“-Dsv”ipnat_enable=“YES”Verifique se o IPFILTER “subiu”:dmesg | grep Filter

IPFILTERMais configurações em /etc/rc.confpara trabalhar com o IPFILTER:gateway_enable=“yes”ifconfig_lo0=“127.0.0.1”network_interfaces=“xl0 xl1 lo0”icmp_drop_redirects=“YES” (parareduzir DoS)

IPFILTEROutras opções de incialização doIPFILTER, IPNAT e IPMON:/etc/defaults/rc.conf

Criando aquivos de logsseparados para o IPFILTER# touch /var/log/firewall_logs# chmod 600 /var/log/firewall_logs# vi /etc/syslog.conf, acrescente:security*. /var/log/firewall_logs# vi /var/log/messages, acrescente:security.noneRotacione os logs, # vi /etc/newsyslog.conf,adicione a linha:/var/log/firewall_logs 600 14 100 * J /var/log/ipmon.pidReinicialize o daemon syslogd

Conceitos básicos para criaros arquivos de regrasFiltragem egressa (egress filtering)Interfaces: interna e externaMúltiplos critérios de filtragemin/out, block/pass, protoA palavra-chave “quick”Leitura das regras:Top – downFirst match wins (using “quick”)Arquivo de regras do IPFILTER: /etc/ipf.rulesArquivo de regras do IPNAT: /etc/ipnat.rules

etc/ipf.rulesNosso primeiro conjunto de regras:pass in allblock in all

etc/ipf.rulesControlando as regras com apalavra-chave “quick” (first matchwins)block in quick allpass in all

etc/ipf.rulesFiltragem básica por endereço:block in quick from 10.3.18.20/32 to anypass in all

etc/ipf.rulesFiltragem por interfaceNossas Interfaces: xl0 (interna) e xl1(externa)pass in allblock in quick on xl0 allInterface + endereço IPblock in quick on xl0 from 10.3.18.20/32 to anypass in all

etc/ipf.rulesComportamento padrão definido nacompilação do kernel (block ou pass)Filtragem bi-direcional, palavrachaveoutpass out quick on xl1 from 10.3.18.4/32 to anyblock out quick on xl1 from any to anyAinda estamos “stateless”

etc/ipf.rulesRegistrando o que acontece com apalavra-chave “log”pass out quick on xl1 from 10.3.18.0/24 to anyblock in log quick on xl1 from any to any

etc/ipf.rulesAo criar as regras, lembre-se, ospacotes entram (in) e saem (out) decada interfaceAinda temos mais alguns critériospara filtragem, até aqui filtramos porinterface, por endereço e fizemoslog.

etc/ipf.rulesFiltragem por protocolo, palavrachave“proto”block in log quick on xl0 proto icmpblock in log quick on xl0 proto udp

etc/ipf.rulesPortas TCP e UDP, a palavra-chave“port”block in quick on xl0 proto tcp from any to10.3.18.30/24 port = 25block in quick on xl0 proto udp from any to10.3.18.0/24 port = 514

etc/ipf.rulesConjunto completo de regras“stateless”pass in on xl0 from 10.3.18.0/24 to anypass out on xl0 from 10.3.18.0/24 to anypass in on xl1 from 10.3.18.0/24 to anypass out xl1 from 10.3.18.0/24 to any

etc/ipf.rulesPermissão implícita - “keep state”Conexões têm: início, meio e fimFiltramos o inícioTabela de estadospass out quick on xl0 proto tcp from any to any keep state(agora sim, estamos “stateful”)

etc/ipf.rulesStateful UDPComo se o UDP não é orientado àconexão?60s na tabela de estadosServiço de DNSStateful ICMPMesma idéiapass out quick on xl1 proto icmp from any to anyicmp-type 8 keep state

etc/ipf.rulesDetectando scan FINPalavra-chave “flags”pass in quick on xl1 proto tcp from any to10.3.18.6/32 port = 22 flags S keep stateExceção: pacotes fragmentadosPara resolver usamos “keep frags”pass in quick on xl1 proto tcp from any to 10.3.18.6/32port = 22 flags S keep state keep frags

etc/ipf.rulesRespondendo a um pacote bloqueadoCom TCP – RST (Reset). Nossa palavrachave:“return-rst”block return-rst in log on xl1 proto tcp from anyto 10.3.18.6/32 port = 22block in log quick on xl1Atenção! Apenas para TCP, por issoprecisamos da segunda regra block paradescartar os pacotes UDP e ICMP“connection refused” ao invés de“connection timed out”

etc/ipf.rulesRespondendo pacotes UDPbloqueadosUse as mensagens ICMP (return-icmp)block return-icmp(port-unr) in log quick on xl1 protoudp from any to 10.3.18.6/32 port = 111

etc/ipf.rulesProblema, a regra anterior retorna oendereço IP do firewall! Para evitarisso usamos a seguinte sintaxe:block return-rst-as-dest(port-unr) in log on xl1 protoudp from any to 10.3.18.6/32 port = 111Cuidado com as respostas: flood

NAT e ProxiesFalta de endereçamentoReescrevendo o endereço de saídamap xl1 10.3.18.0/24 -> 200.100.1.10/32Para endereços dinâmicos:map tun0 10.3.18.0/24 -> 0/321 pra 1map xl1 10.3.18.9/32 -> 200.100.1.11/32

NATPolicy NATmap tun0 from 10.3.18.0/24 ! to 200.1.2.0/24 ->200.100.1.2/32map tun0 from 10.3.18.1/32 port = 5555 to 199.2.6.1/32-> 200.100.1.3/32

NATOferecendo serviços atrás do firewallatravés de redirect (rdr)rdr xl1 200.1.2.3/32 port 80 -> 10.3.18.5 port = 80 tcprdr xl1 200.1.2.3/32 port 22 -> 10.3.18.7 port = 22 tcp

Filtrando serviçosredirecionados com rdrNão basta criar o redirect, precisamoscriar as regras para permitir a entradaem /etc/ipnat.rules:rdr xl1 200.1.2.3/32 port = 80 -> 10.3.18.5 port = 80 tcpem /etc/ipf.rules:pass in quick on xl1 proto tcp from any to 10.3.18.5/32 port= 80 flags S keep state* O NAT ocorre antes da filtragem..

Algumas “mágicas” do NATProxies de AplicaçãoControle de sessões FTPmap xl0 10.3.18.0/24 -> 200.100.1.3/32 proxy portftp ftp/tcpBalanceamento de carga Palavra-chave “round-robin”rdr xl1 200.100.1.3/32 port 80 -> 10.3.18.6, 10.3.18.7port 80 tcp round-robin

Carregando e Manipulando asregrasO utilitário ipf:-F Flush (i, input; o, output; a, all)-f -V versão do IPFILTERO utilitário ipnat:-l mostra as entradas da tabela NAT-C apaga as entradas NAT carregadas,exceto as que estão ativas-F apaga as entradas NAT carregadas-f

Monitorando e DepurandoO utilitário ipfstat:Sem flags – mostra informaçõesinteressantes, estatísticas-i lista as regras de input-o lista as regras de output-h hit count-n número da regra-s dump da tabela de estados

Monitorando e DepurandoO utilitário ipmonMostra o que está acontecendo emtempo real-o especifica qual dos logs ler (N – NAT, S– state log, I – normal IPFilter)-a lê todos os logs ao mesmo tempo,equivale a -o NSI

Conjunto completo de regrasChecklist:Quais as minhas interfaces de redeO que pretendo bloquear/liberar?Pretendo fazer mudanças nas regras comfrequência?Qual a carga que este equipamentosuporta?Tenho muitos usuários?

Conjunto de regras “stateful”pass in quick on xl0 from 10.3.18.0/24 to any keep statepass out quick on xl1 from 10.3.18.0/24 to any keepstate

Mais segurançaVocê quer mais segurança?Edite seu /etc/fstab (mas faça um backupantes – cp /etc/fstab /etc/fstab.bkp)Todos as suas partições (exceto a deswap e /dev/acd0) devem estar rw –READ/WRITE

Mais SegurançaModifique para o seguinte:/ ufs rw,nosuid 1 1/tmp ufs rw,noexec,nosuid,nodev 2 2/usr ufs ro 2 2/usr/home ufs rw,noexec,nosuid 2 2/usr/local ufs ro,nosuid 2 2/var ufs rw,noexec,nosuid 2 2Observe que o layout das partições édiferente ao sugerido no início destematerial, mas isso não impede quefaçamos uma configuração restritiva

Exercícios PráticosObtenha os seguintes dados da suamáquina:Nome da interface de redeEndereço IPPortas no estado “listening” (abertas)

Exercícios PráticosCrie um conjunto de regras quesatisfaça as seguintes condições:Permita a saída do tráfego nas interfaceslocais (incluindo a de loopback)Permita a entrada de tráfego SSH apenaspara as máquinas à sua esquerda e à suadireita (quando aplicável)Bloqueie o tráfego para os demais Ips damesma classe de endereços da suaBloqueie o tráfego para as redes declasses privadas (10.0.0.0/8)

Exercícios PráticosApós o tempo limite de criação deregras tente conectar-se à qualquermáquina da rede via SSH, casoobtenha sucesso anote o endereço IP.Obtenha informações (IP) a partir doslogs ou em tempo real das máquinasque estão tentando conectar-se à sua,caso você detecte falhas tente corrigilasem tempo real.

Exercícios PráticosInstale o scanner de segurança NMAPatravés do comando:# pkg_install -r nmapDigite nmap -h, leia com atenção asopções e faça as seguintes operaçõesnos endereços IP da sua rede:Tente descobrir a versão dos programasem execução na máquina remotaFaça um scan do tipo PingFaça scan de TCP connect(), TCP SYNFaça scan de portas UDP

Exercícios PráticosUtilizando os utilitários do IPFILTERcolha os seguintes dados estatísticosdo seu firewall:Input packetsOutput packesA versão do IPFILTER

Exercícios PráticosSugestão:Use vários terminais para agilizar suasoperações de scan e monitoramentoAntes de tentar conectar-se à outrasmáquinas certifique-se de que a sua estábem protegidaSe estiver em dificuldades não trabalhesozinho, procure ajuda

Isto foi só o início, agora é porsua conta..Configurar um firewall leva tempo, épreciso fazer muitos testes para tercerteza de que tudo está comoplanejado. Lembre-se, segurança é umprocesso contínuo, não um produto.Você encontra esta apresentação e outrosartigos atualizados em:http://www.abdv.netalex.vasconcelos@gmail.com