Sunum yükleniyor. Lütfen bekleyiniz

Sunum yükleniyor. Lütfen bekleyiniz

1 VEKİL SUNUCULAR VE GÜVENLİK DUVARLARI Yalçın Tosun 704031015.

Benzer bir sunumlar


... konulu sunumlar: "1 VEKİL SUNUCULAR VE GÜVENLİK DUVARLARI Yalçın Tosun 704031015."— Sunum transkripti:

1 1 VEKİL SUNUCULAR VE GÜVENLİK DUVARLARI Yalçın Tosun

2 Güvenlik Duvarları

3 3’e ayrılırlar: 3’e ayrılırlar: –Paket Filtreleyici Güvenlik Duvarları (Packet Filtering Firewalls) –Devre Düzeyinde Güvenlik Duvarları (Circuit- Level Firewalls) –Uygulama Düzeyinde Güvenlik Duvarları veya Vekil Sunucular (Application-Level Firewalls or Proxy Servers)

4 Paket Filtreleyici Güvenlik Duvarları İlgilendikleri başlık bilgileri İlgilendikleri başlık bilgileri –Kaynak ve hedef IP adresleri –Kaynak ve hedef port numaraları –TCP bağlantı bayrakları

5 Paket Filtreleyici Güvenlik Duvarları Paket filtreleme yapan yönlendiricilere perdeleyici yönlendiriciler (screening routers) denir Paket filtreleme yapan yönlendiricilere perdeleyici yönlendiriciler (screening routers) denir –Örneğin, Standart izin listesi Interface Ethernet0 Ip address Ip access-group 1 Access-list 1 deny host Access-list 1 permit any Paket filtreleyiciler yönlendirme yapmak zorunda değildirler Paket filtreleyiciler yönlendirme yapmak zorunda değildirler

6 Paket Filtreleyici Güvenlik Duvarları İkiye ayrılırlar: İkiye ayrılırlar: –Durumsuz (Stateless) –Durumlu (Stateful) Durumsuz olanlarda pratikte problemler yaşanmaktadır. Durumsuz olanlarda pratikte problemler yaşanmaktadır. Bu problemleri engellemek için “stateful inspection” yöntemi kullanılır. Bu problemleri engellemek için “stateful inspection” yöntemi kullanılır.

7 Paket Filtreleyici Güvenlik Duvarları Stateful inspection Stateful inspection –Checkpoint Software Technologies tarafından bulunmuştur. –Eski IP paketlerine ait bilgiler saklanır. –Arkadan gelen paketler daha hızlı geçerler

8 Paket Filtreleyici Güvenlik Duvarları Dezavantajları Dezavantajları –Sistem yöneticisinin saldırıları anlamasına yardımcı olabilecek kayıt tutma (logging) kabiliyeti çok azdır. –Paket filtreleme kuralları doğrudan test edilmek için zordurlar. Dolayısıyla, test edilemeyen açık noktalar kalabilmektedir. –Eğer karışık filtreleme kuralları gerekirse bunlar yönetilemez bir hale gelebilirler. Çoğu kablo/DSL cihazları bu güvenlik duvarlarını korumalarının bir parçası olarak kullanırlar. Çoğu kablo/DSL cihazları bu güvenlik duvarlarını korumalarının bir parçası olarak kullanırlar.

9 Devre Düzeyinde Güvenlik Duvarları Dışarıdan bilgi akışına sadece içerideki bilgisayarlardan istek geldiğinde izin verir. Dışarıdan bilgi akışına sadece içerideki bilgisayarlardan istek geldiğinde izin verir. Dışarıya giden isteklerin kaydı tutulur ve sadece isteğe karşılık gelen cevaba izin verilir Dışarıya giden isteklerin kaydı tutulur ve sadece isteğe karşılık gelen cevaba izin verilir Dışarıdakiler bütün bir ağı sadece güvenlik duvarının adresi olarak görür Dışarıdakiler bütün bir ağı sadece güvenlik duvarının adresi olarak görür Güvenlik duvarı açan kadar bütün portlar kapalıdır Güvenlik duvarı açan kadar bütün portlar kapalıdır Diğer filtreleme yöntemleriyle birleştirilmediği takdirde içerien gelen herhangi bir veri isteğine izin verir Diğer filtreleme yöntemleriyle birleştirilmediği takdirde içerien gelen herhangi bir veri isteğine izin verir

10 Devre Düzeyinde Güvenlik Duvarları İnternet paylaşımını sağlarlar İnternet paylaşımını sağlarlar Kablo/DSL yönlendiricileri bu yöntemi birincil olarak kullanırlar Kablo/DSL yönlendiricileri bu yöntemi birincil olarak kullanırlar İnternet paylaşımlı devre düzeyinde ağ geçitlerinin bir kombinezonu olan NAT (Network Address Translation) kullanırlar İnternet paylaşımlı devre düzeyinde ağ geçitlerinin bir kombinezonu olan NAT (Network Address Translation) kullanırlar SOCKS yaygın olarak kullanılmaktadır SOCKS yaygın olarak kullanılmaktadır

11 SOCKS İstemci yazılımına ve/veya TCP/IP yığınına modifikasyon gerektirir İstemci yazılımına ve/veya TCP/IP yığınına modifikasyon gerektirir İki parçadan oluşur İki parçadan oluşur –SOCKS sunucusu (daemon) –SOCKS istemcisi (kütüphanesi)

12 SOCKS SOCKS sunucusu uygulama katmanında çalışır SOCKS sunucusu uygulama katmanında çalışır SOCKS istemcisi uygulama ve ulaşım katmanları arasında çalışır SOCKS istemcisi uygulama ve ulaşım katmanları arasında çalışır

13 SOCKS SOCKS’un iki versiyonu vardır SOCKS’un iki versiyonu vardır –SOCKS V.4 –SOCKS V.5 SOCKS V.5’in temel farkları: SOCKS V.5’in temel farkları: –V.5’te istemci ile SOCKS sunucu arasında asıllama yöntemi hakkında bir el sıkışma desteği vardır –RFC’de 2 çeşit asıllama yöntemi vardır: şifre- temelli asıllama ve Kerberos V5 GSS-API

14 SOCKS SOCKS V.5’in temel farkları: SOCKS V.5’in temel farkları: –V.5 UDP bağlantıları için de “stateful inspection”a benzer bir yaklaşımla destek vermektedir –SOCKS V.5, desteklediği adres çözümlemesi sayesinde DNS yönetimini ve IP adres saklamasını kolaylaştırmaktadır

15 SOCKS SOCKS yapısının kontrol akış diyagramı SOCKS yapısının kontrol akış diyagramı

16 Uygulama Düzeyinde Güvenlik Duvarları Devre düzeyindeki güvenlik duvarlarına benzerler Devre düzeyindeki güvenlik duvarlarına benzerler Güvenlik duvarı arkasındaki bağlantıya doğrudan izin vermezler Güvenlik duvarı arkasındaki bağlantıya doğrudan izin vermezler Verinin içeriğine bakarlar Verinin içeriğine bakarlar Diğer güvenlik duvarlarına göre yavaştırlar Diğer güvenlik duvarlarına göre yavaştırlar İstemci bilgisayarlara dışarıdaki kaynaklara erişim için proxy konfigürasyonları yapılması gerekir İstemci bilgisayarlara dışarıdaki kaynaklara erişim için proxy konfigürasyonları yapılması gerekir

17 Uygulama Düzeyinde Ağ Geçitleri Kullanıcı asıllama ve yetkilendirmesi yapılır Kullanıcı asıllama ve yetkilendirmesi yapılır Kullanıcı asıllama için gerekli bilgiler başka bir güvenlik sunucusunda tutulabilir Kullanıcı asıllama için gerekli bilgiler başka bir güvenlik sunucusunda tutulabilir Bunun için en çok kullanılan protokoller Bunun için en çok kullanılan protokoller –Livingston Enterprises firmasına ait olan RADIUS –Cisco firmasına ait olan TACACS Bir sunucuya bağlanmadan önce uygulama düzeyinde bir ağ geçidine bağlanmak işlemi saydamlaştırılabilir. Buna “saydam vekillik (transparent proxy)” denir Bir sunucuya bağlanmadan önce uygulama düzeyinde bir ağ geçidine bağlanmak işlemi saydamlaştırılabilir. Buna “saydam vekillik (transparent proxy)” denir

18 Uygulama Düzeyinde Ağ Geçitleri Saydam vekillilik Saydam vekillilik –Daha geleneksel anlamıyla, saydam vekillikte bir kullanıcı doğrudan kaynağa bağlanmakla bir vekil sunucu üzerinden bağlanmak arasında bir zorluk yaşamaz. Bunun yerine istemci yazılımları bunu sağlayacak şekilde modifiye edilmelidirler. SOCKS bu yaklaşımı kullanmaktadır –Diğer anlamında ise, istemci yazılımı vekil sunuculardan haberdar olmak zorunda değildir. Erişim yönlendiricileri (Access Routers) herhangi bir isteği vekil sunucuya yönlendirmek için ayarlanırlar..

19 Güvenlik Duvarı Konfigürasyonları Değişik çeşitleri vardır. Değişik çeşitleri vardır. En yaygın kullanılan ikisi: En yaygın kullanılan ikisi: –Çift-Evli Güvenlik Duvarları (Dual-Homed Firewalls) –Perdelenmiş Alt Ağ Güvenlik Duvarı (Screened Subnet Firewall)

20 Çift-Evli Güvenlik Duvarları (Dual- Homed Firewalls) İki ağ arayüzlü, IP yönlendirme özelliği etkisizleştirilmiş bir vekil sunucusu İki ağ arayüzlü, IP yönlendirme özelliği etkisizleştirilmiş bir vekil sunucusu 2 filtreleme yapabilen (perdeleyici) yönlendirici bulunur 2 filtreleme yapabilen (perdeleyici) yönlendirici bulunur Internet Vekil sunucu Intranet

21 Çift-Evli Güvenlik Duvarları (Dual- Homed Firewalls) Güvenlik duvarı (ağ geçidi) DNS bilgilerini saklar Güvenlik duvarı (ağ geçidi) DNS bilgilerini saklar Dışarıdan hiç kimse korunan ağdaki ip adreslerini ve isimleri bilemez Dışarıdan hiç kimse korunan ağdaki ip adreslerini ve isimleri bilemez Güvenlik duvarında gerekli asıllama ve yetkilendirme bilgileri tutulabilir Güvenlik duvarında gerekli asıllama ve yetkilendirme bilgileri tutulabilir Erişim kayıtları da tutularak saldırı aktiviteleri izlenebilir Erişim kayıtları da tutularak saldırı aktiviteleri izlenebilir

22 Çift-Evli Güvenlik Duvarları (Dual- Homed Firewalls) Internet Intranet Yönlendirici Vekil Sunucu Dış ağ bölümü İç ağ bölümü Kaynak Adresi: Vekil sunucunun IP’si Hedef adres: Vekil sunucunun IP’si İzin verilen trafik Kaynak Adresi: Vekil sunucunun IP’si Hedef adres: Vekil sunucunun IP’si

23 Çift-Evli Güvenlik Duvarları (Dual- Homed Firewalls) Uygulama ağ geçidi ile yönlendirici arasına başka hizmetler veren sunucular yerleştirilebilir Uygulama ağ geçidi ile yönlendirici arasına başka hizmetler veren sunucular yerleştirilebilir Bu sunucular, dışarıya IP adresi ve ismi verilmeden, uygulama ağ geçidi üzerinden dışarı bağlanabilirler. Fakat bunun şöyle dezavantajları vardır: Bu sunucular, dışarıya IP adresi ve ismi verilmeden, uygulama ağ geçidi üzerinden dışarı bağlanabilirler. Fakat bunun şöyle dezavantajları vardır: –olmaları ağ geçidi üzerinde yoğun bir trafik oluşur –bazı hizmetler veren sunucular (LOTUS Notes, SQLnet gibi) için proxy desteği olmadığından korunan ağdan bunlara erişilemez Doğrudan dışarıdan gelen istekleri de alabilirler. Bu herhangi bir güvenlik sorunu oluşturmaz. Doğrudan dışarıdan gelen istekleri de alabilirler. Bu herhangi bir güvenlik sorunu oluşturmaz.

24 Perdelenmiş Alt Ağ Güvenlik Duvarı (Screened Subnet Firewall) İki perdeleyici yönlendirici kullanılır İki perdeleyici yönlendirici kullanılır Bunların arasında kalan alana perdelenmiş alt ağ veya askerden arındırılmış bölge (DMZ – Demilitarized Zone) denir Bunların arasında kalan alana perdelenmiş alt ağ veya askerden arındırılmış bölge (DMZ – Demilitarized Zone) denir Bu bölgede birkaç tane uygulama ağ geçidi ve istenirse diğer hizmetleri veren bazı sunucular bulunur Bu bölgede birkaç tane uygulama ağ geçidi ve istenirse diğer hizmetleri veren bazı sunucular bulunur

25 Perdelenmiş Alt Ağ Güvenlik Duvarı (Screened Subnet Firewall) Korunan ağdan dışarı çıkmak isteyenler, yönlendiricilerden ilki tarafından uygulama ağ geçidine yönlendirilirler Korunan ağdan dışarı çıkmak isteyenler, yönlendiricilerden ilki tarafından uygulama ağ geçidine yönlendirilirler DMZ’de bulunan diğer sunuculardan hizmet almak istiyorlarsa, yönlendirici tarafından uygulama ağ geçidine uğramadan bu sunuculara yönlendirilirler DMZ’de bulunan diğer sunuculardan hizmet almak istiyorlarsa, yönlendirici tarafından uygulama ağ geçidine uğramadan bu sunuculara yönlendirilirler Bunun avantajları: Bunun avantajları: –Çift-evli güvenlik duvarı konfigürasyonuna göre daha esnek bir yapı sağlar. –Uygulama ağ geçidi üzerinden yükü azaltarak performans artışını sağlar. Ancak, DMZ’de bulunan diğer sunucuların çok iyi korunması gerekir

26 Perdelenmiş Alt Ağ Güvenlik Duvarı (Screened Subnet Firewall) Internet Vekil Sunucu Intranet Yönlendirici Perdelenmiş Alt Ağ

27 SONUÇ Paket filtreleyici güvenlik duvarları basit bir güvenlik çözümü sağlarlar ve paketlerdeki verinin içeriğine bakmazlar Paket filtreleyici güvenlik duvarları basit bir güvenlik çözümü sağlarlar ve paketlerdeki verinin içeriğine bakmazlar Devre düzeyindeki güvenlik duvarları dışarıdan gelen paketler için tek giriş noktasıdır. Dışarıdaki bilgisayarlar sadece bunun adresini bilirler. Böylelikle, arkasındaki ağı güvenli bir şekilde korur. Ayrıca, asıllama ve yetkilendirme de yapılır. Burada da verinin içeriğine bakılmaz Devre düzeyindeki güvenlik duvarları dışarıdan gelen paketler için tek giriş noktasıdır. Dışarıdaki bilgisayarlar sadece bunun adresini bilirler. Böylelikle, arkasındaki ağı güvenli bir şekilde korur. Ayrıca, asıllama ve yetkilendirme de yapılır. Burada da verinin içeriğine bakılmaz Uygulama düzeyindeki güvenlik duvarları ise bilginin içeriğine bakarak paketi geçirip geçirmeyeceğine karar verir. Asıllama ve yetkilendirme mekanizmaları kullanır. Uygulama düzeyindeki güvenlik duvarları ise bilginin içeriğine bakarak paketi geçirip geçirmeyeceğine karar verir. Asıllama ve yetkilendirme mekanizmaları kullanır.

28 SONUÇ Çift-evli güvenlik duvarları daha güvenli bir yapı sunarken performans ve esneklik bakımından perdelenmiş alt ağ güvenlik duvarlarından daha düşük seviyededirler. Çift-evli güvenlik duvarları daha güvenli bir yapı sunarken performans ve esneklik bakımından perdelenmiş alt ağ güvenlik duvarlarından daha düşük seviyededirler.

29 Kaynaklar www.cs.columbia.edu/sip/drafts/Ther0005_SIP.pdf Oppliger, R. “Security Technologies for WWW”, Artech House, 1999 Oppliger, R. “Security Technologies for WWW”, Artech House, 1999


"1 VEKİL SUNUCULAR VE GÜVENLİK DUVARLARI Yalçın Tosun 704031015." indir ppt

Benzer bir sunumlar


Google Reklamları