Sicherheit an dezentralen Rechnern (Firewalls etc.) Dr. Heidrun Benda

Transkript

1 Sicherheit an dezentralen Rechnern (Firewalls etc.) Dr. Heidrun Benda

2 Inhalt des Vortrags - IT-Sicherheitsbericht des BSI vom Juli Sinnvolle Schutzmaßnahmen (Auswahl) - Passwort-Sicherheit - Windows XP-Problematik - Firewalls - Messrechner mit einer Hardware-Firewall schützen - Mehrere Rechner an mehreren Anschlüssen im Lehrstuhl-Netz gleichzeitig mit einer Firewall schützen - Gesamtes Lehrstuhlnetz mit einer Firewall schützen - Erfahrungsaustausch ITS - Dr. Heidrun Benda 2

3 IT-Sicherheitsbericht des BSI vom Juli 2013 ITS - Dr. Heidrun Benda 3

4 Mit überschaubarem Aufwand kann ein guter Zuwachs an IT-Sicherheit erzielt werden Quelle: Focus IT-Sicherheit 2013 des BSI ITS - Dr. Heidrun Benda 4

5 IT-Sicherheitsrisiken: Gefahreneinschätzung (BSI) ITS - Dr. Heidrun Benda 5

6 Distributed Denial of Service-Angriffe DDoS-Angriffe mit Botnetzen, um die Erreichbarkeit von Servern zu stören oder die Netzanbindung der betroffenen Institution zu unterbrechen. Angreifer Kontroll-Rechner Zombie-Rechner im Botnetz Opfer ITS - Dr. Heidrun Benda 6

7 Multifunktionale Botnetze Ablauf der Entstehung und Verwendung von Botnetzen: (1) Infizierung ungeschützter Computer, (2) Eingliederung in das Botnet, (3) Botnetbetreiber verkauft Dienste des Botnets, (4) Ausnutzung des Botnets, etwa für den Versand von Spam Bild- und Textquelle: Wikipedia Aus dem Angebotskatalog eines Botnetz-Betreibers: - Nachladen von weiteren Schad- Programmen = Aktualisierung der Bots - DDoS- und DRDoS-Angriffe - Versand von Spam und Phishing-Mails - Computer-Kidnapping (Ransomware) - Ausspionieren der Zombie-Rechner (Passwörter etc.) - Rechnerleistung ausnutzen z.b. für Klickbetrug, Bitcoin-Mining ITS - Dr. Heidrun Benda 7

8 Drive-by-Exploits werden von Hackern auf kompromittierten Webseiten versteckt, z.b. in Werbebannern. Falls die Browsersoftware eines Nutzers eine Sicherheitslücke enthält, die für den Infektionsweg der auf der Webseite versteckten Malware anfällig ist, so kann sich diese unerkannt auf das Gerät herunterladen und sich dort installieren. War der erste Angriff der Schadsoftware erfolgreich, kann diese evtl. weiteren Schadcode nachladen, Passwörter mitsniffen und den Rechner in ein Botnetz eingliedern. ITS - Dr. Heidrun Benda 8

9 Schadprogramme = Malware Bildquelle: ITS - Dr. Heidrun Benda 9

10 Identitätsdiebstahl Digitaler Ausweis einer Person ist oft eine Kombination aus Benutzername (oft -Adresse) + Passwort ITS - Dr. Heidrun Benda 10

11 Sinnvolle IT-Schutz-Maßnahmen (Auswahl) ITS - Dr. Heidrun Benda 11

12 Digitale Identitäts-Strategien: 1. Beruf und privat trennen 2. Ich bin viele Digitale Identitäten (mehrere -Adressen und Passwörter) und Bildquelle: gulli.com (Bildausschnitt) Cartoon von P. Steiner aus dem Jahre 1993 was heute so wohl nicht mehr stimmt ITS - Dr. Heidrun Benda 12

13 IT-Schutz-Maßnahmen (Auswahl) Gesunder Menschenverstand => Aufklärung und Sensibilisierung ITS - Dr. Heidrun Benda 13

14 Flyer Sicherheit & Computerschutz Den Flyer gibt es in Deutsch und in Englisch Tel. 3003) ITS - Dr. Heidrun Benda 14

15 Sicherheit & Computerschutz 1. (Hostbasierte) Firewall aktivieren 2. Virenscanner verwenden 3. Wachsames Surfverhalten 4. System aktuell halten (Betriebssystem + Anwendungsprogramme!) 5. Regelmäßige Datensicherung 6. Betrugsversuche erkennen 7. Verhalten bei Infektionsverdacht (Netzanbindung des Rechners unterbrechen, Tel anrufen) ITS - Dr. Heidrun Benda 15

16 Passwort-Sicherheit ITS - Dr. Heidrun Benda 16

17 Sichere Passwörter ITS - Dr. Heidrun Benda 17

18 Sichere Passwörter und Passwörter regelmäßig ändern ITS - Dr. Heidrun Benda 18

19 Windows XP - Problematik ITS - Dr. Heidrun Benda 19

20 Windows XP-Problematik Vgl. Jour Fix-Vortrag von J. Sturm vom => neuer Rechner mit neuem Betriebssystem (hat viele, viele Vorteile) oder => alter Rechner und Betriebsystem updaten (Vista => W7 oder Linux) (alte leistungsschwache Hardware wird nicht besser, Datensicherung, Installations-Orgie, Treiber-Problematik, Zeitaufwand) Windows XP: Microsoft: liefert keine (?) Patches mehr => zunehmende Gefahr für Sicherheit der Daten auf dem XP-Rechner sowie für das Uni-Netzwerk [Notmaßnahmen: Sicherheitsbewusstsein beim Nutzer, USB Vaccine, Sophos Support bis ca. 2015, evtl. Panda AV länger, Browser Chrome wg. Sandbox-Konzept und auf Applikationsupdates achten] ITS - Dr. Heidrun Benda 20

21 Firewalls ITS - Dr. Heidrun Benda 21

22 Aufgaben einer Firewall Eine Firewall überwacht den sie durchquerenden Datenverkehr Dabei entscheidet die Firewall anhand vorher festgelegter Regeln, ob bestimmte Datenpakete durchgelassen werden oder nicht Firewall Firewall LAN LAN Internet ITS - Dr. Heidrun Benda 22

23 Firewall-Arten - Personal Firewalls Als Software auf dem Rechner installiert, um Zugriffe auf bestimmte, auf dem Rechner installierte, Anwendungen zu verbieten oder zu gestatten evtl. Freeware Firewall-Software z.b. Comodo, ZoneAlarm etc. ITS - Dr. Heidrun Benda 23

24 Firewall-Arten - Hardware-basierte Firewalls zum Schutz von einzelnen Rechnern, Netzwerkteilbereichen oder LANs und ganzen Netzwerken ZyXEL ZYWALL USG20 GeNUScreen 300S Cisco ASA 5580 Linksys BEFSX41 ITS - Dr. Heidrun Benda 24

25 Hardwarebasierte Firewalls LAN LAN1 LAN2 Notwendig sind: - Mindestens 2 physikalische Netzwerk-Interfaces auf der Firewall - Regelsätze, nach denen die Durchleitung/Blockierung der Datenpakete erfolgt ITS - Dr. Heidrun Benda 25

26 Arbeitsweise der ACL-basierten FWs Ausgangssituation: Ein Daten-Paket kommt an einem Interface an Vergleich der Angaben im Daten-Paket mit den Regelsätzen der ACL Zeile für Zeile, von oben nach unten Sobald eine angegebene Bedingung einer Zeile zutrifft, wird die angegebene Aktion mit dem Datenpaket ausgeführt: permit das Daten-Packet wird durchgelassen deny das Daten-Packet wird verworfen Sobald eine Aktion mit dem Daten-Paket durchgeführt wurde, ist die Abarbeitung der Access-Liste für dieses Paket beendet Wurde die gesamte ACL durchgearbeitet, ohne dass eine der Bedingungen zugetroffen hätte, so wird das Daten-Paket ebenfalls verworfen (implizites deny am Ende einer ACL) ITS - Dr. Heidrun Benda 26

27 Hardwarebasierte Firewalls Eine HW-Firewall kann z.b. auch auf der Basis eines Linux-Rechners mit mind. 2 Netzwerk-Interfaces gebaut werden. Die Paket-Filterung erfolgt mit Hilfe eines Softwarepakets, für das Regelsätze konfiguriert werden müssen, nach denen die Durchleitung/Blockierung der Datenpakete erfolgt Siehe z.b. u.a. IPtables, IPCop Firewall, Shorewall, IPFire, pfsense, SmoothWall etc. ITS - Dr. Heidrun Benda 27

28 Weitere Firewall-Arten NAT-Firewall Stateful-Inspection-Firewall Proxy-Firewall Application Aware- / Deep Packet Inspection-Firewall UTM-Firewalls Next Generation Firewall Reverse-Proxy-Firewall ITS - Dr. Heidrun Benda 28

29 Messrechner mit einer Hardware-Firewall schützen ITS - Dr. Heidrun Benda 29

30 Hardware-Firewall vor Laborrechner(n) Mögliche Situation: - Messapparatur mit Laborrechner - Laborrechner dient zur Steuerung - Software auf Laborrechner darf nicht verändert werden so dass evtl. z.b. - keine Systemupdates - keine Installation von Softwarefirewalls - keine Installation von Antivirensoftware nach den Vorschriften des Messgeräteherstellers erlaubt wären Wenn solche Systeme dennoch mit dem Computernetzwerk verbunden werden sollen, müssen solche Systeme über eine Hardware-Firewall vor möglichen Angriffen aus dem Netz geschützt werden. ITS - Dr. Heidrun Benda 30

31 Lösung: Hardware-Firewall vor Laborrechner(n) LAN HW- Firewall Die HW-Firewall arbeitet im Prinzip wie eine Diode, d.h. A) vom Rechner initiierter Datenverkehr wird durchgelassen, B) von der LAN-Seite initiierter Datenverkehr wird blockiert Eine HW-Firewall-Lösung ist ebenfalls sinnvoll, falls aus Funktionsgründen noch ein altes Betriebssystem (wie z.b. Windows XP) verwendet werden muss. ITS - Dr. Heidrun Benda 31

32 Beispiel 1: Mess-System schützen inside Uni-Netz LAN HW- Firewall outside Der Zugriff von innen nach außen ins LAN oder ins Internet wird von der HW-Firewall zugelassen. In dem Beispiel müssen keine Dienste innerhalb der Firewall von outside aus erreichbar sein. Einfachste Lösung: HW-Firewall out of the box einbauen ITS - Dr. Heidrun Benda 32

33 Firewall-Gerätebeispiel: ZyXEL USG20 Für Outside: 1 TP-WAN-Port Für Inside: 4 TP-Ports, davon 2 Ports im Subnetz: /24 1 Port im Subnetz: /24 1 Port im Subnetz: /24 ITS - Dr. Heidrun Benda 33

34 Beispiel 1: Mess-System(e) schützen Merkregel: WAN = Wide Area Network = das große Netz = das Netz der Uni outside inside ITS - Dr. Heidrun Benda 34

35 HW-Firewall-Typ: Address-Translation-Firewall = NAT-(Network Address Translation) Firewall Zugriffsrichtung per Default blockiert, Ausnahmeregeln explizit definieren a.b Uni-Netz x.y Steuerungs- Rechner für Messapparatur NAT-Firewall- Router Einfachste Lösung: HW-Firewall out of the box einbauen ITS - Dr. Heidrun Benda 35

36 Beispiel 2: Mess-System + Datenaustausch mit ftp inside FTP FTP LANLAN outside Zugriff auf einen FTP-Dienst, der auf einem Rechner läuft und über den von outside aus die Messdaten abgeholt werden können inside FTP FTP-Serverdienst z.b. über Quick `n Easy FTP Server outside ITS - Dr. Heidrun Benda 36

37 Beispiel 2: Mess-System + Datenaustausch mit ftp 1) Freigabe des Messdaten-Ordners einrichten 2) Das auf dem oberen Rechner freigegebene Verzeichnis als Netzlaufwerk verbinden 3) FTP-Serverdienst konfigurieren 4) HW-Firewall konfigurieren ITS - Dr. Heidrun Benda 37

38 0) Rechner konfigurieren inside FTP outside a) Die beiden Rechner, die mit den Ports von LAN1 (P2 und P3) verbunden sind, so konfigurieren, dass ihre IP-Adressen über DHCP stabil von der HW-Firewall bezogen werden. Im Beispiel wird dem PC (Messrechner) die IP und dem FTP-Server-Rechner die IP zugeteilt. b) Auf dem FTP-Server wurde eine Software, die ftp-serverdienste anbietet, Heruntergeladen, hier im Beispiel Quick n Easy-Firewall ITS - Dr. Heidrun Benda 38

39 1) PC: Freigabe des Messdaten-Ordners Beispiel: Windows XP Noch sicherer: nur gezielt Zugriffsrechte freigeben Ordner ist freigegeben ITS - Dr. Heidrun Benda 39

40 2) Auf dem ftp-server als Netzordner den Messdaten-Ordner des PCs einrichten FTP Start => Computer => Netzlaufwerk verbinden IP-Adresse des PCs (Messrechners) und den Namen des freigegebenen Verzeichnisses eintragen ITS - Dr. Heidrun Benda 40

41 3) Den ftp-serverdienst konfigurieren FTP Beispiel: FTP-Serverdienst starten (hier Quick & Easy FTP Server) ITS - Dr. Heidrun Benda 41

42 3) Den ftp-serverdienst konfigurieren ITS - Dr. Heidrun Benda 42

43 3) Den ftp-serverdienst starten und testen FTP ftp-dienst des FTP-Servers testen a) direkt auf dem FTP-Server und b) vom PC (Messrechner) aus IP-Adresse des FTP-Servers ITS - Dr. Heidrun Benda 43

44 4) HW-Firewall konfigurieren (hier ZyXEL USG 20) Erstpasswörter, müssen nach dem ersten Login sofort geändert werden admin 1234 ITS - Dr. Heidrun Benda 44

45 4) HW-Firewall konfigurieren Wie aufgefordert, neues Passwort setzen => automatischer Logout Erneut einloggen: admin + das neue Passwort Installation Setup Wizard Fenster startet => Weiter Internet Access: Encapsulation: Ethernet WAN IP Address Assignments: Static Hier die über einen Online-Netzantrag für die HW-Firewall zugeteilte IP-Adresskonfiguration eintragen Optional: bei ZyXEL registrieren (bei Software-Trial, evtl. später Folgekosten) ITS - Dr. Heidrun Benda 45

46 4) HW-Firewall: Dashboard Teil 1 ITS - Dr. Heidrun Benda 46

47 4) HW-Firewall: Dashboard Teil 2 ITS - Dr. Heidrun Benda 47

48 4) HW-Firewall: Monitor Port Statistics ITS - Dr. Heidrun Benda 48

49 4) HW-Firewall Configuration: Interface Vorgegebene IP-Adressbereiche: LAN1: x (Gateway) LAN2: x (Gateway) Es lassen sich bei Bedarf alle Ports LAN1 zuweisen. DMZ: x (Gateway) ITS - Dr. Heidrun Benda 49

50 4) HW-Firewall konfigurieren: IP/MAC Binding Feste IPs für die Geräte werden notwendig (z.b. nach Neustart, Stromausfall, etc.) ITS - Dr. Heidrun Benda 50

51 4) HW-Firewall konfigurieren: IP/MAC Binding Über Add wird die IP MAC-Address- Kombination der Geräte erfasst ITS - Dr. Heidrun Benda 51

52 4) HW-Firewall konfigurieren: NAT-Regel ITS - Dr. Heidrun Benda 52

53 4) HW-Firewall konfigurieren: NAT-Regel Outside-IP-Adresse der Firewall IP des FTP-Servers ITS - Dr. Heidrun Benda 53

54 4) HW-Firewall konfigurieren: NAT-Regel NAT-Regel wurde übernommen und ist aktiv ITS - Dr. Heidrun Benda 54

55 4) HW-Firewall konfigurieren: Firewall-Regel Zusätzlich zur NAT-Regel muss die korrespondierende Firewall-Regel erstellt werden ITS - Dr. Heidrun Benda 55

56 4) HW-Firewall konfigurieren: Firewall-Regel Add FW-Rule Create Object Address Object ITS - Dr. Heidrun Benda 56

57 4) HW-Firewall konfigurieren: Firewall-Regel Nachdem das Address Object Internal_FTP erstellt wurde, wird die benötigte Firewall-Regel erstellt ITS - Dr. Heidrun Benda 57

58 5) Abschließender Test aus dem Netz der Uni Per FTP zu der Outside-IP-Adresse der Firewall können die Messdaten auf einen Rechner im Uni-Netz (mit get bzw. mget) übertragen werden ITS - Dr. Heidrun Benda 58

59 Ergänzende Bemerkungen Hinweis zur Handhabung: Die ZyXEL USG20-FW sollte mit Shutdown heruntergefahren werden, bevor man sie vom Netz nimmt Statt einen PC als FTP-Server einzurichten, wäre z.b. auch ein NAS-System hinter der FW als Alternative denkbar Soll der Messrechner überhaupt nicht auf das Uni-Netz und das Internetz zugreifen können, kann man die vorher per DHCP zugeteilte und in der FW als IP/MAC-Binding- Regel eingetragene IP-Adresse (im Beispiel die ) statisch mit Subnetzmaske aber ohne Gateway-IP-Adresse eintragen. ITS - Dr. Heidrun Benda 59

60 Ergänzende Bemerkungen Hardware-Firewalls mit je 4 10/100/1000 TP-Interfaces für inside und 1 WAN-Anschluss für outside mit 10/100/1000 TP: Neben der vorgestellen ZyXEL ZYWALL USG-20 wäre die Netgear FVS318G ein sogar noch etwas preisgünstigere Alternative. Reichen 10/100 TP-Anschlüsse, so wäre noch kostengünstiger die Linksys BEFSX41 denkbar, mit weniger Funktionalität und einfacher Konfiguration. ITS - Dr. Heidrun Benda 60

61 Mehrere Rechner an mehreren Anschlüssen im Lehrstuhl-Netz gleichzeitig mit einer Bridging Firewall schützen ITS - Dr. Heidrun Benda 61

62 Transparentes Firewall-Setup (Bridging Firewall) VLAN aa VLAN aa a Transparente Firewall LAN der UniBT LS-VLAN a VLAN a des Lehrstuhls- Netzes Standard-Gateway a.254 Die Firewall bildet eine Brücke (Bridge) zwischen dem geschützten VLAN aa und dem VLAN des Lehrstuhl-Netzes a. Die Geräte in VLAN aa behalten ihre IP-Adressen aus dem Lehrstuhlbereich. Die Netzwerkanschluss an der Dose wird am Technikraum-Switch dem VLAN aa zugeordnet. Netzwerktraffic vom und ins VLAN aa muss die Firewall durchqueren und kann dort nach den implementierten Regelsätzen gefiltert werden. ITS - Dr. Heidrun Benda 62

63 Setup für eine Lehrstuhl-Firewall ITS - Dr. Heidrun Benda 63

64 Transparentes Firewall-Setup = Lehrstuhl-FW VLAN x VLAN x VLAN xz Transparente Firewall LAN der UniBT x.254 LAN-Segment des Lehrstuhls x.y Die Firewall bildet eine Brücke (Bridge) zwischen dem LAN-Segment und dem Gateway-Interface des Routers. Alle Datenpakete, die die transparente Firewall durchqueren, können über die dort implementierten Regeln gefiltert werden. ITS - Dr. Heidrun Benda 64

65 Lehrstuhl-Firewalls: Kriterien für den Einsatz Der Lehrstuhl übernimmt die Verantwortung für den Einsatz der LS-Firewall und deren Betreuung Die Firewall muss als transparente Firewall (bridging Firewall) arbeiten, d.h. das bisherige IP- Adressierungsschema am Lehrstuhl kann trotz vorgeschalteter Firewall unverändert weiterverwendet werden Firewall-Überbrückung leicht möglich: LWL-Kabel zwischen den beiden VLANS x und xz (oberer und unterer Teil der Netzwerkdose) stecken ITS - Dr. Heidrun Benda 65

66 Erfahrungsaustausch ITS - Dr. Heidrun Benda 66