VEKİL SUNUCULAR VE GÜVENLİK DUVARLARI

Güvenlik Duvarları

Güvenlik Duvarları 3’e ayrılırlar: Paket Filtreleyici Güvenlik Duvarları (Packet Filtering Firewalls) Devre Düzeyinde Güvenlik Duvarları (Circuit-Level Firewalls) Uygulama Düzeyinde Güvenlik Duvarları veya Vekil Sunucular (Application-Level Firewalls or Proxy Servers)

Paket Filtreleyici Güvenlik Duvarları İlgilendikleri başlık bilgileri Kaynak ve hedef IP adresleri Kaynak ve hedef port numaraları TCP bağlantı bayrakları

Paket Filtreleyici Güvenlik Duvarları Paket filtreleme yapan yönlendiricilere perdeleyici yönlendiriciler (screening routers) denir Örneğin, Standart izin listesi -------------------------------------------- Interface Ethernet0 Ip address 172.16.1.1 255.255.255.0 Ip access-group 1 Access-list 1 deny host 172.16.3.10 Access-list 1 permit any Paket filtreleyiciler yönlendirme yapmak zorunda değildirler

Paket Filtreleyici Güvenlik Duvarları İkiye ayrılırlar: Durumsuz (Stateless) Durumlu (Stateful) Durumsuz olanlarda pratikte problemler yaşanmaktadır. Bu problemleri engellemek için “stateful inspection” yöntemi kullanılır.

Paket Filtreleyici Güvenlik Duvarları Stateful inspection Checkpoint Software Technologies tarafından bulunmuştur. Eski IP paketlerine ait bilgiler saklanır. Arkadan gelen paketler daha hızlı geçerler

Paket Filtreleyici Güvenlik Duvarları Dezavantajları Sistem yöneticisinin saldırıları anlamasına yardımcı olabilecek kayıt tutma (logging) kabiliyeti çok azdır. Paket filtreleme kuralları doğrudan test edilmek için zordurlar. Dolayısıyla, test edilemeyen açık noktalar kalabilmektedir. Eğer karışık filtreleme kuralları gerekirse bunlar yönetilemez bir hale gelebilirler. Çoğu kablo/DSL cihazları bu güvenlik duvarlarını korumalarının bir parçası olarak kullanırlar.

Devre Düzeyinde Güvenlik Duvarları Dışarıdan bilgi akışına sadece içerideki bilgisayarlardan istek geldiğinde izin verir . Dışarıya giden isteklerin kaydı tutulur ve sadece isteğe karşılık gelen cevaba izin verilir Dışarıdakiler bütün bir ağı sadece güvenlik duvarının adresi olarak görür Güvenlik duvarı açan kadar bütün portlar kapalıdır Diğer filtreleme yöntemleriyle birleştirilmediği takdirde içerien gelen herhangi bir veri isteğine izin verir

Devre Düzeyinde Güvenlik Duvarları İnternet paylaşımını sağlarlar Kablo/DSL yönlendiricileri bu yöntemi birincil olarak kullanırlar İnternet paylaşımlı devre düzeyinde ağ geçitlerinin bir kombinezonu olan NAT (Network Address Translation) kullanırlar SOCKS yaygın olarak kullanılmaktadır

SOCKS İstemci yazılımına ve/veya TCP/IP yığınına modifikasyon gerektirir İki parçadan oluşur SOCKS sunucusu (daemon) SOCKS istemcisi (kütüphanesi)

SOCKS SOCKS sunucusu uygulama katmanında çalışır SOCKS istemcisi uygulama ve ulaşım katmanları arasında çalışır

SOCKS SOCKS’un iki versiyonu vardır SOCKS V.5’in temel farkları: V.5’te istemci ile SOCKS sunucu arasında asıllama yöntemi hakkında bir el sıkışma desteği vardır RFC’de 2 çeşit asıllama yöntemi vardır: şifre-temelli asıllama ve Kerberos V5 GSS-API

SOCKS SOCKS V.5’in temel farkları: V.5 UDP bağlantıları için de “stateful inspection”a benzer bir yaklaşımla destek vermektedir SOCKS V.5, desteklediği adres çözümlemesi sayesinde DNS yönetimini ve IP adres saklamasını kolaylaştırmaktadır

SOCKS SOCKS yapısının kontrol akış diyagramı

Uygulama Düzeyinde Güvenlik Duvarları Devre düzeyindeki güvenlik duvarlarına benzerler Güvenlik duvarı arkasındaki bağlantıya doğrudan izin vermezler Verinin içeriğine bakarlar Diğer güvenlik duvarlarına göre yavaştırlar İstemci bilgisayarlara dışarıdaki kaynaklara erişim için proxy konfigürasyonları yapılması gerekir

Uygulama Düzeyinde Ağ Geçitleri Kullanıcı asıllama ve yetkilendirmesi yapılır Kullanıcı asıllama için gerekli bilgiler başka bir güvenlik sunucusunda tutulabilir Bunun için en çok kullanılan protokoller Livingston Enterprises firmasına ait olan RADIUS Cisco firmasına ait olan TACACS Bir sunucuya bağlanmadan önce uygulama düzeyinde bir ağ geçidine bağlanmak işlemi saydamlaştırılabilir. Buna “saydam vekillik (transparent proxy)” denir

Uygulama Düzeyinde Ağ Geçitleri Saydam vekillilik Daha geleneksel anlamıyla, saydam vekillikte bir kullanıcı doğrudan kaynağa bağlanmakla bir vekil sunucu üzerinden bağlanmak arasında bir zorluk yaşamaz. Bunun yerine istemci yazılımları bunu sağlayacak şekilde modifiye edilmelidirler. SOCKS bu yaklaşımı kullanmaktadır Diğer anlamında ise, istemci yazılımı vekil sunuculardan haberdar olmak zorunda değildir. Erişim yönlendiricileri (Access Routers) herhangi bir isteği vekil sunucuya yönlendirmek için ayarlanırlar..

Güvenlik Duvarı Konfigürasyonları Değişik çeşitleri vardır. En yaygın kullanılan ikisi: Çift-Evli Güvenlik Duvarları (Dual-Homed Firewalls) Perdelenmiş Alt Ağ Güvenlik Duvarı (Screened Subnet Firewall)

Çift-Evli Güvenlik Duvarları (Dual-Homed Firewalls) İki ağ arayüzlü, IP yönlendirme özelliği etkisizleştirilmiş bir vekil sunucusu 2 filtreleme yapabilen (perdeleyici) yönlendirici bulunur Internet Vekil sunucu Intranet

Çift-Evli Güvenlik Duvarları (Dual-Homed Firewalls) Güvenlik duvarı (ağ geçidi) DNS bilgilerini saklar Dışarıdan hiç kimse korunan ağdaki ip adreslerini ve isimleri bilemez Güvenlik duvarında gerekli asıllama ve yetkilendirme bilgileri tutulabilir Erişim kayıtları da tutularak saldırı aktiviteleri izlenebilir

Çift-Evli Güvenlik Duvarları (Dual-Homed Firewalls) İzin verilen trafik Internet Kaynak Adresi: Vekil sunucunun IP’si Hedef adres: Yönlendirici Dış ağ bölümü Vekil Sunucu İç ağ bölümü Yönlendirici Kaynak Adresi: Vekil sunucunun IP’si Hedef adres: Intranet

Çift-Evli Güvenlik Duvarları (Dual-Homed Firewalls) Uygulama ağ geçidi ile yönlendirici arasına başka hizmetler veren sunucular yerleştirilebilir Bu sunucular, dışarıya IP adresi ve ismi verilmeden, uygulama ağ geçidi üzerinden dışarı bağlanabilirler. Fakat bunun şöyle dezavantajları vardır: olmaları ağ geçidi üzerinde yoğun bir trafik oluşur bazı hizmetler veren sunucular (LOTUS Notes, SQLnet gibi) için proxy desteği olmadığından korunan ağdan bunlara erişilemez Doğrudan dışarıdan gelen istekleri de alabilirler. Bu herhangi bir güvenlik sorunu oluşturmaz.

Perdelenmiş Alt Ağ Güvenlik Duvarı (Screened Subnet Firewall) İki perdeleyici yönlendirici kullanılır Bunların arasında kalan alana perdelenmiş alt ağ veya askerden arındırılmış bölge (DMZ – Demilitarized Zone) denir Bu bölgede birkaç tane uygulama ağ geçidi ve istenirse diğer hizmetleri veren bazı sunucular bulunur

Perdelenmiş Alt Ağ Güvenlik Duvarı (Screened Subnet Firewall) Korunan ağdan dışarı çıkmak isteyenler, yönlendiricilerden ilki tarafından uygulama ağ geçidine yönlendirilirler DMZ’de bulunan diğer sunuculardan hizmet almak istiyorlarsa, yönlendirici tarafından uygulama ağ geçidine uğramadan bu sunuculara yönlendirilirler Bunun avantajları: Çift-evli güvenlik duvarı konfigürasyonuna göre daha esnek bir yapı sağlar. Uygulama ağ geçidi üzerinden yükü azaltarak performans artışını sağlar. Ancak, DMZ’de bulunan diğer sunucuların çok iyi korunması gerekir

Perdelenmiş Alt Ağ Güvenlik Duvarı (Screened Subnet Firewall) Internet Vekil Sunucu Yönlendirici Perdelenmiş Alt Ağ Yönlendirici Intranet

SONUÇ Paket filtreleyici güvenlik duvarları basit bir güvenlik çözümü sağlarlar ve paketlerdeki verinin içeriğine bakmazlar Devre düzeyindeki güvenlik duvarları dışarıdan gelen paketler için tek giriş noktasıdır. Dışarıdaki bilgisayarlar sadece bunun adresini bilirler. Böylelikle, arkasındaki ağı güvenli bir şekilde korur. Ayrıca, asıllama ve yetkilendirme de yapılır. Burada da verinin içeriğine bakılmaz Uygulama düzeyindeki güvenlik duvarları ise bilginin içeriğine bakarak paketi geçirip geçirmeyeceğine karar verir. Asıllama ve yetkilendirme mekanizmaları kullanır.

SONUÇ Çift-evli güvenlik duvarları daha güvenli bir yapı sunarken performans ve esneklik bakımından perdelenmiş alt ağ güvenlik duvarlarından daha düşük seviyededirler.