• Non ci sono risultati.

in rete

N/A
N/A
Info
Scarica
Protected

Academic year: 2021

Condividi "in rete"

Copied!
57
0
0

Caricamento.... (Visualizza il testo completo ora)

Scarica adesso ( 57 pagine )

Testo completo

(1)

Sicurezza applicata in rete

Sicurezza applicata Sicurezza applicata

in rete

in rete

(2)

Contenuti del corso Contenuti del corso

Æ La progettazione delle reti Æ La progettazione delle reti

Æ Il routing nelle reti IP Æ Il routing nelle reti IP

Æ Il collegamento agli Internet Service Provider e problematiche di sicurezza

Æ Il collegamento agli Internet Service Provider e problematiche di sicurezza

Æ Analisi di traffico e dei protocolli applicativi

Æ Analisi di traffico e dei protocolli applicativi

Æ Multimedialità in rete Æ Multimedialità in rete

Æ Tecnologie per le reti future

Æ Tecnologie per le reti future

(3)

Contenuti del corso Contenuti del corso

Æ La progettazione delle reti Æ La progettazione delle reti

Æ Il routing nelle reti IP Æ Il routing nelle reti IP

Æ Il collegamento agli Internet Service Provider e problematiche di sicurezza

Æ Il collegamento agli Internet Service Provider e problematiche di sicurezza

Æ Analisi di traffico e dei protocolli applicativi

Æ Analisi di traffico e dei protocolli applicativi

Æ Multimedialità in rete Æ Multimedialità in rete

Æ Tecnologie per le reti future

Æ Tecnologie per le reti future

(4)

Argomenti della lezione Argomenti della lezione

Î Firewall e filtraggio del traffico

Î Firewall e filtraggio del traffico

Î Proxy e application gateway Î Proxy e application gateway

Î Servizi pubblici e DMZ

Î Servizi pubblici e DMZ

(5)

Aspetti di sicurezza

Aspetti di sicurezza

(6)

Extranet Extranet

Servizi di rete per clienti e

fornitori basati su Internet

Servizi di rete per clienti e

fornitori basati su Internet

(7)

Extranet Extranet

Î Database interni Î Database interni

Î Software amministrativi e gestionali Î Software amministrativi e gestionali

Î Sistemi per e-commerce … Î Sistemi per e-commerce …

Permette a operatori esterni di accedere alle risorse

elaborative dell’azienda

Permette a operatori esterni di accedere alle risorse

elaborative dell’azienda

(8)

Extranet Extranet

Access Router Access Access Router Router

Intranet aziendaleIntranetIntranet aziendale aziendale server

Web, SMTP…

server server Web, Web, SMTP…

SMTP…

Rete dell’ISP Rete dell’ISP Rete dell’ISP

Internet Internet Internet router

router

Cliente Cliente Cliente

(9)

Extranet Extranet

Access Router Access Access Router Router

Intranet aziendaleIntranetIntranet aziendale aziendale server

Web, SMTP…

server server Web, Web, SMTP…

SMTP…

Rete dell’ISP Rete dell’ISP Rete dell’ISP

Internet Internet Internet router

router

Fornitore Fornitore Fornitore

(10)

Per gestire i servizi extranet:

Per gestire i servizi extranet:

È necessario prevenire il rischio di attacchi e intrusioni da parte degli hacker nella rete aziendale È necessario prevenire il rischio di attacchi e intrusioni da parte degli hacker nella rete aziendale

È necessaria una connessione a banda larga sempre attiva fra la LAN aziendale e Internet

È necessaria una connessione

a banda larga sempre attiva fra

la LAN aziendale e Internet

(11)

Extranet Extranet

Access Router Access Access Router Router

Intranet aziendaleIntranetIntranet aziendale aziendale server

Web, SMTP…

server server Web, Web, SMTP…

SMTP…

Rete dell’ISP Rete dell’ISP Rete dell’ISP

Internet Internet Internet router

router

Intruder Intruder Intruder

(12)

Firewall Firewall

Î Collega una rete fidata a una rete considerata non sicura

Î Collega una rete fidata a una rete considerata non sicura

Combina dispositivi hardware e funzionalità software

Combina dispositivi hardware Î Î

e funzionalità software

Effettua il controllo costante del traffico in entrata e in uscita dalla rete da proteggere

Effettua il controllo costante del traffico in entrata e in uscita dalla rete da proteggere

Î Î

(13)

Internet ed intranet Internet ed intranet

intranet intranet intranet

Internet Internet Internet

firewall firewall firewall

Trusted network Trusted

Trusted networknetwork

Untrusted network Untrusted

Untrusted networknetwork

(14)

Firewall: obiettivi Firewall: obiettivi

Bloccare il traffico indesiderato proveniente dall’esterno Bloccare il traffico indesiderato proveniente dall’esterno

Î Î

Lasciare passare solo i flussi fidati, strettamente necessari ai servizi aziendali

Lasciare passare solo i flussi fidati, strettamente necessari ai servizi aziendali

Î Î

Impedire eventi maligni che possono celarsi all’interno

dei flussi fidati

Impedire eventi maligni che possono celarsi all’interno

dei flussi fidati

Î Î

(15)

I firewall in pratica…

I firewall in pratica…

Internet Internet Internet

firewall firewall firewall intranet

intranet

intranet

(16)

I firewall in pratica…

I firewall in pratica…

Internet Internet Internet

firewall firewall firewall intranet

intranet

intranet

(17)

Firewall: funzionalità Firewall: funzionalità

Packet filter Packet filter

Î Analizza l’header di livello 3 (IP)

e di livello 4 (TCP/UDP) di ciascun pacchetto

Î Analizza l’header di livello 3 (IP)

e di livello 4 (TCP/UDP) di ciascun pacchetto

Î Blocca i pacchetti in base a regole definite a priori dall’amministratore di rete

Î Blocca i pacchetti in base a regole definite a priori dall’amministratore di rete

Î È disponibile su alcuni router

Î È disponibile su alcuni router

(18)

Firewall: funzionalità Firewall: funzionalità

Stateful inspection Stateful inspection

Î Effettua un’analisi dei flussi in tempo reale

Î Effettua un’analisi dei flussi in tempo reale

Î Intercetta violazioni dei parametri di protocollo ai vari livelli

Î Intercetta violazioni dei parametri di protocollo ai vari livelli

Î Ispeziona anche le informazioni

scambiate a livello di applicazione Î Ispeziona anche le informazioni

scambiate a livello di applicazione

(19)

Firewall: esempio di funzionamento Firewall: esempio

di funzionamento

(20)

Firewall: esempio Firewall: esempio

NAT e firewall NAT e firewall

Î Spesso i router integrano NAT e funzioni di filtraggio dei pacchetti Î Spesso i router integrano NAT e

funzioni di filtraggio dei pacchetti

Î Blocco dei pacchetti in base a regole definite a priori dall’amministratore di rete mediante Access Control List Î Blocco dei pacchetti in base a regole

definite a priori dall’amministratore di rete mediante Access Control List Î Il filtraggio avviene in modo

bidirezionale

Î Il filtraggio avviene in modo

bidirezionale

(21)

L’host

L’host 192.168.1.1 (client)192.168.1.1 (client) deve contattare

deve contattare un server un server webweb susu InternetInternet

62.41.244.2 62.41.244.2

Internet Internet firewall

firewall firewall

192.168.1.1 192.168.1.1 192.168.1.1

192.168.1.254 192.168.1.254 192.168.1.254

158.109.1.253 158.109.1.253 158.109.1.253

intranet intranet

Firewall

Firewall

(22)

62.41.244.2 62.41.244.2

Internet Internet firewall

firewall firewall

192.168.1.1 192.168.1.1 192.168.1.1

192.168.1.254 192.168.1.254 192.168.1.254

158.109.1.253 158.109.1.253 158.109.1.253

intranet intranet

Il client

Il client inviainvia al default router al default router unun pacchettopacchetto IPIP avente:avente:

SIP 192.168.1.1

SIP 192.168.1.1 SPortSPort 30231/TCP30231/TCP DIP 62.41.244.2

DIP 62.41.244.2 DPortDPort 80/TCP80/TCP

Firewall

Firewall

(23)

Il router/firewall, prima

Il router/firewall, prima di di inoltrarlo

inoltrarlo,, consultaconsulta lala tabella tabella delle

delle ACL (Access Control List)ACL (Access Control List)

Firewall Firewall

62.41.244.2 62.41.244.2

Internet Internet firewall

firewall firewall

192.168.1.1 192.168.1.1 192.168.1.1

192.168.1.254 192.168.1.254 192.168.1.254

158.109.1.253 158.109.1.253 158.109.1.253

intranet

intranet

(24)

ACL ACL

ACL table ACL table

RuleRule

FF FF BB

Dest address Dest address

62.41.244.2 62.41.244.2

AnyAny AnyAny

Dest port Dest port

80/TCP 80/TCP Any/TCP Any/TCP

AnyAny

Src address Src address

AnyAny AnyAny

62.41.244.2 62.41.244.2

Src port Src port

Any/TCP Any/TCP

AnyAny 80/TCP 80/TCP

B = BLOCK B = BLOCK

F = FORWARD F = FORWARD

(25)

62.41.244.2 62.41.244.2

Internet Internet firewall

firewall firewall

192.168.1.1 192.168.1.1 192.168.1.1

192.168.1.254 192.168.1.254 192.168.1.254

158.109.1.253 158.109.1.253 158.109.1.253

intranet intranet

Il router/firewall

Il router/firewall accetta accetta il pacchetto

il pacchetto ÎÎ NAT eNAT e inoltroinoltro alal destinatariodestinatario

Firewall

Firewall

(26)

Il server

Il server risponde alla risponde alla richiesta di connessione richiesta di connessione

del client del client

62.41.244.2 62.41.244.2

Internet Internet firewall

firewall firewall

192.168.1.1 192.168.1.1 192.168.1.1

192.168.1.254 192.168.1.254 192.168.1.254

158.109.1.253 158.109.1.253 158.109.1.253

intranet intranet

Firewall

Firewall

(27)

Il server

Il server risponderisponde al client al client con un

con un pacchetto aventepacchetto avente:: SIP 62.41.244.2

SIP 62.41.244.2 SPortSPort 80/TCP80/TCP DIP 158.109.1.253

DIP 158.109.1.253 DPortDPort 1024/TCP1024/TCP

Firewall Firewall

62.41.244.2 62.41.244.2

Internet Internet firewall

firewall firewall

192.168.1.1 192.168.1.1 192.168.1.1

192.168.1.254 192.168.1.254 192.168.1.254

158.109.1.253 158.109.1.253 158.109.1.253

intranet

intranet

(28)

Il router/firewall, prima

Il router/firewall, prima di di inoltrarlo

inoltrarlo,, consultaconsulta lala tabella tabella delle

delle ACL (Access Control List)ACL (Access Control List)

Firewall Firewall

62.41.244.2 62.41.244.2

Internet Internet firewall

firewall firewall

192.168.1.1 192.168.1.1 192.168.1.1

192.168.1.254 192.168.1.254 192.168.1.254

158.109.1.253 158.109.1.253 158.109.1.253

intranet

intranet

(29)

ACL ACL

ACL table ACL table

RuleRule

FF FF BB

Dest address Dest address

62.41.244.2 62.41.244.2

AnyAny AnyAny

Dest port Dest port

80/TCP 80/TCP Any/TCP Any/TCP

AnyAny

Src address Src address

AnyAny AnyAny

62.41.244.2 62.41.244.2

Src port Src port

Any/TCP Any/TCP

AnyAny 80/TCP 80/TCP

B = BLOCK B = BLOCK

F = FORWARD F = FORWARD

(30)

Il router/firewall

Il router/firewall applicaapplica

lala traduzionetraduzione (NAT) e(NAT) e ilil clientclient

riceve correttamente il pacchetto riceve correttamente il pacchetto

62.41.244.2 62.41.244.2

Internet Internet firewall

firewall firewall

192.168.1.1 192.168.1.1 192.168.1.1

192.168.1.254 192.168.1.254 192.168.1.254

158.109.1.253 158.109.1.253 158.109.1.253

intranet intranet

Firewall

Firewall

(31)

Il client

Il client inviainvia al default router unal default router un pacchetto

pacchetto IPIP aventeavente:: SIP 192.168.1.1

SIP 192.168.1.1 SPortSPort 30232/TCP30232/TCP DIP 212.15.15.26

DIP 212.15.15.26 DPortDPort 80/TCP80/TCP

Firewall Firewall

212.15.15.26 212.15.15.26

Internet Internet firewall

firewall firewall

192.168.1.1 192.168.1.1 192.168.1.1

192.168.1.254 192.168.1.254 192.168.1.254

158.109.1.253 158.109.1.253 158.109.1.253

intranet

intranet

(32)

Il router/firewall, prima

Il router/firewall, prima di di inoltrarlo

inoltrarlo,, consultaconsulta lala tabella tabella delle

delle ACL (Access Control List)ACL (Access Control List)

Filtraggio Filtraggio

212.15.15.26 212.15.15.26

Internet Internet firewall

firewall firewall

192.168.1.1 192.168.1.1 192.168.1.1

192.168.1.254 192.168.1.254 192.168.1.254

158.109.1.253 158.109.1.253 158.109.1.253

intranet

intranet

(33)

ACL ACL

ACL table ACL table

RuleRule

FF FF BB

Dest address Dest address

62.41.244.2 62.41.244.2

AnyAny AnyAny

Dest port Dest port

80/TCP 80/TCP Any/TCP Any/TCP

AnyAny

Src address Src address

AnyAny AnyAny

62.41.244.2 62.41.244.2

Src port Src port

Any/TCP Any/TCP

AnyAny 80/TCP 80/TCP

B = BLOCK B = BLOCK

F = FORWARD F = FORWARD

(34)

212.15.15.26 212.15.15.26

Internet Internet firewall

firewall firewall

192.168.1.1 192.168.1.1 192.168.1.1

192.168.1.254 192.168.1.254 192.168.1.254

158.109.1.253 158.109.1.253 158.109.1.253

intranet intranet

Il router/firewall

Il router/firewall blocca il blocca il pacchetto

pacchetto ee inviainvia al client unal client un pacchetto

pacchetto ICMP Destination ICMP Destination Unreachable

Unreachable

Filtraggio

Filtraggio

(35)

212.14.15.26 212.14.15.26

Internet Internet firewall

firewall firewall

192.168.1.100 192.168.1.100 192.168.1.100

192.168.1.254 192.168.1.254 192.168.1.254

158.109.1.253 158.109.1.253 158.109.1.253

intranet intranet

Servizi protetti Servizi protetti

Un client

Un client esterno invia una esterno invia una richiesta

richiesta al serveral server protettoprotetto

(36)

Servizi protetti Servizi protetti

212.14.15.26 212.14.15.26

Internet Internet firewall

firewall firewall

192.168.1.100 192.168.1.100 192.168.1.100

192.168.1.254 192.168.1.254 192.168.1.254

158.109.1.253 158.109.1.253 158.109.1.253

intranet intranet

IlIl pacchetto possiede:pacchetto possiede: SIP 212.14.15.26

SIP 212.14.15.26 SPortSPort 3200/TCP3200/TCP DIP 158.109.1.253

DIP 158.109.1.253 DPortDPort 80/TCP80/TCP

(37)

ACL ACL

ACL table ACL table

RuleRule

FF FF BB

Dest address Dest address

158.109.1.253 158.109.1.253

AnyAny AnyAny

Dest port Dest port

80/TCP 80/TCP Any/TCP Any/TCP

AnyAny

Src address Src address

AnyAny AnyAny

192.168.1.100 192.168.1.100

Src port Src port

Any/TCP Any/TCP

AnyAny 80/TCP 80/TCP

B = BLOCK B = BLOCK

F = FORWARD F = FORWARD

(38)

Il router/firewall

Il router/firewall applicaapplica

lala traduzionetraduzione (NAT) e(NAT) e inoltra inoltra il pacchetto

il pacchetto al serveral server internointerno

212.14.15.26 212.14.15.26

Internet Internet firewall

firewall firewall

192.168.1.100 192.168.1.100 192.168.1.100

192.168.1.254 192.168.1.254 192.168.1.254

158.109.1.253 158.109.1.253 158.109.1.253

intranet intranet

Servizi protetti

Servizi protetti

(39)

Proxy e application gateway

Proxy e application

gateway

(40)

Application gateway Application gateway

Î Collega due segmenti di rete a livello di applicazione

Î Collega due segmenti di rete a livello di applicazione

Riguarda il traffico uscente dalla rete aziendale Riguarda il traffico uscente dalla rete aziendale

Î Î

Fa da intermediario (o proxy) al flusso di dati tra i client

interni e i server esterni

Fa da intermediario (o proxy) al flusso di dati tra i client

interni e i server esterni

Î Î

(41)

Application gateway Application gateway

Il sistema maschera l’origine del collegamento iniziale Il sistema maschera l’origine del collegamento iniziale

Î Î

I client della rete interna

accedono ai servizi su Internet soltanto attraverso il gateway

I client della rete interna

accedono ai servizi su Internet soltanto attraverso il gateway Î Î

Il gateway può autorizzare gli utenti in base a specifiche policy di accesso

Il gateway può autorizzare gli utenti in base a specifiche policy di accesso

Î Î

(42)

Application gateway e servizi Application gateway e servizi

Î HTTP Î HTTP

Î FTP Î FTP

Î Telnet Î Telnet

Servizi che possono essere filtrati mediante application gateway:

Servizi che possono essere filtrati mediante application gateway:

Î Posta elettronica

(SMTP, POP3/IMAP) Î Posta elettronica

(SMTP, POP3/IMAP)

Î Î … …

(43)

Policy di accesso Policy di accesso

A fasce orarie A fasce orarie Î Î

IP black list: lista dei server riconosciuti come maliziosi IP black list: lista dei server riconosciuti come maliziosi Î Î

Keyword list: elenco di termini vietati o non conformi

Keyword list: elenco di termini vietati o non conformi

Î Î

(44)

Policy di accesso Policy di accesso

Tipo di informazioni scambiate (file eseguibili, immagini…)

Tipo di informazioni scambiate (file eseguibili, immagini…)

Î Î

Personalizzate per utente

Personalizzate per utente

Î Î

(45)

Application gateway Application gateway

proxy.azienda.net proxy.

proxy.aziendaazienda.net.net

www.ieee.com www.ieee.com

intranet intranet intranet

Internet

Internet

Internet

(46)

Application gateway Application gateway

proxy.azienda.net proxy.

proxy.aziendaazienda.net.net

www.ieee.com www.ieee.com

intranet intranet intranet

Internet Internet Internet

MI SERVE

WWW.IEEE.COM/802.HTML

(47)

Application gateway Application gateway

proxy.azienda.net proxy.

proxy.aziendaazienda.net.net

www.ieee.com www.ieee.com

intranet intranet intranet

Internet Internet Internet IEEE.COM

E’ UN SITO FIDATO!

(48)

Application gateway Application gateway

proxy.azienda.net proxy.

proxy.aziendaazienda.net.net

www.ieee.com www.ieee.com

intranet intranet intranet

Internet Internet Internet

802.html

802.html

(49)

Application gateway Application gateway

proxy.azienda.net proxy.

proxy.aziendaazienda.net.net

www.ieee.com www.ieee.com

intranet intranet intranet

Internet Internet Internet

802.html

802.html ECCOLO!

(50)

Application gateway Application gateway

proxy.azienda.net proxy.

proxy.aziendaazienda.net.net

www.ieee.com www.ieee.com

intranet intranet intranet

Internet Internet Internet

MI SERVE

WWW.CASINOONLINE.COM

802.html

802.html

(51)

proxy.azienda.net proxy.

proxy.aziendaazienda.net.net

www.ieee.com www.ieee.com

intranet intranet intranet

Internet Internet Internet

Application gateway Application gateway

802.html 802.html

VIETATO!

(52)

Firewall e DMZ

Firewall e DMZ

(53)

DMZ DMZ

Î Zona demilitarizzata Î Zona demilitarizzata

Î Porzione di rete a cavallo tra la rete protetta e Internet

Î Porzione di rete a cavallo tra la rete protetta e Internet

Separa i servizi pubblicamente accessibili da servizi e dati di natura privata

Separa i servizi pubblicamente accessibili da servizi e dati di natura privata

Î Î

(54)

DMZ DMZ

intranet intranet intranet

DMZDMZ DMZ

Internet Internet Internet

Servizi pubblici Servizi pubblici Servizi pubblici Servizi privati

Servizi privati Servizi privati

Host interni HostHost interniinterni

(55)

intranet intranet intranet

DMZDMZ DMZ

Internet Internet Internet

DMZ DMZ

Bastion host Bastion host Bastion host Protected hosts

Protected hosts Protected hosts

Outer firewall Outer firewall Outer firewall Inner firewall

Inner firewall Inner firewall

(56)

DMZ DMZ

I servizi pubblici risiedono su server collocati nella DMZ

I servizi pubblici risiedono su server collocati nella DMZ

Î Î

Î I servizi privati e gli host della rete interna sono protetti da

due firewall

Î I servizi privati e gli host della rete interna sono protetti da

due firewall

I server della DMZ sono detti

bastion host perché unici visibili (e attaccabili) dalla rete esterna I server della DMZ sono detti

bastion host perché unici visibili

(e attaccabili) dalla rete esterna

Î Î

(57)

Sicurezza applicata in rete

Sicurezza applicata Sicurezza applicata

in rete

in rete

Riferimenti

Scarica adesso ( PDF - 57 pagine - 2.34 MB )

Documenti correlati

CUG – delibera 44/2018 regolamento Rete CUG Ambiente Rete nazionale dei Comitati unici di garanzia

La Rete CUG Ambiente (di seguito Rete) promuove all’interno del Sistema nazionale per la protezione dell’ambiente la costituzione dei CUG, nonché iniziative e azioni in tema di

Rete TPL Ferro Rete TPL Metro Rete TPL Corridoio Rete Viaria

Rete TPL Ferro Rete TPL Metro Rete TPL Tram Rete TPL Corridoio Rete Viaria Rete Ciclabile. FEBBRAIO

“Siamo tutti pezzi unici”

Obiettivo generale: il progetto concorre alla realizzazione del programma “Sostegno, inclusione e partecipazione delle persone fragili nella vita sociale e

DI RETE DI RETE

 SETTORIALITA’: grado in cui la rete si dimostra SETTORIALITA’: grado in cui la rete si dimostra suddivisibile in grappoli di legami distinti.. suddivisibile in grappoli di

Host: un computer connesso ad una rete.

Poiché il packet filter già analizza i pacchetti, può facilmente identificare i pacchetti che sono destinati ad un particolare host che si trovi nella VPN, cifrare tali pacchetti

 10 o più cubetti attaccabili per giocatore

A turno gli studenti mostrano i loro pezzi di treno nella mano non nascosta agli altri studenti del gruppo, che devono dire di quanti cubetti sono formati i due pezzi in cui il

(4 punti) Si debba suddividere la rete in sottoreti aventi ciascuna un massimo di 14 host

[ ] una trama broadcast viene inoltrata su tutte le porte tranne quella da cui è stata ricevuta [ ] l’instradamento delle trame si basa sugli indirizzi di livello MAC?. (3

in rete

accedono ai servizi su Internet soltanto attraverso il gateway Î I client della rete interna. accedono ai servizi su Internet soltanto attraverso il gateway Î Il gateway