Đồ án tốt nghiệp Tìm hiểu lý thuyết và xây dựng Firewall trên nền Linux
Theo dõi và ghi chép ( Monitoring and Logging )
tải về 0.55 Mb.
|
- Điều hướng trang này:
- III. Kiến trúc Firewall
- 3.1 Bastion host
- 3.1.1 Những nguyên tắc chính của một Bastion host
- 3.1.2 Các dạng Bastion host
- 2.3.4 Vị trí của Bastion host trên mạng
2.4 Theo dõi và ghi chép ( Monitoring and Logging )Mục đích của theo dõi và ghi chép là giúp người quản trị biết các module trong hệ thống Firewall có hoạt động đúng như mong đợi hay không? Có chắc chắn rằng Packet Filtering lọc các gói tin có tin cậy? NAT có dấu được các địa chỉ IP của các host trong mạng nội bộ không? Proxy ứng dụng có chia rẽ được mạng bên trong cần bảo vệ với mạng bên ngoài không ? Ngoài ra nó còn cho ta biết các kết nối hiện tại trong hệ thống, thông tin về các gói tin bị loại bỏ, máy tính nào đang cố gắng xâm nhập vào hệ thống của ta. Sau đây là bốn lý do để Firewall thực hiện chức năng theo dõi và ghi chép :
III. Kiến trúc FirewallKhi triển khai một Firewall trên một mạng thực tế thì sẽ có rất nhiều cách để xây dựng lên một hệ thống dựa theo các chức năng hay có thể nói là các thành phần cơ bản của một Firewall.Dưới đây chúng ta sẽ tìm hiểu các dạng kiến trúc cơ bản của Firewall là :
Ngoài ra còn một số kiến trúc kết hợp hay biến thể từ các kiến trúc cơ bản trên. 3.1 Bastion hostBastion host của mạng nội bộ là vị trí tiếp xúc với môi trường mạng bên ngoài.Mọi kết nối từ bên ngoài vào và ngược lại đều phải qua Bastion host. Do vậy Bastion host luôn là mục tiêu tấn công số một, và đây được coi là một vị trí sống còn đối với một mạng. Với một hệ thống Firewall không phải chỉ có một Bastion host mà có thể có nhiều Bastion host ở nhiều vị trí khác nhau. Số lượng và vị trí của chúng là tuỳ vào yêu cầu thực tế và mục đích…Bastion host có thể được sử dụng mhư một dạng kiến trúc Firewall. 3.1.1 Những nguyên tắc chính của một Bastion hostCó hai nguyên tắc chính khi thiết kế và xây dựng một Bastion host :
a. Đơn giản Với một Bastion host đơn giản thì việc bảo đảm an toàn cho nó càng dễ. Bất kỳ dịch vụ nào của Bastion host đều có thể tồn tại lỗi phần mềm hay lỗi cấu hình, những lỗi này có thể là nguyên nhân của các vấn đề an ninh. Do đó Bastion host hoạt động với càng ít nhiệm vụ thì càng tốt. Chỉ nên hạn chế một số ít các dịch vụ trên Bastion host đi kèm với cơ chế quyền hạn tối thiểu. b. Luôn trong tình trạng sẵn sàng để Bastion host bị tấn công Bất kì sự bảo vệ nào thì bastion host cũng sẽ có lúc bị tấn công và đổ vỡ. Phải đặt ra tình trạng xấu nhất có thể xảy ra với Bastion host, đồng thời lên kế hoạch để phòng việc này xảy ra. Trong trường hợp Bastion host bị sụp đổ, cần phải có biện pháp để kẻ tấn công không tiếp tục làm hại đến mạng nội bộ bên trong.Một trong các cách là cấu hình cho các host bên trong mạng nội bộ không tin tưởng tuyệt đối vào bastion host. Cần xem xét kĩ tới các dịch vụ mà bastion host cung cấp cho các host trong mạng nội bộ, kiểm tra độ tin cậy và quyền hạn của từng dịch vụ đó. Có nhiều cách để thực hiện điều này, ví dụ như cài đặt bộ lọc gói giữa Bastion host và các host bên trong hoặc cài mật khẩu cho từng host.
- Internal Bastion host a. Nonrouting Dual- honed host Một Nonrouting Dual- honed host có nhiều kết nối mạng đến nhưng không truyền dữ liệu qua các kết nối đó. Bản thân mỗi host loại này cũng có thể là một firewall hoặc một bộ phận của firewall. b. Victim Machine Với một dịch vụ mới mà chúng ta chưa đảm bảo an toàn cho nó, thì việc lựa chọn một Victim Machine là hoàn toàn hợp lý. Không có thông tin gì đặc biệt trên Victim Machine và cũng không có quyền truy nhập các host khác từ Victim Machine. Ta chỉ cung cấp một cách tối thiểu để có thể sử dụng được các dịch vụ mà ta mong muốn trên Victim Machine. Nếu có thể chỉ cung cấp các dịch vụ không an toàn, chưa được kiểm định nhằm ngăn ngừa các tác động bất ngờ. 2.3.4 Vị trí của Bastion host trên mạngBastion host nên được đặt ở vị trí không có các luồng thông tin bí mật. Hầu hết các giao tiếp mạng Ethernet và Token ring có thể hoạt động ở chế độ pha tạp, trong chế độ này chúng có thể bắt tất vả các gói tin trên mạng kết nối với chúng. Một số giao diện mạng khác như FDDI lại không thể bắt được tất cả các gói tin, nhưng tuỳ vào kiến trúc mạng mà chúng có thể bắt được một số gói tin không chỉ định đến. Khả năng này rất hữu ích cho việc phân tích mạng, kiểm tra và gỡ rối.. ví dụ như sử dung chưong trình tcpdump. Nhưng điều này sẽ là nguy hiểm như thế nào nếu kẻ tấn công sử dụng nó vào mục đích rình mò, can thiệp vào các luồng dữ liệu trên mạng. Cần phải sự phòng trường hợp xấu nhất là Bastion host bị tổn thương , trong trường hợp này ta không muốn kẻ tấn công sử dụng Bastion host để can thiệp vào các luồng thông tin. Một trong các phương án giải quyết vấn đề trên là không đặt Bastion host trong mạng nội bộ mà ta đưa nó vào mạng vành đai. Tất cả các luồng thông tin trong mạng nội bộ sẽ chỉ nằm trong mạng nội bộ, không thể quan sát từ phía mạng vành đai. Tất cả các Bastion host trên mạng vành đai chỉ thấy các gói tin từ nó ra Internet và từ Internet vào nó. Sử dụng mạng vành đai kết hợp kết hợp với các router lọc gói giữa chúng và mạng nội bộ sẽ giúp thêm nhiều ưu điểm. Nó hạn chế sự lộ diện của mạng nội bộ với mạng bên ngoài. Hoặc có thể đặt Bastion host tại một vị trí trên mạng ít bị nhòm ngó hơn. Ví dụ : có thể đặt một Bastion trên một hub 10base thông minh, hoặc một Ethernet Switch hay một mạng ATM. Nếu thực hiện theo phương án này thì cần đảm bảo không host nào tin tưởng tuyệt đối vào Bastion host. Tóm lại cách tốt nhất là cô lập Bastion host với mạng nội bộ. Phương án khả thi là đặt nó trên mạng vành đai. Theo cách này mạng nội bộ vẫn được bảo vệ kể cả trong trường hợp Bastion host bị tổn thương.
+ Việc tổn thương của chính các tài khoản này + Việc tổn thương của các dịch vụ phuc vụ cho các tài khoản này + Giảm tính ổn định, tin tưởng của Bastion host + Khó phát hiện kẻ tấn công + Bastion host có thể bị tổn thương chỉ vì sự sơ ý của người nào đó tải về 0.55 Mb. Chia sẻ với bạn bè của bạn:
|