Fire Wall Solutions Final

transcript

עניינים תוכן1. ארגונית – רשת ומתכננים בונים כיצד מאובטחת רשת

מאובטחת :בצורה

כלליים .מושגים

כתובות וחלוקת IP.סגמנטציה

רשת עלי DMZ ? , מהי מגנה הסגמנטציה .וכיצד

לפי הפנימית ברשת כתובות RFC 1819.חלוקת

כתובות תרגום .שימושים, סוגים ( NAT) , מהו

הבחירה "" אל הבחירה המסע אל ". . .". . .המסע

עניינים תוכן

1. מידע אבטחת FireWall -מערכות מערכת FireWallמהי.

ה מערכת של - FireWall.תפקידיה

מערכת ליישום ,חסרונות \ יתרונות FireWall , מתודולוגיותממערכת לצפות ניתן FireWall.מה

2. אבטחה – פתרון בבחירת צרכים ואפיון ניתוח למי מתאים :מה

חומרה תוכנה (Appliance) VS פתרונות פתרונות

ע הפתרון הארגון "התאמת סוג : / SOHO / SMBפ Enterprise

עניינים תוכן1. ה לשוק המובילים הפתרונות SMB / Enterpriseהצגת

Check Point

Cisco PIX

Net Screen

פתרונות מגוון . . .ועוד

כללים מושגים

והיום אז מידע אבטחת . . .פתרונות

QOS VPN FireWallInternal Network

QOS + VPN + FireWallInternal Network

Internet

הארגונית הארגונית הרשת הפשוטההפשוטה הרשת

ה הארגונית , DMZרשת הרשת על מגנה היא ?וכיצד

DMZ - Demilitarized Zone (“ המפורז” האזור ) הארגונית לרשת חיצוני הפנימית (סגמנט ניתוב ) הרשת בעלת

הארגון של החיצונות האינטרנט” (לרשתות לרשת ניתוב כ בד ) ,ה בד DMZברשת ל "נחבר שמספקים השרתים את עולם"כ "

שרתי :כגון,שירותים Web / FTP, שרתיMail / Mail Relay , . .ועוד ,Content Inspectionשרתי

העולם לכלל נגישים מספר , השרתים יתכנו גדולים בארגוניםDMZרשתות

DMZ שפת ב Cisco גם : FTZ – Free Trade Zoneנקרא

RFC - Request for comment’s• RFC - טכניים בדיווחים מתועדים האינטרנט פרוטוקולי

ה , RFCהנקראים באתר אלה תקנים לקרוא ניתן Web שלIETF (Internet Engineering Task Force)ארגון

באתרים חיפוש לבצע מאד www.Google.com :מומלץhttp://www.rfc-editor.org http://www.ietf.org

Class First Byte Range

Decimal Format

Binary Format

A 1-127 10.1.1.13 00001010.00000001.00000001.00001101

B 128-191 130.14.1.2 10000010.00001110.00000001.00000010

C 192-223 204.30.13.45 11001100.00011110.00001101.00101101

3 main classes of IP addresses: A, B and C:• A class address: 1-126

127 networks, ~16M hosts/network• B class address: 128 - 191

16,000 networks, 65,532 hosts/network• C class address: 192 - 223

~2M networks, 254 hosts/network• D class address: 224 – 241 (Multi Cast)• E class address: 242 – 255 (Testing)

כתובות האינטרנט IPחלוקת ברשת

RFC 1918 כתובות של של קבוצות מספר מגדיר IP שמורותכתובות לחלוקת ארגונית IPהמיועדות הפנים .ברשת

1 Class A Network Number: 10.0.0.0 - 10.255.255.255

16 Class B Network Numbers: 172.16.0.0 - 172.31.255.255

256 Class C Network Numbers: 192.168.0.0 - 192.168.255.255

לפי הפנימית ברשת כתובות RFC 1918חלוקת

ע המוגדרות פ “הכתובות RFC 1918 , האינטרנט ברשת ניתוב בעלות אינן

Network Address Translation - NAT

שימושים: מידע ה - אבטחת כתובות גילוי .שלי LANמניעת תפעולית בכתובות - סיבה .חוקיותIP חוסר

יישוםNAT ל שיטות3 מתחלק : כתובות ).סוגים- Static NAT ( 2 תרגום כתובות Hide NAT ( -.(Dynamic NAT הסתרת

How FireWall-1 Reads IP Addresses

NAT Modes• Static Source Mode

כתובת מ כתובת IPתרגום ל הפנימית מהרשת חוקית חוקית IPלאהחיצונית , לרשת האינטרנט (ביציאה רשת .(

• Static Destination Modeכתובת מ כתובת IPתרגום ל הפנימית IPחוקית ברשת חוקית ,לא

הפנימית לרשת החיצונית מהרשת .בכניסה• Hide Mode

כתובות קבוצת מאחורי IPמסתיר הפנימית מהרשת חוקיות לא) IPכתובת מ , חוקית ) אחת וגישה ניתוב הרשת \ בעלת ואל

.החיצונית

Static Source Mode

כתובת מ כתובת IPתרגום ל הפנימית מהרשת חוקית לרשת , חוקית IPלא ביציאההאינטרנט (החיצונית רשת .(

Static Source NAT

Address Translation Using Static Source Mode

Static Destination Mode

כתובת מ כתובת IPתרגום ל הפנימית IPחוקית ברשת חוקית בכניסה, לאהפנימית לרשת החיצונית .מהרשת

Address Translation Using Static Destination Mode

Hide Mode\ Hidden Nat \ Dynamic Mode

כתובות קבוצת כתובת IPמסתיר מאחורי הפנימית מהרשת חוקיות IPלא( מ , חוקית ) אחת וגישה ניתוב החיצונית \ בעלת הרשת ואל .

Dynamic NAT

Hide Mode Address Translation

Static NAT - כתובות תרגום

כתובת אחרת IPתרגום לכתובת .אחת ה כתובות בין הוא IPהיחס המתורגמת הכתובת לבין

הצלבה של יחס IP <=> IP Translation

חוזר ניתוב בעלת להיות צריכה הכתובת Static NAT מ אפשרויות2 בנוי :

Src-Static - מקור Dst-Static - יעד

Hide NAT – Dynamic NAT כתובות הסתרת

של Many To One : IP X1…Xn==> IPיחס ההסתרה חוזר כתובת ניתוב בעלת להיות צריכה

שמחיבות : חיסרון מערכות יש Static IP תקין באופן לעבוד .כדי הגבלה: Hide Mode (Dynamic NAT) עם עובד לא

ה של דינמי בשינוי תומכים שאינם .Number Port -פרוטוקולים הExternal Interface ה להיות FWשל המועדף הוא

ההסתרה את לבצע ” ,הכתובת ונגישה מנותבת כ בד הכתובת . ההסתרה לביצוע דינמית כתובת להגדיר 0.0.0.0ניתן

Applying Hide NAT on Check Point NG

Applying Static NAT on Check Point NG

Applying Dynamic NAT on Cisco Pix

בין שמחבר יותר 2 התקן או מידניות ) פנימית\ חיצונית ( רשתות אכיפת כדי תוךמידע אבטחת

בכלל זה מה בכלל אז זה מה ? FireWall ?FireWallאז

מאיזה חשיבות המידע Interfaceאין ה , מגיע FW מפעילללא דרכו שעובר המידע על החוקים מערכת את ובודק

המקור מהו חיצוני (התייחסות או פנימי .(

בכלל זה מה ? FireWallאז

What a Firewall Cannot Protect

Against malicious authorized users

Against connections that don’t go through it

100% against all threats*

A firewall is only as effective as the security policy it supports

and the networks it protects.

* New ways to break through networks are continually developed. To combat this, Check Point continually develops and distributes new methods of protection against unauthorized access to your network.

Firewall Cannot ... תוכן לבדוק יכול ה , לא את רק לבדוק יכול Header הפאקט של

מוגבלות FW-1ל ) הם אך תוכן לבדיקת אפשרויות ).יש ב לו רשום שלא מה לאכוף יכול .Rule Baseלא

לו ידועים שלא בפרוטוקולים שימוש כנגד להגן יכול .לא ” מבפנים “ אידיוטים כנגד להגן יכול .לא

חדשים שלו FW -איומים ההתקנה לזמן לבצע , טוב חייביםהמערכת לגרסת שוטפים יישום , עדכונים של תקופתיות ובדיקות

החוקים .מערכת

Firewall Can ...

רשתות .לחבר הארגון של המידע אבטחת מידניות את לאכוףהפנימית התקשורת לקישור חיצונית\ ביחס . היוצאת הרשת תעבורת על נכנסת\ בקרה .

העולם כלפי הפנימיות הרשתות של החשיפה .הגבלת

TCP/IP Stack - OSI Module

ה ברמת Portזיהוי

ה ברמת IPזיהוי

האפליקציה ברמת \זיהויההצפנה

ה ברמת Session IDזיהוי

אבטחה מנגנוני של מודלים

Packet Filtering (Network Level (ACL on router

Application Layer Gateway(Application Level (Proxy Server

Stateful InspectionBefore Network Level

Packet Filtering Path in the OSI Model

פאקטים שרשומים ” , מסנן נתונים אותם פ ע החלטות לקבל יודעה ברמת עצמו IP: Sou, Des, Tcp/Udp des/sou, Port #, Icmp -בפאקט

ל הזהה Routerב Access Listיישום

של ליישום בנתב Access Listדוגמא

access-list 102 permit tcp any any establishedaccess-list 102 permit icmp any anyaccess-list 102 permit tcp any any eq smtpaccess-list 102 permit tcp any any eq pop3access-list 102 permit tcp any any gt 1023access-list 102 permit udp any any gt 1023access-list 102 permit tcp host 192.116.132.2 any eq telnetaccess-list 102 permit tcp host 192.116.132.3 any eq telnetaccess-list 102 permit tcp host 194.90.10.10 any eq telnet

Packet Filter FTP Example

ליישום Packet Filteringיתרונות

בחינם (זול תוכנות מספר יש .(למשתמש .שקוף

דברים - נתב למספר אותי משמש .טובים ) - חומרה(נתב יותר ביצועיים .

קלה , אמינות שוטפת תחזוקה .

Application

Presentation

Session

Transport

Network

Data Link

Physical

ליישום Packet Filteringחסרונות

נמוכה ברמה .אבטחהכל לגלות " מוצר"לא יודע IP Spoofing.ליישם ניתן .SecurityContent לא

אחרי תמה ” ההגנה הרשת “ שכבת . חומרה של שידרוג - במקרה לבצע ניתן לא .

ולהגדיר ליישם .Access Listקשהטובים שהגדרתי החוקים אם לבדוק .קשה

LOG - מלא תמיד לא הלוג .קובץלהתקפות יותר . D.O.S פגיע

High Port - מעל פורטים על שליטה לי 1024.אין

Application

Presentation

Session

Transport

Network

Data Link

Physical

Application Layer Gateway (Proxy)Application Layer Gateway (Proxy)

Application Layer Gateway (Proxy)

Web Server

ServerClient

Client

Proxy Server

ליישום Application Layer Gatewayיתרונות

גבוה ברמה .אבטחהCache ( סטטי\ דינמי .(

פאקטים של מעבר אין . נופלהאפליקציה לשכבת מלאה .מודעות

.? -מחיר

Application

Presentation

Session

Transport

Network

Data Link

Physical

ליישום Application Layer Gatewayחסרונות

Overhead גדול .חומרה : ביצועים מעבד ,זיכרון" (חזקה"דרושה ,

HDD ).• בפרוטוקולים בתמיכה בהגדרת ( מוגבל גמיש לא

חדשים ).פרוטוקולים• חדשות בד \ אפליקציות מוכרות לא "לא כ

.נתמכות למשתמש שקוף ה - לא ישומי רוב Proxy -

התקנת . Agentדורשים

? -מחיר

Application

Presentation

Session

Transport

Network

Data Link

Physical

Check Point VPN-1/FireWall-1 Enforcement Module

Statetfull InspectionStatetfull Inspection

Statetfull Inspectionעובד זה עובד איך זה ??איך

שניהם של :שילובהאפליקציה ברמת ה + בדיקה ברמת בדיקה ACL

יתרונות: החוקים במערכת האבטחה רמת ויסות .יכולת ה ויסות במערכת - overheadיכולת .הנוצר

התקשורת של דינמית פעולות טבלה שומרת המערכתיוזמים , ( sou,des,port-sou,port-des )שיזמנו כאשר

תשובה ומקבלת נבדקת , תקשורת המקור אמינותמאושר , בטבלה הקשר תקין הכל אם .

Benefits of Stateful Inspection

• ביותר הגבוה ברמה .אבטחה

• גבוהים גבוה + ביצועים וויסות סינון יכולת .• האפליקציה לשכבת מלאה .מודעות

• שידרוג במוצר (יכולת תלוי . (• חוקים בהגדרת מלאה .גמישות

• פרוטוקולים בהגדרת מלאה חדשות \ גמישות אפליקציות .• למשתמש .שקוף

Check point FireWall-1 Inspect Engine

Located in the Kernel Module

Accepts, Rejects or Drops Packets•Rejects -> Connection Refuse•Drop -> No Answer, Connection Time Out

Saves system processing time and resources

Inspection Engine Inspects Packets

• The Inspection Engine in the kernel module inspects the packets by accessing its rule base

Allow, Drop or Reject Packets

• If packets do not pass inspection, they are rejected, or dropped, according to the rule base.

VPN-1/FireWall-1 NG Enforcement Module

INSPECT Engine Flow

למי מתאים ? מהאבטחה פתרון בבחירת צרכים ואפיון ניתוח

חומרה תוכנה VS (Appliance)פתרונות פתרונות

חומרה :יתרונות - (Appliance)פתרונותטובים מערכת .ביצועיגבוה \אמינות שרידות .

בד – גבוה מוכרת "אבטחה לא הפעלה מערכת כ .לבצע – צורך אין גובה .Host Securityאבטחה

ההפעלה למערכת שוטפת בתחזוקה צורך .איןמהירים \ גיבוי שיחזור .

חומרה לרכוש צורך ייעודי - אין שרת .הפעלה למערכת תוכנה רשיון לרכוש צורך .אין

משולבות מערכות נתב קיימות + FireWall.בחיבור בניהול .Consoleתמיכה

חומרה :חסרונות - (Appliance)פתרונותסגורה • מערכת "בד: מערכת בהגדרות שינויים לבצע ניתן לא כ

.ההפעלה שידרוג "בד: חומרה • לבצע ניתן לא כ .

רשת • הרשת "בד: כרטיסי כרטיסי במספר מוגבל כ .לוג "בד: לוגים • קובצי לשמירת מצומצם מקום מוקצה כ .

חריגות \ תמיכה • בתמיכה : תקלות הפעלה "בד, קושי מערכת כמוכרת .לא

מרחוק • מסך : ניהול לחבר ניתן ישירות + לא מקלדת .הפתרון : מחיר • במחיר נכללת החומרה .

חומרה • אחריות

תוכנה חסרונות- פתרונות : ארוך התקנה המערכות ( תהליך בכל לא .(

לבצע המערכות ) Host Securityצריך בכל ).לאלבצע צורך ההפעלה קיים למערכת שוטפת תחזוקה .

בד המערכת לכלל מלא שיחזור וארוך "תהליך מסובך כ .ייעודי - חומרה המערכות ( שרת בכל לא .(

הפעלה למערכת תוכנה רשיון המערכות ( דורש בכל לא .(

תוכנה יתרונות- פתרונות : פתוחה • מערכת "בד: מערכת בהגדרות שינויים לבצע ניתן כ

ה \ ההפעלה מערכת לגרסת עדכונים FireWall.החומרה "בד: חומרה • את לשדרג ניתן כ .

רשת • הרשת : כרטיסי כרטיסי במספר מוגבל לא .לוג : לוגים • קובצי לשמירת מקום הגבלת אין .

חריגות \ תמיכה • מוכרות "בד: תקלות הפעלה מערכת כ .מקומי • מסך : ניהול לחבר לשרת + ניתן ישירות מקלדת .

חומרה • ב : מחיר להסתפק ניתן לעיתים אך בפתרון תחנת "תלויחזקה" עבודה .

ע הפתרון הארגון "התאמת סוג פ

SOHO - Small Office - Home Office

הביתי למשתמש קטן \ פתרונות .משרד

משתמשים : 5 \ 10 \ 15 \ 25מספר

כעד "בד המוגבלים פתרונות רשת - 2 כ אין "בד(כרטיסי כ

ל רשת ).DMZכרטיס

גודל : מחיר 200$ - 1,200 $סדר

SMB - Small \ Medium Business

הקטן למשרד .בנוני\ פתרונות

משתמשים IP.: 25 \ 50 \ 100כתובות \ מספר

כעד "בד המוגבלים פתרונות רשת -3 כ .כרטיסי

:מחיר

Solutions / ISP Solutions Enterprise

גדולות לחברות .פתרונות

משתמשים .IP : 100 \ 250 \Unlimitedכתובות \ מספר

ב "בד התומכים פתרונות .High Availabilityכ

של : מחיר גודל ).ומעלה$ (20,000 $ - 4,500סדרי

http://www.icsalabs.com/index.shtml

SOHO / SMB / Enterprise

חברות פתרונות\ מוצרים \ הצגת

ZyWall 10 / ZyWall 50

ZyWall 100

http://www.zywall.com

•Packet Filter •Stateful Packet Inspection

SofaWare – S-Box Safe@Office

http://www.sofaware.com

• Check Point Stateful Inspection

http://www.sonicwall.com/products/demo/index.html

Sonic WALL SOHO 3Sonic WALL PRO 100

Sonic WALL TELE3 TZX

•stateful packet firewall

Check Point - Intrusion.Com

WebUI (HTTP/HTTPS)

Router-Based Firewall Functionality — Available on a wide range of Cisco IOS-based routers, the Cisco IOS Firewall offers sophisticated security and policy enforcement for connections within an organization (intranet) and between partner networks (extranets), as well as for securing Internet connectivity for remote and branch offices.

Cisco IOS Firewall

Cisco Pix FireWall

Cisco PIX® Device Manager

Check Point – FireWall-1מוצר מוצר גרסאות ::גרסאות

1.0 \ 1.1גרסה :19932.5גרסה 3.0גרסה 4.0גרסה :19984.1גרסה :1999

2000: Check Point 2000 - FireWall-1 4.1 sp 12000: FireWall-1 4.1 sp 22001: FireWall-1 4.1 sp 3

2001:/ 5 FireWall-1 4.1 sp 42002: FireWall-1 4.1 sp 6

2002: FireWall-1 N.G (Next Generation)

בישראל 80% מהשוקה 60% בעולם VPNמפתרונות

Check Point – FireWall-1

ה מערכת של תוכנה :NGגרסאות2. Check Point NG (not release for public)

3. Check Point NG HP-1 (Hot Fix 1)4. Check Point NG HP-2 (Hot Fix 2)

5. Check Point NG FP-1 (Feature Pack 1)6. Check Point NG FP-2 (Feature Pack 2)7. Check Point NG FP-3 (Feature Pack 3)

פלטפורמות איזה להתקין \ על ניתן הפעלה מערכות Check Point (רשימה):חלקית

Software (NG FP-3) Windows NT Server / 2000 Server Sun Solaris Linux (Red Hat) Secure Platform

Hardware: • Nokia (free BSD )• Intrusion.com (Linux – Red Hat)• Nortel (Alteon Switched Firewall)• VPN Dynamics• Compaq / IBM • SofaWare (S-Box)

Check Point - Secure Platform

ה מערכת , Secure Platform FP-3מערכת מערכת FireWall-1/VPN-1הינה גבי על המותקנת מלאהה Linux Red hat 7.3הפעלה מערכת את חברת FireWall-1וכוללת של ביותר והמתקדמת העדכנית

Check Point ה 3- מערכת -Next Generation Feature Pack.

ע במיוחד והותאמה פותחה ההפעלה י "מערכת Check Point ה מערכת ,שלה FireWall-1/VPN-1עבורביותר "ע גבוהה אבטחה ורמת משופרים הפעלה מערכת ביצועי להשיג מ .

שוטף באופן ההפעלה מערכת של ופשוט קל ניהול המאפשרת משוכללת תפריטים מערכת כוללת גם(המערכתלינוקס מבוססת הפעלה במערכות רקע ).לחסרי

ע מתבצעת במערכת החוקים של "הגדרת הרגילים הניהול כלי י CP FireWall-1 FP-3.

כדוגמת ומשופרות חדשות אבטחה יכולות שולבו ב : במערכת התומכת מתקדמת קבצים מערכת -Journaled File System , ע מרוחק י "ניהול SSH , לגיבוי מהירים \אפשרות מערכת שיחזור .

Check Point - Secure Platform

מערכת להטמיע כשרוצים בודקים FireWallמה

פתרון ראשונית :עלות ע , עלות כתובת "תמחור פ IP אוConcurrent Session.

שנתית חומרה אחריות מאוד ( עלות של !!! חשוב במקרה Appliance).

גרסאות חידוש שנתיים \ עלות עדכונים .

שוטפות ) TCOעלויות שנתיות תחזוקה ).עלויות

טכנית תמיכה תומך (עלות המוצר ? , מי כמה בארץ" מוכר"עד .(

שידרוג – לבצע ניתן האם רשת \ שינויים \ חומרה כרטיסי הוספת ?.

מיוחדת תכונות וכדומה , VPN Module ): עלות אוטינטיקציה מערכות עם .)שילוב

כספיים שיקולים

טכנולוגיים שיקוליםהטכנולוגי והסמכות (הפתרון תקן גופי בדיקת .(

חוקים בהגדרת הפתרון וכו \ גמישות חדשים פרוטוקולים ...

חיצוניות למערכות לוגים ( חיבור מערכות \אוטינטיקציה \ ניתוח PKI \

( Content Securityמערכות

בהצפנה VPN ( / Remote Access – Client To GateWay \תמיכה

GateWay to GateWay)

ה מערכת מוצפן\הצפוי רגיל Throughput-ה ) FireWallביצועי .(

ואחרים טכנולוגים שיקולים

שליטה – כלי מרוחק ובקרה, ניהול ,ניהול :(SSH/Telnet / Web Base / CLI / Console Gui Client /).

מקומי מסך \ Console)ניהול לחבר ניתן מקלדת + האם ? ).

שוטף המוצר : ניהול את לנהל קל כמה ניסיון ? (עד לחסרי .(

מוכרת ההפעלה מערכת לתפעול \ האם קלה .

מרכזית ניהול מערכת קיימת .האם

המוצר הגדרת לגבי תיעוד קיים אינטרנט(תחזוקה + האם .(

הדרכה קורסי קיימים רשמיים \ האם הסמכה .

ואחרים טכנולוגים שיקולים

חומרה – גבוהה בשרידות חומרה (תמיכה תוכנה\ ברמת .(

ב פנימית ) High Availabilityתמיכה חיצונית \ תוכנה מערכת .(

הקצה למשתמש הארגון \ שקיפות ברשתות הטמעה .

Fire Wall Solutions Final

Documents