III. INFRASTRUCTURE SECURITY (AN NINH HẠ TẦNG)

5. Firewall và Proxy

Page | 58 Copyright by Tocbatdat – Router#config terminal

Router(config)#no ip bootp server Router(config)#no ip name-server Router(config)#no ntp server Router(config)#no snmp-server Router(config)#no ip http server Router(config)#^Z

Tạo các Access Control List (bên trên).

5. Firewall và Proxy

Page | 59 Copyright by Tocbatdat

Theo dõi luồng dữ liệu mạng giữa Internet và Intranet

Kiểm soát địa chỉ truy nhập, cấm địa chỉ truy nhập

Kiểm soát người sử dụng và việc truy cập của người sử dụng. Kiểm soát nội dung thông tin lưu chuyển trên mạng.

Một firewall khảo sát tất cả các luồng lưu lượng giữa hai mạng để xem nó có đạt chuẩn hay không. Nếu nó đạt, nó được định tuyến giữa các mạng, ngược lại nó bị hủy. Một bộ lọc firewall lọc cả lưu lượng ra lẫn lưu lượng vào. Nó cũng có thể quản lý việc truy cập từ bên ngoài vào nguồn tài nguyên mạng bên trong. Nó có thể được sử dụng để ghi lại tất cả các cố gắng để vào mạng riêng và đưa ra cảnh báo nhanh chóng khi kẻ thù hoặc kẻ không được phân quyền đột nhập. Firewall có thể lọc các gói dựa vào địa chỉ nguồn, địa chỉ đích và số cổng của chúng. Điều này còn được gọi là lọc địa chỉ. Firewall cũng có thể lọc các loại đặc biệt của lưu lượng mạng. Điều này được gọi là lọc giao thức bởi vì việc ra quyết định cho chuyển tiếp hoặc từ chối lưu lượng phụ thuộc vào giao thức được sử dụng, ví dụ HTTP, FTP hoặc Telnet. Firewall cũng có thể lọc luồng lưu lượng thông qua thuộc tính và trạng thái của gói.

Một số firewall có chức năng thú vị và cao cấp, đánh lừa được những kẻ xâm nhập rằng họ đã phá vỡ được hệ thống an toàn. Về cơ bản, nó phát hiện sự tấn công và tiếp quản nó, dẫn dắt kẻ tấn công đi theo bằng tiếp cận “nhà phản chiếu” (hall of mirrors). Nếu kẻ tấn công tin rằng họ đã vào được một phần của hệ thống và có thể truy cập xa hơn, các hoạt động của kẻ tấn công có thể được ghi lại và theo dõi.

Nếu có thể giữ kẻ phá hoại trong một thời gian, người quản trị có thể lần theo dấu vết của họ. Ví dụ, có thể dùng lệnh finger để theo vết kẻ tấn công hoặc tạo tập tin “bẫy mồi” để họ phải mất thời gian truyền lâu, sau đó theo vết việc truyền tập tin về nơi của kẻ tấn công qua kết nối Internet.

c. Nguyên lý hoạt động của Firewall

Các rule của Firewall hoạt động tương tự như Access Control List của Router, Rule của firewall có khả năng lọc gói tin sâu hơn ACL.

Firewall hoạt động chặt chẽ với giao thức TCP/IP, vì giao thức này làm việc theo thuật tón chia nhỏ các dữ liệu nhận được từ các ứng dụng trên mạng, hay nói chính xác hơn là các dịch vụ chạy trên các giao thức (Telnet, SMTP, DNS, SMNP, NFS …) thành các gói dữ liệu (data packets) rồi gán cho các packet này những địa chỉ có thể nhận dạng, tái lập lại ở đích cần gửi đến, do đó các loại Firewall cũng liên quan rất nhiều đến các packet và những con số địa chỉ của chúng.

Page | 60 Copyright by Tocbatdat

Bộ lọc packet cho phép hay từ chối mỗi packet mà nó nhận được. Nó kiểm tra toàn bộ đoạn dữ liệu để quyết định xem đoạn dữ liệu đó có thỏa mãn một trong số các luật lệ của lọc packet hay không. Các luật lệ lọc packet này là dựa trên các thông tin ở đầu mỗi packet (header), dùng để cho phép truyền các packet đó ở trên mạng. Bao gồm:

• Địa chỉ IP nơi xuất phát (Source)

• Địa chỉ IP nơi nhận ( Destination)

• Những thủ tục truyền tin (TCP, UDP, ICMP, IP tunnel …)

• Cổng TCP/UDP nơi xuất phát

• Cổng TCP/UDP nơi nhận

• Dạng thông báo ICMP

• Giao diện packet đến

• Giao diện packet đi

• Firewall có thể bóc tách dữ liệu trong gói tin Layer 6,7: Filetype, URL, Content, Services, Application, User,..

d. Các loại Firewall Nếu chia theo vị trí đặt:

- Network Firewall: bảo vệ cho cả hệ thống mạng

- Host Firewall: Bảo vệ cho một máy tính được cài đặt (thường được tích hợp trên OS hoặc các phần mềm bảo mật như Anti-Virus, Endpoint Security).

- Web Firewall: Có thể là Network Firewall hoặc Host Firewall có chức năng bảo vệ dịch vụ web trước các dạng tấn công.

Nếu theo nền tảng hardware và software

- Software Firewall: Thường được cài đặt trên OS hoặc là hệ điều hành Linux tích hợp firewall mềm

- Hardware Firewall: Được tối ưu hóa bằng việc xây dựng hệ điều hành trên nền tảng phần cứng của hãng nên hiệu năng xử lý tốt hơn.

Nếu theo khả năng xử lý gói tin

- Packet Filter: Hoạt động ở Layer3 – 4 Mô hình OSI. Cho phép lọc gói tin ở hai lớp này, Firewall dạng này có thể coi như Acess Control List trên Router.

Page | 61 Copyright by Tocbatdat

- Application Filter: Hoạt động ở Layer 7. Cho phép tạo ra các Rules hoạt động trên Layer 7 của mô hình mạng OSI như URL, Content….

- State Full Filter: Hoạt động từ Layer 3 – 7: Cho phép tạo rules phức tạo từ IP, Port, URL, Filetype, time, User, content, Header,…

- UTM: Tích hợp giữa Firewall và UTM. Do nhiều tính năng nên hiệu năng xử lý không được cao.

Khái niệm mới về một thế hệ mới Firewall được Gartner (tổ chức đánh giá các giải pháp IT) định nghĩa là: Next Generation Firewall cần phải có các tính năng sau:

- Hỗ trợ hoạt động Inline trong hệ thống mạng (có thể hoạt động trong suốt từ Layer 2) - Có những tính năng Firewall cơ bản: Packet Filter, NAT, Statefull, VPN

- Hỗ trợ phát hiện hệ thống mạng (Host active, Service, Application, OS, Vulnerability).

- Tích hợp IPS mức độ sâu (cho phép cấu hình, rule edit, Event Impact Flag…)

- Application Awareness: Cho phép phát hiện các dịch vụ hệ thống, đưa ra các policy sâu như cấm được Skype, Yahoo Messager…

- Extrafirewall Inteligence: Ví dụ cho phép block một user nào đó đăng nhập vào Facebook còn các user còn lại vẫn truy cập được.

- Hỗ trợ update signature liên tục đảm bảo hệ thống luôn được bảo mật.

 Gartner đã đưa ra khái niệm về Firewall và đó là tính năng của các firewall hiện nay, rất nhiều sách tôi đọc thấy chưa hề đưa khái niệm này vào trong khi thực tế đã triển khai rất nhiều hệ thống này.

e. Thiết kế Firewall trong mô hình mạng

Thiết kế firewall phù hợp với hệ thống mạng là rất quan trọng, dưới đây tôi trình bày một số mô hình triển khai firewall:

Router làm chức năng Packet Filter

Page | 62 Copyright by Tocbatdat Firewall áp dụng cho vùng DMZ

Mô hình mạng tích hợp tại một đơn vị (ví dụ)

Page | 63 Copyright by Tocbatdat

Mô hình mạng tích hợp Firewall ví dụ khác

- Trong mô hình này có thiết bị: Firewall, Proxy chuyên dụng của BlueCoat, IPS

Sourcefire, Cân bằng tải cho nhiều đường internet, UTM Firewall cùng nhiều thiết bị và giải pháp bảo mật khác.

Page | 64 Copyright by Tocbatdat

In document I. MỤC ĐÍCH VÀ PHẠM VI TÀI LIỆU 1. Mục đích của tài liệu (Page 58-64)