Schutz kleiner Netze mit einer virtuellen DMZ. Tillmann Werner, CERT-Bund

Transkript

1 Schutz kleiner Netze mit einer virtuellen DMZ Tillmann Werner, CERT-Bund

2 Agenda Das BSI - Kurzvorstellung Demilitarisierte Zonen Virtuelle Maschinen Aufbau einer virtuellen DMZ Beispielkonfiguration

3 Das BSI auf einen Blick Unabhängige und neutrale Stelle für IT-Sicherheit Bundesoberbehörde im Geschäftsbereich des Bundesministerium des Innern 1991 gegründet - als Behörde im Vergleich zu sonstigen europäischen Einrichtungen einzigartig 387 Mitarbeiter, davon 289 Hochschulabsolventen (>60% Fachrichtungen Elektro- und Nachrichtentechnik)

4 Zielgruppen Regierung und Verwaltung Unterstützung der E-Government Initiative (BundOnline2005) IT-Sicherheitsberatung Entwicklung von Kryptosystemen Lauschabwehr Betrieb des Regierungsnetzes Bürger Sensibilisierungskampagnen Info - CDs BSI - Internetangebot Fachbeiträge in Zeitschriften Wissenschaft Kooperation mit Universitäten Trendanalysen Vergabe von Forschungsaufträgen Wirtschaft Nationales CERT IT-Grundschutz Zertifizierung Sicherheitspartnerschaften

5 Sicherheitszonen Gruppieren von Ressourcen mit ähnlichen sicherheitsrelevanten Eigenschaften in Sicherheitszonen Strikte Trennung der einzelnen Zonen voneinander Datenaustausch zwischen Zonen ausschließlich über wohldefinierte Schnittstellen Anwendung des Zonenmodells auf unterschiedlichen Ebenen, zum Beispiel Netz, Betriebssystem, Anwendung,

6 Demilitarisierte Zone Komplexer Sicherheitsgateway zum Schutz eines Netzes oder Einzelsystems mit besonderen Sicherheitsanforderungen Ressourcentrennung durch Schaffung unabhängiger Zonen auf Netzebene Verbindung der Zonen durch Koppelelemente: Switches, Bridges, Router, Proxies, ALGs, Meist Sandwich-Architektur: Interne und externe Firewall, dazwischen zusätzliche Komponenten

7 Beispielarchitektur http ext. FW IDS http dns ssh IDS int. FW zu zu schützendes schützendes Netz Netz

8 Virtuelle Maschinen Simulation vollständiger Betriebssysteme Ideal für den Einsatz in Sicherheitsgateways: Kapselung von Funktionen einzelner Komponenten Sicherheit durch Schaffung unabhängiger Systemen mit unterschiedlichen Aufgaben Kostenreduktion durch Virtualisierung Begriffe: Hostsystem, Gastsystem

9 User Mode Linux Virtuelles Linux-Gastsystem auf Linux-Hostsystem Seit Version 2.6 vom offiziellen Linux-Kernel als eigene HW-Architektur unterstützt UML-Kernel läuft als Prozess im Userspace Betrieb mehrerer Instanzen auf einem Host möglich Administration der UML-Instanzen über Management-Konsole vom Host aus möglich

10 Einsatz von UML in einer virtuellen DMZ Linux-Hostsystem mit UML-Instanzen als DMZ-Komponenten Monolithisches, gehärtetes Hostsystem UML-Systeme sind minimalistisch konfiguriert und für die jeweiligen Aufgaben optimiert DMZ-Komponenten können ausschließlich mit Open-Source-Software aufgebaut werden

11 Netzkonfiguration Hostsystem besitzt keine IP-Adressen Netzpakete werden über virtuelle Bridges an DMZ-Firewalls weitergeleitet IP-Routing auf dem Hostsystem ist ausgeschaltet DMZ verwendet intern eigene IP-Netze nach RFC 1918 VM sind ebenfalls über Bridges miteinander verbunden

12 Virtuelle Ethernet Bridges http ext. FW IDS http dns tcp IDS int. FW

13 Virtuelle DMZ-Komponenten Firewalls Gateways an den Übergängen vermitteln zwischen den angeschlossenen Netzen Stateful Firewalls auf der Basis von netfilter/iptables Policy-based Routing - erlaubte Protokolle werden zum jeweiligen ALG geroutet SNAT für ausgehenden Verkehr (Maskieren der internen Netzstruktur)

14 Virtuelle DMZ-Komponenten IDS Snort als Intrusion Detection System signatur- und anomaliebasierte Angriffserkennung IDS arbeiten im Bridged Mode zwischen Firewall und Proxies völlige Transparenz auf IP-Ebene Protokollierung kann auf zentralem System stattfinden Korrelation der Log-Daten von externem und internem Netzanschluss

15 Virtuelle DMZ-Komponenten Proxies Kein IP-Routing durch die DMZ möglich DMZ lässt nur Daten von Verbindungen passieren, für deren Protokoll ein Proxy existiert Problem: Proxies gibt es nur für wenige Standard-Protokolle Lösung: Generischer Proxy kann alle Protokolle vermitteln, die auf Internet Protocol aufsetzen

16 Virtuelle DMZ-Komponenten Server Server, die aus Sicht des zu schützenden Netzes nicht vertrauenswürdig sind Server, die einen Dienst ausschließlich für Systeme innerhalb der DMZ anbieten Für solche Systeme sollte innerhalb der DMZ ein dediziertes Netz konfiguriert werden

17 Testinstallation Standard-PC ist in der Regel als Hardware-Plattform für das Hostsystem ausreichend Performance hängt im wesentlichen vom verfügbaren RAM auf dem Hostsystem ab Eine Testinstallation auf einem PIII, 866 MHz, hat einen Durchsatz von mindestens 100MBit/s bei Proxies für mehrere Protokolle

18 Beispielkonfiguration http(s) Zorp http-proxy netfilter netfilter SNAT snort snort iproute2

19 Fazit Virtuelle DMZ kann Sicherheitszonen auf Netzebene schaffen Keine Alternative zu zentralen Sicherheits-Gateways in Hardware Flexible Architekturen für individuelle Anforderungen Kostengünstige Komponenten, im wesentlichen Open-Source-Software Einfache, auch nachträgliche Einbindung in bestehende Netze