Übung zur Vorlesung Sicherheit in Netzen und verteilten Systemen Sommersemester Übungsleiter: Sebastian Ebers,

Transkript

1 Übung zur Vorlesung Sicherheit in Netzen und verteilten Systemen Sommersemester 2014 Übungsleiter: Sebastian Ebers, Oliver Kleine, Klaus-Dieter Schumacher Diese Aufgabe gliedert sich in einen theoretischen und praktischen Teil. Der praktischen Teil kann nach Terminvereinbarung mit Herrn Schumacher im CC-Lab Raum 47 durchgeführt werden. A Theoretischer Teil 1. Was sind Firewalls? Welche Arten von Firewalls kennen Sie? Nennen Sie ihre Eigenschaften 2. Was sollte grundsätzlich bei der Einrichtung einer Firewall beachtet werden? 3. Auf welcher Schicht (welchen Schichten) des ISO-OSI-Modells arbeiten die Firewallregeln? 4. Worin besteht der Unterschied zwischen einer Firewall, einem Gateway und einem Proxy? 5. Unter welchen Rahmenbedingungen ist zusätzlich NAT erforderlich? Beschreiben Sie die Eigenschaften von NAT. 6. Warum sollte zusätzlich zu einer Firewall ein IDS (Intrusion Detection System) eingesetzt werden? 7. Welche Arten von IDS gibt es? Was sind deren besonderen Eigenschaften? 8. Welche Art von IDS erkennt im Allgemeinen nur die Auswirkungen eines Angriffes und nicht den Angriff als solchen. 9. Begründen Sie, an welcher Stelle im Gesamtsystem ein IDS installiert werden sollte. 10. Analysieren Sie ausgewählte Firewallregeln der Firewall im CC-Lab, siehe Abbildung 1. Nach welchem Schema und in welcher Reihenfolge sind die Regeln aufgebaut? Beschreiben Sie die Funktionen der Regeln. 11. Für Bachelorprojekte und das SummerCamp ist eine Kommunikationsverbindung zwischen dem Netz itmcloud.uni-luebeck.de im CC-Lab und den WLAN-Adaptern von fünf Raspberry Pis erforderlich. Dabei ist zunächst für Testzwecke die Möglichkeit der bidirektionalen Kommunikation auf allen Ports zu gestatten. Die RPis haben folgende Adressen und Namen: IP-Adressen: bis 254 DNS-Namen: itmpi00x.uzlwlan.uni-luebeck.de mit x von 1 bis 5 1

2 Formulieren Sie die für diesen Anwendungsfall erforderlichen Firewallregeln An welcher Stelle in der Liste der Regeln sind diese zu platzieren? 12. Wie müssen diese Regeln modifiziert werden, wenn die unter 11. genannte Kommunikation ausschließlich über die Ports 4445 für den Output der RPis und für den Input der RPis zulässig ist? Tabelle zu Aufgabe A11. ID Proto Source Port Destination Port Gateway Queue Schedule Description Tabelle zu Aufgabe A12. ID Proto Source Port Destination Port Gateway Queue Schedule Description Abbildung 1: Auszug der Firewallregeln der Firewall im CC-Lab 2

3 B Praktischer Teil Internet Firewall Netzsegment mit Bürocomputern x.y x xy Heimnetzschnittstelle: Adminschnittstelle: Heimnetz xyz Möglichkeit des gesicherten Zugriffs auf Bürocomputer durch Berechtigte Administration der Firewall x Abbildung2: Testnetzwerk Die Computer haben alle ein identisches Passwort. Ist Ubuntu installiert, so ist als Benutzer clouduser zu verwenden. Das Einloggen als root-user kann per sudo su erfolgen. OpenSUSE gestattet das Einloggen als root. Die Firewall-Computer verfügen über jeweils 3 Netzwerkkarten. Der grundsätzlicher Aufbau des CC-Labs ist in Abbildung 3 dargestellt. An einen Raspberry Pi mit der SD-Karte Gruppe2 sind außer dem USB-WLAN-Adapter auch Monitor, Tastatur und Maus anzuschließen. Der Benutzer hat den Namen pi und das Passwort nxt 3

4 1. Das in Abbildung 2 skizzierte Testnetzwerk ist im CC-Lab aufzubauen. 2. Kontrollieren Sie alle Einstellungen mittels ifconfig, route -n und ping. 3. Starten Sie die Administration der Firewall. Loggen Sie sich als admin ein. Der Datei Einrichten_einer_Firewall_im_CC.Lab_der_Uni_HL.pdf können die weiteren erforderlichen Informationen entnommen werden. 4. Lassen Sie sich die aktuellen Firewallregeln anzeigen. Testen Sie gemäß der Firewallregeln die Kommunikationsverbindungen zwischen dem Subnetz itmcloud.uni-luebeck.de und dem Uni-Netz bzw. dem Internet. 5. Welche Rechte besitzen sonstige Computer, um auf die Firewall und die Firewallregeln zuzugreifen? 6. Testen Sie, welche Möglichkeiten von außen auf die Computer hinter der Firewall existieren, z. B. mittels ping, ssh, http,.! 7. Integrieren Sie die Regeln von Aufgabe A11 an geeigneter Stelle in der Tabelle der Firewallregeln. Verwenden Sie für die RPis einen Aliasnamen. Testen Sie die Funktion der Regeln. 8. Ändern Sie die Regeln gemäß Aufgabe A12. Testen Sie die Funktion der Regeln. 9. Sperren Sie den Zugriff nach außen für die Computer platz0x mit x von 1 bis 4. Testen Sie die Funktion der von Ihnen vorgenommenen Regeländerungen. 10. Der Versand von s aus dem gesicherten Netz soll nur noch mittels TLS möglich sein. Ändern/ergänzen Sie die Firewallregeln geeignet. Testen Sie die Funktion der Regeln. 11. Das über die dritte Netzwerkkarte neben dem Administrationscomputer angeschlossene private Netzsegment ist noch nicht für den Anschluss an das öffentliche Netz konfiguriert. Ergänzen Sie das Regelwerk in geeigneter Weise. Hilfestellungen: - man-datei von pfsense - Handbuch pfsense: The Definitive Guide 12. Der gesicherte und per Passwort geschützte Zugriff aus dem Netzsegment ist zu ermöglichen. Welche Ergänzungen müssen an der Firewall und den Computern des privaten Netzsegmentes erfolgen? Konfigurieren Sie diese Änderungen entsprechend. Testen Sie die korrekte Funktion Ihrer Änderungen. 13. Welche Vor- bzw. Nachteile hätte in 11 und 12 der Einbau einer vierten Netzwerkkarte? 14. Um welchen Typ von Firewall handelt es sich hier (Art und Sichtbarkeit)? 4

5 Abbildung 3: Topologie des Cloud-Computing-Labor 5