Tietoverkkojen turvallisuus. Tuomas Aura T Johdatus tietoliikenteeseen kevät 2012

Transkriptio

1 Tietoverkkojen turvallisuus Tuomas Aura T Johdatus tietoliikenteeseen kevät 2012

2 Luennon sisältö 1. Palomuurit ja rajavalvonta NAT palomuurina Tilaton, tilallinen ja sovellustason palomuuri Virtuaaliverkkoyhteys 2. Tietoturvauhkien analyysi Case Oodi 2

3 RAJAVALVONTA: PALOMUURIT 3

4 Palomuuri Sisäverkko Internet Palomuuri suodattaa liikennettä turvallisen ja turvattoman vyöhykkeen välillä Sisäverkon ja Internetin välillä; tietokoneen ja tietoverkon välillä Palomuurin tarkoitus: Vähentää havoittuvuutta pienentämällä avoimia rajapintoja Toteuttaa tietoturvasääntöjä Perinteinen turvallisuuden malli: järjestelmä jaetaan alueisiin ja liikennettä niiden rajojen yli valvotaan (perimeter security) 4

5 NAT palomuurina NAT tekee muunnoksen verkon sisäisten ja ulkoisten osoitteiden välillä src= :3344 dst= :80 TCP SYN NAT src= :4567 dst= :80 TCP SYN Internet Sisäinen IP-os. Portti Ulkoinen IP-os. Portti yksityiset IP-osoitteet sisäverkossa julkinen Internet 5

6 NAT palomuurina NAT tekee muunnoksen verkon sisäisten ja ulkoisten osoitteiden välillä src= :80 dst= :3344 TCP SYN ACK NAT src= :80 dst= :4567 TCP SYN ACK Internet Sisäinen IP-os. Portti Ulkoinen IP-os. Portti yksityiset IP-osoitteet sisäverkossa julkinen Internet 6

7 NAT palomuurina NAT suojaa verkkoa: Yhteys aloitettava (TCP SYN) sisäverkosta; Internetistä ei mahdollista luoda yhteyttä sisäverkkoon Piilottaa sisäverkon osoitteet ja rakenteen NAT tukee yleensä TCP ja UDPprotokollia, joskus myös ICMP:tä Ensimmäinen paketti lähetettävä aina ulospäin Q: Voiko hyökkääjä arvata porttinumeron ja lähettää IP-paketteja sisäverkon koneelle? 7

8 NAT palomuurina NAT-toteutuksissa on paljon eroja Mitä enemmän tietoa NAT muistaa yhteydestä, sitä vaikeampaa hyökkääjän on lähettää paketteja sen läpi Ylläpitäjä voi avata NAT:iin pysyviä aukkoja src= :3344 dst= :80 TCP SYN NAT src= :4567 dst= :80 TCP SYN Internet Tyyppi Sisäinen IP-os. Portti Ulkoinen IP-os. Portti Palvelimen IP-os. Portti pysyvä *... * 8

9 Palomuurisäännöt Entä jos verkossa ei ole NAT:ia? Reitin tai erillinen palomuuri voi silti pitää kirjaa yhteyksistä ja suodattaa niitä Palomuurisäännöillä verkon (tai koneen) ylläpitäjä estää ja sallii yhteyksiä Yhteydet ulospäin vain tiettyihin porttinumeroihin Yhteydet sisäänpäin tiettyihin koneisiin ja portteihin Esim: Yhteyde n suunta Protokolla Sisäinen IP-osoite Ulos TCP /24 Ulos UDP /24 Portti Ulkoinen IP-osoite Sisään TCP ,443 * Portti Toiminto * 22,80,443 Salli SSH,HTTP, HTTPS * 53 Salli DNS Salli Oma webpalvelin * * * * * * Estä Oletussääntö 9

10 Palomuurityypit A. Tilaton palomuuri Jokainen paketti käsitellään erikseen ja sallitaan tai estetään vertaamalla otsakkeita sääntöihin B. Tilallinen palomuuri (stateful packet inspection) Tavallisin palomuurityyppi, esim. NAT Palomuuri pitää kirjaa avoimista yhteyksistä C. Sovellustason palomuuri 1. Pakettien syvätarkastus (deep packet inspection) Palomuuri tutkii pakettien sisältöä tai rekonstruoi TCP-tavuvirran Esim. URL-suodatus, virustarkistus, Internet-sensuuri 2. Välityspalvelin (application proxy): Esim. ohjataan ulos menevät HTTP-yhteydet välityspalvelimelle ja suodatetaan URL:n ja sisällön perusteella Esim. estetään palomuurisäännöillä sähköpostin välitys muiden kuin yhden SMTP-palvelimen kautta, jossa virustarkistus Palomuurina toimii yleensä reititin, sovellustasolla erillinen palomuurilaite C B A? Sovelluskerros, middleware Kuljetuskerros: TCP, UDP Verkkokerros: IPv4, IPv6 Linkkikerros 10

11 Etäkäyttöyhteydet Sisäverkko Internet Virtuaaliverkkoyhteys (VPN): Liikkuvat tietokone kuuluu loogisesti sisäverkkoon IP-paketit koneesta ohjataan suojattua tunnelia sisäverkkoon VPN voi myös yhdistää useita sisäverkkoja yhdeksi loogiseksi virtuaaliverkoksi VPN-tunneli suojataan kryptografialla SSL-VPN, PPTP, SSH tai IPsec Todennettu avaintenvaihto + datan salaus ja todennus mobiililaitteen ja palomuurin tai erillisen VPN-palvelimen välillä 11

12 TIETOTURVAUHKIEN ANALYYSI 12

13 Tietoturvan suunnittelu Organisaation tai järjestelmän tietoturvan suunnittelu: Tunnistetaan suojattava tieto-omaisuus Tunnistetaan uhkat: fyysiset, tietotekniset ja sosiaaliset mitä pahaa voi tapahtua? kuka? Tehdään riski-analyysi: vahinkojen suuruus ja todennäköisyys, uhkien priorisointi Päätetään suojauksen tavoitteet Päätetään suojauksen keinot: tekniset suojaukset, prosessit, vastuut ja resurssit Tietoturva on jatkuva prosessi: Turvatilannetta on valvottava; suojauksia päivitetään uhkien muuttuessa 13

14 Kertaus: tietoturvan tavoitteet Tietoturvatavoitteita: (CIA = Confidentiality, Integrity, Availability) Tiedon luottamuksellisuus Tiedon eheys Tiedon ja palvelujen saatavuus Lisäksi pääsynvalvonta (access control) Vain valtuutut tahot saavat käyttää tietoa tai palvelua Esim. käyttäjän identiteetin todentaminen ja käyttöoikeuksien tarkistus 14

15 Uhka-analyysi Esimerkki: opintorekisteri Mitä suojeltavaa tietoa? Mitä tietojärjestelmän osia? Mitä uhkia, hyökkääjiä? Uhkien priorisointi? Tarkastellaan aina koko järjestelmää, ei vain tietoliikennettä Käytitkö ensin CIA-mallia? Riittääkö se? Muistitko sisäpiirin uhkat? 15

16 Opintorekisteri Suojeltava omaisuus: Opintosuoritukset, opiskelijoiden henkilötiedot Uhkat: Henkilötietojen vuotaminen (julkisuuslain mukaan julkista!) Tiedon luvaton muokkaaminen, esim. väärennetyt suoritukset Luvaton pääsy tietokantaan ylläpitäjän tunnuksella Rekisterin ylläpitäjän salasanan kuuntelu Palvelinohjelmistojen heikkouksien hyväksikäyttö Sosiaalinen hakkerointi Ylläpitäjän rekisteriin siirtämän datan muokkaus verkossa Suoritustiedon tuhoutuminen Voiko ylläpitäjä poistaa tietoa? 3. Harmillista ja todennäköistä 1. Kriittistä vaikka harvinaista 1. Tärkeää ja todennäköistä Palvelun saatavuuden tilapäiset häiriöt Keskeiset tietoturvatavoitteet: Pääsynvalvonta etenkin tiedon poistolle ja kirjoittamiselle 3. Harmillista ja yleistä Huom! Tämä on vain yksi näkemys ja uhkakuvat voivat muuttua 4. Melko epätodennäköistä Rekisterin ylläpitäjien todentaminen, salasanan ja datan suojaus Opiskelijakäyttäjän todentaminen Ohjelmistojen luotettavuus 16