Tartalom. Internet. Példák LAN és WAN technológiákra

Átírás

1 Tartalom Internet a mai gyakorlatban WAN technológiák Statikus és dinamikus routing Multiprotokoll routing a 2. réteg vonatkozásában Internet szcenáriók Támadás Védekezés 1 2 Példák LAN és WAN technológiákra LAN technológiák Ethernet Token Ring FDDI A routerek a nagy intranetek és az Internet gerinc-eszközei. Az OSI modell 3. 3étegén működnek és hálózati címek (például IP-címek) alapján hozzák meg döntéseiket. A routereket alkalmazhatjuk a LA -ok szegmentálására is, viszont fontosabb a WA -eszközként történő alkalmazásuk. 3 A ruotereknek lehet mind LA, mind pedig WA interfészük. Gyakran használnak WA technológiákat arra, hogy összekapcsolják a routereket. 4 A WA (wide area network) technológiák az OSI hivatkozási modell fizikai és adatkapcsolati rétegén működnek. Ezek olyan LA -okat (local area networks) kötnek össze, melyek tipikusan nagy földrajzi távolságra vannak egymástól. 5 router sokféle szolgáltatást nyújt, többek között WAN interfészekkel is rendelkezhet WA switch a routerhez hasonló feladatokat lát el modem a hang alapú telefonszolgáltatás interfésze; a T1/E1 szolgáltatás channel service units/digital service units (CSU/DSU) interfésze; az Integrated Services Digital Network (ISDN) szolgáltatás Terminal Adapters/Network Termination 1 (TA/NT1) interfésze; az xdsl szolgáltatás interfésze communication server a betárcsázásos (dial-in és dialout) felhasználói kommunikációt biztosítja 6 1

2 A WA fizikai réteg protokoll azt írja le, hogyan biztosítják az elketromos, a mechanikai, az üzemelési és a funkcionális kapcsolatokat. Ezeket a szolgáltatásokat tipikusan a telefon-társaságok nyújtják. A WA adatkapcsolati réteg protokollok azt írják le, hogyan kezelik a kereteket a rendsezrek között egyetlen adatlinken belül. Ezek magukban foglalják a dedikált pont-pont, a multipont és a többes-hozzáféréses kapcsolt (Frame Relay) szolgáltatások esetén. 7 WA szabványokat egy sor elismert cég dolgozta ki és menedzseli, köztük: International Telecommunication Union- Telecommunication Standardization Sector (ITU-T), formerly the Consultative Committee for International Telegraph and Telephone (CCITT) International Organization for Standardization (ISO) Internet Engineering Task Force (IETF) Electronic Industries Association (EIA) A WA szabványok tipikusan meghatározzák mind a fizikai réteg, mind peidg az adatkapcsolati réteg iránt támaasztott követelményeket. 8 Több fizikai réteg szabvány specifikálja ezt az interfészt: EIA/TIA-232 EIA/TIA-449 V.24 V.35 X.21 G.703 A WA fizikai réteg leírja DTE (data terminal equipment) és a DCE (data circuit-terminating equipment) közötti interfészt. Tipikusan a DCE a szolgáltató és a DTE pedig a csatlakoztatott eszköz (például a router). Ebben a modellben a DTE számára nyújtott szolgáltatások modemen vagy CSU/DSU-n keresztül válnak elérhetővé. High-Level Data Link Control (HDLC) ez egy IEEE szabvány; különböző gyártónkénti, egymással inkompatibilis megvalósításai vannak; mind a pontpont, mind pedig a multipont konfigurációhoz alkalmas, csekély mennyiségű kiegészítő információval Frame Relay jó minőségű digitális eszközöket használ; egyszerűsített keretezést alkalmaz hibajavítási mechanizmus nélkül, így gyors keretküldést biztosít Link Access Procedure Frame (LAPF) - a Frame- Mode Bearer Services számára; a LAPD-hez hasonló WAN adatkapcsolati réteg protokoll, amit a frame relay technológiáknál használnak Point-to-Point Protocol (PPP) - described by RFC 1661; az IETF dolgozta ki; egy protokoll-mezőt tartalmaz a hálózati réteg protokoll azonosítására Simple Data Link Control Protocol (SDLC) az IBM tervezte adatkapcsolati réteg protokoll az System Network Architecture (SNA) környezet számára; a rugalmasabb HDLC lépett a helyébe Serial Line Interface Protocol (SLIP) korai, igen népszerű WAN adatkapcsolati réteg protokoll; később a rugalmasabb PPP váltotta fel Link Access Procedure Balanced (LAPB) - az X.25 által használt adatkapcsolati réteg protokoll ; hibaellenőrzése kiváló Link Access Procedure D-channel (LAPD) - ISDN D-csatorna által a vezérlésre használt adatkapcsolati réteg EIA protokoll. Maga az adatátvitel az ISDN B csatornákon történik 10 Vonal-kapcsolt szolgáltatás POTS (Plain Old Telephone Service), azaz a hagyományos telefon ISD Integrated Services Digital Network Packet-Switched Services X.25 Frame Relay (ISDN) Cella-kapcsolt v ATM SMDS (Switched Multimegabit Data Service) Az Internet az autonóm rendszerek hálózata. Ezek mindegyike az alábbi négy szerep közül az egyiket végzi: belső router - autonóm rendszeren belüli router border router az autonóm rendszert a külvilággal összekapcsoló router gerinc router más hálózatban keletkezett és más hálózat felé haladó forgalmat forgalmat biztosító nagy teljesítményű router autonóm rendszereket összekapcsoló router más autonóm rendszerekkel kommunikálnak, például egy globális cég egyik autonóm rendszerének a többi autonóm rendszerével fennálló kapcsolat Dedikált digitális szolgáltatás T1, T3, E1, E3 xdsl (DSL - Digital Subscriber Line) Other WA Services betárcsázásos modem (kapcsolt analóg) Kábel modem (megosztott analóg) Vezeték nélküli

3 elektromágneses hullámokat használnak csoportosításuk alkalmazási szempontból A rádiós és televíziós műsorszórások frekvenciái, a látható fény, a röntgen és a gamma sugarak. ezek közül mindegyik külön hullámhossz tartománnyal és megfelelő energiaszinttel rendelkezik 13 csoportosításuk felhasználhatóságuk szerint bizonyos típusú elektromágneses hullámok nem alkalmasak adatátvitelre A frekvenciatartomány más részei állami szabályozás alatt állnak használatuk különféle szervezetek számára engedélyezett meghatározott tevékenységek ellátására a tartomány bizonyos részeit közhasználatra tartják fenn, anélkül, hogy engedélyekhez kötnék használatukat. A nyilvános vezeték nélküli kommunikációra használt leggyakoribb hullámhosszok közé tartozik, az infravörös és a rádiófrekvenciás tartomány 14 infravörös az infravörös kommunikáció viszonylag alacsony energiaszintű jelei nem képesek áthatolni falakon vagy egyéb akadályokon tipikusan kis hatótávolságú, rálátást igénylő kommunikációra használják IrDA (Infrared Direct Access) port csak pont-pont típusú kapcsolat használata távirányítók, vezeték nélküli egerek, billentyűzetek, továbbá PC-k és PDA (Personal digital Assistent) vagy nyomtató között 15 rádió frekvencia a rádió frekvenciás hullámok nagyobb teljesítményűek képesek áthatolni a falakon és más akadályokon az infravörös hullámokhoz képest jóval nagyobb a hatótávolságuk a rádiófrekvenciás tartomány bizonyos részeit szabadon használható eszközök működésére tartják fenn például a zsinór nélküli telefonok, vezeték nélküli helyihálózatok és egyéb számítógépes perifériák 16 Címfordítás - NAT Bluetooth a 2.4 GHz-es sávon működik korlátozott sebességű rövid hatótávolságú egyidejűleg több eszköz kommunikációját teszi lehetővé emiatt népszerűbb a Bluetooth technológia, mint az infravörös a számítógépes perifériák (nyomtatók, egerek és billentyűzetek) kapcsolatainál

4 Címfordítás - NAT A NAT lehetővé teszi, hogy a belső hálózatokban privát címteret használjunk A privát címek alkalmazása nélkül az IPv4 címek már másfél évtizede elfogytak volna A NAT segítségével letakarhatjuk a belső címeinket, ami megnehezíti a támadók dolgát Statikus forgalomirányítás a routing táblát manuálisan konfiguráljuk előnye nincs internetes karbantartás nem foglal tehát sávszélességet Hátránya nagyobb hálózatoknál igen munkaigényes a konfigurálás változás esetén nincs automatikus konvergencia Alkalmazás végrouterekben (ez routerek milliói) Dinamikus forgalomirányítás a routing táblát a routing protokollok automatikusan konfigurálják előnye változás esetén automatikus konvergencia hátránya az információ-szerzéshez forgalmat generál Hálózati rétegek Mag réteg Elosztási réteg Hozzáférési réteg Internet szcenáriók Támadás

5 MAC cím szűrés a forgalomirányító adatbázisában előzetesen rögzíteni kell az engedélyezett eszközök MACcímeit csak a listában szereplő eszközök csatlakozhatnak Gondok: minden csatlakozandó eszközt először fel kell vinni a listába a támadó felhasználhatja egy hozzáféréssel rendelkező, engedélyezett eszköz MAC címét A titkosítás szükségessége egy vezeték nélküli hálózatnak nincsenek pontosan definiálható határai és és az adatátvitel a levegőn keresztül történik egy támadó számára egyszerű a vezeték nélküli keretek elfogása vagy más néven lehallgatása (sniffing). A titkosítási folyamat az adatok átalakítása így az elfogott információk használhatatlanok lesznek WEP (Wired Equivalency Protocol) előre beállított kulcsok használatával kódolja és fejti vissza az adatokat tipikusan 64 vagy 128 bit hosszúságúak, ritkán 256 bitesek a hozzáférési pontnál és az összes engedélyezett állomáson ugyanazon WEP kulcsot kell megadni Hátránya az Internetről letölthetők olyan programok, melyek segítségével a támadók kideríthetik a WEP kulcsot WPA (Wi-Fi Protected Access) a WPA 64 és 256 bit közötti hosszúságú kulcsokat használ dinamikus kulcsok minden alkalommal, amikor egy állomás kapcsolódik a hozzáférési ponthoz a WPA jóval biztonságosabb, mint a WEP Vírusok a vírus egy program, mely lefut más programok vagy fájlok módosításával terjed vírus önmagát nem tudja futtatni, szüksége van arra, hogy valamilyen befogadó állománya gazdaprogramja - legyen tevékenységei károkozás szaporodás-terjedés honnan kaphatjuk? pendrive, , internetes böngészés Férgek (worm) nincs szükségük arra, hogy egy programhoz kapcsolódjanak a férgek önállóan tudnak futni, nincs szükségük gazdaprogramra a féreg a hálózatot használja arra, hogy elküldje saját másolatát bármelyik kapcsolódó állomásra. Igen gyorsan terjednek

6 Trójai lovak a trójai ló a férgektől és vírusoktól abban különbözik, hogy nem automatikusan sokszorozza meg magát trójai ló név történelmi mintán alapul a felhasználó számára nem kívánatos funkció kerül a számítógépre például: megakadályozza a program-telepítést, vagy backdoor-t nyit a támadó számára, amin keresztül az bejuthat számítógépünkbe terjedése: tipikusan ingyenes programoknak az internetről való letöltésével, például képernyővédők, DDoS (Distributed Denial of Service) előkészítés a támadó program telepítése és zombivá alakítása a sebezhető számítógépek felkutatása egy automatizált eszközzel (alkalmazással, azaz programmal) számítógépes vírusokkal vagy trójai programokkal zombi akarat és értelem nélküli élőhalottak, akik külső utasításra támadnak az irányítás előkészítése: akár többszintű fastruktúra játékprogramok, illegálisan feltört programok DDoS (Distributed Denial of Service) a támadás menete a zombi gépek távolról vezérelhetőek egy mester gépről (a támadó gépéről). a mester állomás jelt ad a zombiknak, hogy kezdjék meg a támadást a kiszemelt célpont vagy célpontok ellen a zombik egyenként kis mennyiségű adattal dolgoznak, de több száz, vagy akár százezer támadó gép - hatalmas adatáramlás Védekezés, például a támadók beazonosítása tűzfalon vagy router hozzáférési listán azok manuális átállítással történő kitiltása 33 Nyers erő (Brute force) egy gyors számítógép használatával kísérlik meg kitalálni a jelszavakat vagy visszafejteni egy titkosítási kódot gyors egymásutánban kellően nagy számú lehetőség kipróbálása ahhoz, hogy hozzáféréshez jussunk vagy feltörjük a kódot lehetséges közvetlen kár a nagy forgalom miatt szolgáltatás-megtagadás a felhasználói fiók zárolásával közvetett kár visszaélés a megszerzett jelszóval 34 Tűzfal Internet szcenáriók Védekezés

7 Tűzfal célja: a bejövő és a kimenő forgalom ellenőrzése a jogosulatlan hozzáférés elleni védelem lehetőségek szűrés az IP vagy MAC-cím alapján szűrés alkalmazás alapján szűrés webhely alapján URL vagy kulcsszó szerint állapot-alapú csomagvizsgálat A bejövő csomagok csak a belső hálózat állomásairól kezdeményezett kérések válaszcsomagjai lehetnek NAT (Network Address Translation) Tűzfal Eszköz-alapú tűzfal az eszköz-alapú tűzfal egy biztonsági készülékként ismert célhardverbe van beépítve. Kiszolgáló-alapú tűzfal a kiszolgáló-alapú tűzfal egy tűzfal-alkalmazás, amely valamilyen hálózati operációs rendszer alatt fut (UNIX, Windows, Novell). Integrált tűzfal meglevő eszköz (pl.: forgalomirányító) tűzfalszolgáltatással kiegészítve. Személyes tűzfal a munkaállomáson helyezkedik el. Lehet az operációs rendszer beépített szolgáltatása, vagy származhat külső gyártótól is. a belső címek külső felhasználók elől való elrejtése A tűzfalak formái Hozzáférési lista (Access list - ACL) szerepe, mint a tűzfalé a forgalomirányítón konfigurálhatjuk szabályozhatjuk a hálózati forgalmat engedélyezhetünk és tilthatunk forrás és célcím alapján, beleértve a címtartományokat is 3. vagy 4. rétegű protokoll alapján 3. rétegben alkalmazhatunk ACL-t IP, IPX, AppleTalk vonatkozásában Vége 41 7