Despre FireWall

Ditzy · Trimis: 02/12/2007 13:42 Titlul subiectului: Despre FireWall

Firewall - "Zid de foc" sau "Paravan de protecþie"

Generalitãþi/Definiþii

Un paravan de protecþie poate þine la distanþã traficul Internet cu intenþii rele, de exemplu hackerii, viermii ºi anumite tipuri de viruºi, cândva ca aceºtia sã punã nereguli sistemului. În plus, un paravan de protecþie poate evita participarea computerului la un atac contra altora, fãrã cunoºtinþa dvs. întrebuințarea unui paravan de protecþie este importantã în aparte dacã sunteþi conectat în permanenþã la Internet.

Un firewall este o aplicaþie sau un echipament hardware care monitorizeazã ºi filtreazã permanent transmisiile de date realizate între PC sau reþeaua localã ºi Internet, în scopul implementãrii unei "politici" de filtrare. Aceastã politicã poate însemna:
protejarea resurselor reþelei de restul utilizatorilor din alte reþele similare – Internetul -> sunt identificaþi posibilii "musafiri" nepoftiþi, atacurile lor asupra PC-ului sau reþelei locale putând fi oprite.
Controlul resurselor pe care le vor accesa utilizatorii locali.

Cum funcþioneazã?

De fapt, un firewall, lucreazã îndeaproape cu un program de routare, examineazã fiecare colet de date din reþea (fie cea localã sau cea exterioarã) ce va trece prin serverul gateway pentru a determina dacã va fi trimis mai departe spre destinaþie. Un firewall include de întocmai sau lucreazã împreunã cu un server proxy care face cereri de pachete în numele staþiilor de lucru ale utilizatorilor. În cele mai întâlnite cazuri aceste programe de protecþie sunt instalate pe calculatoare ce îndeplinesc numai aceastã funcþie ºi sunt instalate în faþa routerelor.

Soluþiile firewall se împart în douã mari categorii: întâia este reprezentatã de soluþiile profesionale hardware sau software dedicate protecþiei întregului trafic dintre reþeaua unei întreprinderi (instituþii -> ex.: Universitatea "Alexandru Ioan Cuza", Iaºi) ºi Internet; iar cea de a doua categorie este reprezentatã de firewall-urile personale dedicate monitorizãrii traficului pe calculatorul personal.
Utilizând o aplicaþie din ce-a de a doua categorie veþi putea preîntâmpina atacurile colegilor lipsiþi de fair-play care încearcã sã acceseze prin mijloace mai mult sau mai puþin ortodoxe resurse de pe PC-ul dumneavoastrã. În situaþia în care dispuneþi pe calculatorul de acasã de o conexiune la Internet, un firewall personal vã va dărui un plus de siguranþã transmisiilor de date. Cum astãzi majoritatea utilizatorilor tind sã schimbe clasica conexiune dial-up cu modalitãþi de conectare mai eficiente (cablu, ISDN, xDSL sau telefon mobil), pericolul unor atacuri reuºite asupra sistemului dumneavoastrã creºte. Astfel, mãrirea lãrgimii de bandã a conexiunii la Internet faciliteazã probabilitatea de "strecurare" a intruºilor nedoriþi.

Astfel, un firewall este folosit pentru douã scopuri:
pentru a pãstra în afara reþelei utilizatorii rãu intenþionati (viruºi, viermi cybernetici, hackeri, crackeri)
pentru a pãstra utilizatorii locali (angajaþii, clienþii) în reþea

Politica Firewall-ului

Înainte de a construi un firewall trebuie hotãrâtã politica sa, pentru a ºti care va fi funcþia sa ºi în ce fel se va implementa aceastã funcþie.

Politica firewall-ului se poate alege urmând câþiva paºi simpli:
alege ce servicii va deservi firewall-ul
desemneazã grupuri de utilizatori care vor fi protejaþi
defineºte ce fel de protecþie are nevoie fiecare grup de utilizatori
pentru serviciul fiecãrui grup descrie cum acesta va fi protejat
scrie o declaraþie prin care oricare alte variante de access sunt o ilegalitate

Politica va ajunge tot mai complicatã cu timpul, dar deocamdatã este bine sã fie simplã ºi la obiect.

Clasificãri

Firewallurile pot fi clasificate dupã:
Layerul (stratul) din stiva de reþea la care opereazã
Modul de implementare

În funcþie de layerul din stiva TCP/IP (sau OSI) la care opereazã, firewall-urile pot fi:
Layer 2 (MAC) ºi 3 (datagram): packet filtering.
Layer 4 (transport): tot packet filtering, dar se poate diferenþia între protocoalele de transport ºi existã opþiunea de "stateful firewall", în care sistemul ºtie în absolut orice moment care sunt principalele caracteristici ale urmãtorului pachet aºteptat, evitând astfel o întreagã clasã de atacuri
Layer 5 (application): application level firewall (existã mai numeroase denumiri). În general se comportã ca un server proxy pentru diferite protocoale, analizând ºi luând decizii pe baza cunoºtinþelor despre aplicaþii ºi a conþinutului conexiunilor. De exemplu, un server SMTP cu antivirus poate fi considerat application firewall pentru email.

Deºi nu este o distincþie prea corectã, firewallurile se pot împãrþi în douã mari categorii, în funcþie de modul de implementare:
dedicate, în care dispozitivul care ruleazã software-ul de filtrare este dedicat acestei operaþiuni ºi este practic "inserat" în reþea (de obicei chiar dupã router). Are avantajul unei securitãþi sporite.
combinate cu alte facilitãþi de networking. De exemplu, routerul poate servi ºi pe post de firewall, iar în cazul reþelelor mici acelaºi calculator poate juca în acelaþi timp rolul de firewall, router, file/print server, etc.

Ce "poate" ºi ce "nu poate" sã facã un firewall?

Un firewall poate sã:
- monitorizeze cãile de pãtrundere în reþeaua privatã, permiþând în felul acesta o mai bunã monitorizare a traficului ºi deci o mai uºoarã detectare a încercãrilor de infiltrare;
- blocheze la un moment dat traficul în ºi dinspre Internet;
- selecteze accesul în spaþiul privat pe baza informaþiilor conþinute în pachete.
- permitã sau interzicã accesul la reþeaua publicã, de pe anumite staþii specificate;
- ºi nu în cele din urmã, poate izola spaþiul privat de cel public ºi realiza interfaþa între cele douã.

De asemeni, o aplicaþie firewall nu poate:
- interzice importul/exportul de informaþii dãunãtoare vehiculate ca urmare a acþiunii rãutãcioase a unor utilizatori aparþinând spaþiului privat (ex: cãsuþa poºtalã ºi ataºamentele);
- interzice scurgerea de informaþii de pe alte cãi care ocolesc firewall-ul (acces prin dial-up ce nu trece prin router);
- apãra reþeaua privatã de utilizatorii ce folosesc sisteme fizice mobile de introducere a datelor în reþea (USB Stick, dischetã, CD, etc.)
- preveni manifestarea erorilor de proiectare ale aplicaþiilor ce realizeazã diverse servicii, precum ºi punctele slabe ce decurg din exploatarea acestor greºeli.

Later Edit :
Cum alegem firewall-ul potrivit?

Cum alegem un firewall care sa raspunda necesitatilor de securitate pe care le avem? Ce criterii trebuie sa luam in considerare atunci cand achizitionam un Firewall? Acestea sunt intrebarile carora incercam sa le gasim raspunsurile in acest articol.

In conditiile ostilitatii manisfestate in prezent pe Internet, fiecare utilizator, indiferent de marimea sa, ar necesită sa analizeze optiunea de a-si securiza corespunzator reteaua interna. Selectarea firewall-ului optim se poate dovedi a fi suficient de dificil. Piata ofera astfel de articole din abundenta la costuri teribil de diversificate: firewall software, firewall hardware, "personal" firewall, enterprise firewall - de unde incepi evaluarea a ceea ce ai nevoie?

Securitate ancestrala
Computerele si retelele de calculatoare au evoluat drastic in ultimii ani, iar pentru a tine pasul si tehnologia firewall-ului s-a adaptat acestor necesitati crescute de securitate pe care le manifesta piata astazi.
Firewall-ul traditional avea o destinatie îndeajuns de simpla: sa filtreze pachetele sosite si destul de rar cele care ieseau din retea catre mulțimea Internetului, bazandu-se pe informatiile aflate pe Layer 3 si 4 (IP, TCP, UDP, ICMP). Decizia de acceptare a unui pachet sau de rejectare era luata in functie de adresa sursei sau a destinatarului sau de numarul portului.
Pe masura cresterii numarului de atacuri, dar mai ales a complexitatii acestora, firewall-ul a trebuit sa asigure protectia pe mai multe nivele ale protocoalelor (DNS, SMTP, POP3 etc. ). Cele mai multe dintre firewall-urile de prim rang dispun de ALF (Application Layer Filtering). ALF îngăduie securizarea nivelurilor aplicatiilor, filtrarea SPAM si a virusilor, precum si blocarea continutului site-urilor pe criteriul continutului mai mult decat al adresei IP.
Firewall-ul de astazi este mai mult decat o santinela la portile retelei dumneavoastra. Producatorii le-au adaugat facilitate care nu se rezuma la functia lor de baza, cum ar fi, de exemplu, VPN gateway Web Caching.
Aproape toate firewall-urile moderne suporta tehnologia VPN, altele dispun de caching Web incorporat pentru a mari viteza sau dispun de module facultative pentru aceasta optiune. Astfel cei mai multi dintre producatori au denumit firewall drept un ã"rodus multifunctional de securitate".

Firewall-ul personal vs. firewall-ul de retea
Firewall-ul personal in comparatie cu cel de retea este simplu, are costuri reduse si protejeaza un singur computer. Acest tip de firewall include Zone Alarm, Norton personal firewall si Internet Connection Firewall (ICI) livrat impreuna cu Windows XP. Firewall-urile de retea pot proteja mai multe computere, insa in orice caz nu toate firewall-urile de retea sunt făcute la fel. Unele sunt simple echipamente sau programe, care costa putin mai mult decat un firewall personal.
Multe echipamente DSL sau routere includ implicit digitalizare firewall. Firewall-urile de retea simple filtreaza pachetele de date, dar in mod uzual nu fac mai mult
de atat.
Firewall-urile enterprise sunt fabricate pentru retele mari si complexe. Acestea pot gestiona o retea cu foarte multi utilizatori, lucrand repede si avand facilitati avansate:
- incorporeaza un gateway VPN;
- au abilitatea de a gestiona mai multe firewall-uri;
- mecanisme sofisticate de monitorizare si raportare;
- pot fi extinse prin adaugarea unor module noi;
- posibilitatea de a crea politici diferite de control al accesului pentru fiecare utilizator;
- multiple metode de autentificare.

Firewall-ul hardware vs. firewall-ul software
Toate firewall-urile au la baza un software, iar acest soft ruleaza pe o configuratie hardware. Insa termenii de firewall hardware sau software sunt utilizati pentru a distinge intre cele doua produse, si anume: echipamentele hardware dedicate si articolele software care se instaleaza pe sistemele de operare ca, de exemplu, Windows sau UNIX.
Firewall-urile hardware pot fi divizate in: cele destinate exclusiv PC-urilor si cele de sine statatoare construite pe arhitectura ASIC (Application Specific Integrated Circuit).
Firewall-urile ASIC sunt, in general, mai rapide si nu depind de un hard disc (ca in cazul PC-urilor), un echipament cu elemente mecanice supuse degradarii.
Firewall-urile software includ Microsoft ISA Server, CheckPoint FW-1 si Symantec Enterprise Firewall, ca de pildă si alte firewall-uri enterprise sau personale.
Microsoft ISA Server ruleaza pe Windows 2000/2003, iar CheckPoint ruleaza pe Windows NT/2000/Solaris/Linux/AIX, ca de exemplu si pe sisteme de operare proprietare. Symantec Enterprise Firewall ruleaza pe Windows si Solaris.
Firewall-urile hardware includ Cisco PIX, Nokia (care ruleaza CheckPoint pe sistemul de operare IPSO), SonicWall, Netscreen de la Juniper Networks si seria 5400 de la Symantec. Adesea, firewall-urile hardware sunt promovate mai mult căci utilizatorul nu este nevoit sa instaleze un software si nu implica conflicte sau probleme de configurari.
Aceste echipamente ruleaza sisteme de operare proprietare care prezinta atuul securitatii fiindcă sistemul de operare este implementat in partea harware. Un dezavantaj al lor este totusi acela ca nu dispun de
flexibilitate in afara limitelor oferite de producator.
De exemplu, utilizatorul este obligat sa se limiteze la numarul de interfete de retea oferite de producator. In cazul unui firewall software, utilizatorul poate adauga interfete de retea masinii pe care acesta ruleaza, sporind astfel posibilitatile de conectare.
De asemenea, poti face un upgrade PC-ului pe care ruleaza sau poti face update firewall-ului de pe site-ul producatorului.

C apabilitati importante ale firewall-ului
De cele mai multe ori este trebuință de mai mult decat un firewall de retea, insa daca furnizorul de servicii Internet (ISP) nu ofera unul, vei fi obligat sa-l achizitionezi.
In cazul in care doresti sa-ti achizitionezi un firewall, trebuie sa tii cont de urmatoarele:
- Arhitectura: in functie de ceea ce iti doresti, poti opta pentru un firewall software sau pentru o solutie dedicata;
- Cat de multe sesiuni doresti sa rulezi?
- Cate tunele VPN ai nevoie sa rulezi?
- Ce protocol VPN doresti sa utilizezi (IPSec, PPTP, L2TP)?
- Doresti sa integrezi un firewall cu un server Exchange sau SharePoint?
- Ce modalitate de accesare pentru administrare preferi: prin linie de comanda (CLI), consola grafica de management sau prin interfata Web?
- Doresti sa administrezi firewall-ul via TELNET, SSH, SNMP?
- Doresti sa centralizezi administrarea mai multor firewall-uri?
Nu exista un firewall perfect. Anumite produse pot parea stranii sau au vulnerabilitati, iar dupa ce ai evaluat necesitatile si ai decis care capabilitati sunt mai importante pentru companie, trebuie sa acorzi atentie sporita comparatiei specificatiilor tehnice ale diferitelor produse firewall pentru a alege solutia optima. Astfel foarte multi administratori de retea nu agreeaza interfata Web, preferand administrarea prin linie de comanda. Daca nu esti obisnuit sa folosesti linia de comanda, acesta poate fi un factor decisiv in alegereea ta. Firewall-ul SonicWall ofera avantajul costului in comparatie cu alti producatori. Dar suporta mai putine tunele VPN in comparatie cu alte produse similare.

A i nevoie de capabilitati extinse?
Cateva optiuni in plus vor conduce la costuri suplimentare. Astfel daca ai nevoie sa achizitionezi o extra-licenta pentru a putea folosi criptare 3DES, va fi nevoie sa platesti in plus. Anumite optiuni sunt incluse in costul standard al echipamentului. De exemplu, "Web chaching" este inclus in varianta standard a lui Microsoft ISA Server, poate fi adaugat la CheckPoint FW-1 si trebuie cumparat suplimentar la Cisco PIX.
Optiunile pentru care trebuie sa platesti in plus sunt:
- Web chaching;
- Managent centralizat si raportare;
- Filtrare SPAM;
- Disponibilitate inalta;
- Vizualizare a adreselor URL;
- Antivirus.
Anumite firewall-uri includ aceste capabilitati: de exemplu, consola de management a serverului ISA poate fi utilizata pentru administrarea centralizata a tuturor serverelor ISA din retea. In functie de ALF (Application Layer Filtering) pot fi utilizate (desi rudimentar) ca anti-SPAM. Performantele sunt importante intr-o retea unde utilizatorii sunt dependenti de accesul fără întârziere la resursele acesteia. Un firewall se poate situa intre 150 Mbps pana la peste 1 Gbps.
Cateva consideratii distincte decid folosirea firewall-urilor particulare, de exemplu: nici un produs nu integreaza protectia serverului Exchange si OWA (Outlook Web Access) in afara de ISA Server. De asemenea, ISA Server este conceput pentru a lucra cu SPS (SharePoint Porta Server). Daca doresti protejarea serverului Exchange si SPS, logic ca prima alegere va fi un firewall ISA.

E ste important costul?
Cand comparam costurile diferitelor firewall-uri este recomandat sa tinem cont de extraperformantele de care avem nevoie in momentul implementarii si integrarii lui in retea. Daca nu avem nevoie de Web caching, putem achizitiona un firewall cu un pret mai scazut sau putem opta pentru un PC pe care ruleaza Windows Server si pe care sa instalam ISA Server.
In cazul in care intre timp apare necesitatea extraoptiunii de Web caching, vom putea instala aceasta optiune ulterior.
O solutie firewall care pare a avea un cost
standard destul de ridicat nu trebuie pur si necomplicat
ocolit cu vederea. Acesta poate oferi toate optiunile
de care are nevoie reteaua companiei tale si chiar unele in plus.
Astfel este bine sa ne trecem in revista tot ceea ce avem nevoie de la firewall nu numai in momentul actual, ci si in viitor, in eventualitatea unui upgrade al retelei si al cresterii numarului de utilizatori. Astfel, nu trebuie sa ne bucuram daca am achizitionat o varianta ieftina daca in numai 6 - 12 luni vom fi nevoiti sa o upgradam sau chiar sa o inlocuim.
Achizitionand un firewall pentru compania ta,
poate fi un task destul de complicat, dar poate fi si foarte usor daca "iti faci temele" in prealabil. Aceasta
inseamna sa cunosti cati utilizatori are reteaua ta si care sunt previziunile de crestere a numarului acestora, cati dintre acesti utilizatori folosesc conexiuni VPN, daca ai nevoie sa protejezi un server Exchange si/sau un SharePoint, daca ai nevoie sa administrezi centralizat mai multe servere si daca ai nevoie de extraoptiuni.
De asemenea, trebuie sa stabilesti exact care extraoptiuni iti sunt utile si care nu, astfel incat sa poti achizitiona un echipament care sa se potriveasca perfect retelei tale. Sunt multe decizii pe care trebuie sa le iei si multe variabile de care trebuie sa tii cont inainte de a achizitiona un firewall.
Cele prezentate in acest articol sunt doar cativa dintre pasii pe care trebuie sa ii urmezi atunci cand doresti sa-ti achizitionezi un firewall.
_________________
Nimeni nu s'a nascut invatat!!!
Totul se invata pe parcurs!!!
Asha k nu fii trist in viata!!!
Totul se invata!!!
Rullz Diti!!!
Despre FireWall Despre FireWall