Bài Viết Về PIX FIREWALL Tác giả: Nguyễn Thị Băng Tâm Chương 5: MỘT SỐ CHỨC NĂNG KHÁC CỦA PIXFIREWALL 1. Attack Guard a. DNS guard Giả sử để phân giải một tên đến một địa chỉ , một host có thể truy vấn (query ) cùng DNS server nhiều lần . Đặc điểm DNS guard của PIX firewall là nhận biết được một truy vấn outbound DNS và chỉ cho phép lần reply đầu tiên từ server được qua PIX firewall . Tất cả các lần replies khác sẽ bị loại bỏ . Sau lần DNS reply đầu tiên đó , DNS guard sẽ đóng tất cả các phiên UDP được mở bởi DNS request mà không cần chờ đến khoảng thời gian timeout của UDP . Một host cũng có thể truy vấn nhiều DNS server khác nhau . Ví dụ , nếu DNS resolver gửi ba query cụ thể đến 3 server khác nhau, PIX firewall sẽ tạo ra 3 kết nối khác nhau. Kết nối đến mỗi server được thực hiện riêng biệt vì request được gửi một cách riêng biệt , mỗi request được đặc trưng bởi một ID . Reply cho request này bao gồm cùng một ID và IP address giống nó . Từ đó , ta kết luận DNS Guard có những đặc điểm sau : - Chỉ chấp nhận các replies nào đúng địa chỉ IP - Chỉ chấp nhận một reply . Trong trường hợp có nhiều replies , ngoại trừ reply đầu tiên , tất cả các replies sẽ bị loại bỏ . - Kết nối UDP tương ứng với kết nối DNS sẽ bị loại bỏ ngay khi nhận được DNS reply mà không đợi đến khi hết thời gian timeout . - Bảo vệ được các phiên làm việc UDP từ các hình thức tấn công như DoS hay hijacking. Để hiểu rõ hơn hoạt động của DNS Guard , ta xem xét ví dụ sau : Client (có địa chỉ 192.168.0.1) và Web server (web.company.com , có địa chỉ 192.168.0.5 ) nằm trong inside interface của PIX và các địa chỉ private . DNS server nằm ở outside interface . PIX được cấu hình để chuyển địa chỉ của client và server khi đi ra mạng ngoài thành địa chỉ 1.2.3.4 thông qua PAT . Địa chỉ này được DNS server ghi lại là địa chỉ cho web.company.com. Khi client yêu cầu địa chỉ IP của server , PIX sẽ chuyển yêu cầu đó đến DNS server, đổi địa chỉ source từ 192.168.0.1 thành 1.2.3.4 (PIX thực hiện NAT ) . Khi PIX nhận được reply từ DNS server , ngoài việc pix đổi địa chỉ đích của gói tin (từ 1.2.3.4 đến 192.168.0.1) , nó còn thay đổi địa chỉ của Web server có trong reply đó (đó là 1.2.3.4 chuyển thành 192.168.0.5) .  NOTE : không thể tắt tính năng DNS Guard cũng như thay đổi giá trị mặc định là port 53 của DNS trong PIX . b. Mail Guard Mail Guard được thiết kế để bảo đảm độ an toàn cho các kết nối SMTP từ outside đến email server inside , nó sẽ hạn chế server và client có thể được phép làm và xem gì ? SMPT là một giao thức dựa trên telnet , được thiết kế cho việc truyền thư điện tử giữa các server . Client gửi các command đến server , server trả lời lại bằng các status messages và một số thông tin phụ thêm . Các command được phép đến mail server đó là : HELLO , MAIL , RCPT , DATA , RSET , NOOP , và QUIT . Mặc định PIX sẽ kiểm tra các kết nối port 25 cho lưu lượng SMTP . Nếu các SMTP server sử dụng nhiều port khác ngoài port 25 , ta phải sử dụng câu lệnh [no] fixup protocol smtp [<port> [-<port>]] Mục tiêu chính của Mail Guard là hạn chế các command mà client sử dụng đến mức thấp nhất (minimal set), trong khi vẫn quản lí toàn bộ command , cụ thể : - Mail Guard quản lí các command được gửi bởi client , nếu command này không thuộc về minimal set , nó sẽ thay thể bằng NOOP command . - Nếu Mail Guard gặp một command không biết , toàn bộ phần dữ liệu trong gói tin sẽ được đánh dấu bằng kí tự X , với kí tự này khi server nhận được sẽ phát ra một error . c. SYN flood Guard Để bảo vệ các host bên trong tránh khỏi các cuộc tấn công DoS , sử dụng câu lệnh static để giới hạn số lượng các kết nối embryonic được phép đến server . Cấu trúc của câu lệnh như sau : Static(internal_if_name , external_if_name) global_ip local_ip [netmask network_mask] [max_conns[em_limit]] • Internal_if_name : tên của interface mạng bên trong • External_if_name : tên của interface mạng bên ngoài • Global_ip : địa chỉ global ip cho interface bên ngoài . Địa chỉ này không được là địa chỉ PAT • Local_ip : địa chỉ local ip của mạng bên trong • Netmask network_mask : là mask của địa chỉ global và local • Max_conns : số lượng kết nối tối đa được phép đến local_ip . Mặc định là 0 , tức là unlimited • Em_limit : được sử dụng để giới hạn số lượng kết nối embryonic được phép đến server .  Nếu ta thiết lập mức ngưỡng quá cao , có nguy cơ sẽ làm quá tải IP stack và dễ bị DoS attack . Nếu thiết lập mức ngưỡng quá thấp, dễ dẫn đến tình trạng từ chối dịch vụ của các user hợp lệ . Thông thường chọn giá trị em_limit thấp hơn giá trị max_conns. Nếu trong câu lệnh static có cấu hình mức ngưỡng em_limit để giới hạn kết nối embryonic , và khi các kết nối đó đạt được giá trị ngưỡng thì PIX firewall chỉ đơn giản đánh rớt các kết nối mới . điều này cho phép kết thúc việc tổ chức lưu lượng từ các cuộc tấn công , ngay cả với các attack đơn giản nhất . Nếu trong câu lệnh static không có cấu hình ngưỡng em_limit , PIX firewall sẽ cho tất cả traffic đi qua , điều này sẽ dẫn đến bảng kết nối embryonic bị quá tải và tất cả traffic bị dừng lại khi có attack . Trong các version từ 5.2 trở lên , đã đưa ra một đặc điểm mới là TCP Intercept . TCP Intercept là phương pháp cải tiến việc đáp ứng một kết nối embryonic của PIX firewall . Khi số lượng kết nối này vượt quá giá trị ngưỡng được cấu hình , PIX firewall sẽ chặn đứng và chuyển sang kết nối mới . Các version trước 5.2 , pix không cho phép các kết nối mới sau khi đạt được giá trị ngưỡng . Điều này vẫn gây ra DoS vì các TCP connection slot vẫn được làm đầy . Hoạt động của TCP Intercept cũng đơn giản , đối với mỗi SYN , PIX firewall đáp ứng về cho server một SYN/ACK segment rỗng , PIX firewall giữ lại thông tin trạng thái SYN đó , đánh rớt các gói tin , và chờ ACK từ client . Nếu nhận được ACK , pix sẽ gửi bản copy SYN segment của client đến server , khi đó TCP three-way handshake được thực hiện giữa PIX firewall và server . Chỉ khi nào three-way handshake hoàn tất , kết nối đó mới được đưa về trạng thái bình thường . Để bảo vệ các host bên ngoài từ các cuộc tấn công DoS và để giới hạn số lượng kết nối embryonic đến server , sử dụng lệnh nat Cấu trúc câu lệnh như sau : nat [(if_name)] nat_id local_ip {netmask [max_conns [em_limit]]} Sử dụng lệnh show local-host để xem số lượng các kết nối hiện tại và các kết nối embryonic . d. AAA Floodguard Khi sử dụng AAA với PIX để nhận diện , thẩm quyền và quản lí user để làm giảm các vấn đề như truy cập không có thẩm quyền đến nguồn tài nguyên thông tin , điều này cũng tạo cho hacker có hội trong việc attack . Nếu tất cả các connection đều phải được chứng thực thì khi có quá nhiều authentication request làm cho nguồn tài nguyên của AAA quá tải dẫn đến dịch vụ bị từ chối – DoS . Floodguard command cho phép ta tự động bảo vệ nguồn tài nguyên cho PIX firewall nếu hệ thống xác thực user bị quá tải . Nếu kết nối uauth inbond hoặc outbound bị tấn công hoặc bị sử dụng quá nhiều , PIX tự động bảo vệ TCP user resource . Khi các nguồn tài nguyên bị cạn kiệt , PIX firewall sẽ đưa ra nhiều messages chỉ thị rằng nó đã hết tài nguyên (out of resource) . Nếu hệ thống uauth bị cạn kiệt , TCP user resource ở trạng thái khác sẽ được dùng phụ thuộc vào mức độ cảnh báo theo thứ tự sau : - Timewait - Finwait - Embryonic - Idle Floodguard command mặc định đã được bật lên và có cấu trúc như sau : floodguard enable | disable e. Fragmentation Guard Đặc điểm Fragmentation Guard đưa ra 2 security check ngoài các security check được đề nghị bởi RFC 1858 cho gói tin IP trong việc bảo vệ cho gói tin khỏi bị phân mảnh từ các cuộc tấn công như teardrop , land … Security check đầu tiên yêu cầu mỗi gói tin non-initial IP fragment phải liên kết với gói tin already-seen valid initial IP fragment . Vì các fragment này có thể đến không theo thứ tự . Security check thứ hai là IP fragment phải có tốc độ là 100 gói tin IP fragment hoàn chỉnh trên 1 giây cho mỗi host internal . Điều này có nghĩa là Pix có thể xử lý 1200 packet fragment trong vòng 1 giây . FragGuard hoạt động ở tất cả các interface của PIX firewall . Để enable tính năng này lên , sử dụng câu lệnh sysopt security fragguard 2. syslog Việc kiểm tra các cấu hình của thiết bị để bảo đảm nó hoạt động tốt là vấn đề quan trọng trong việc bảo mật mạng . Có rất nhiều cách để thực hiện điều này , nhưng cách chủ yếu vẫn là giám sát (monitor ) và ghi lại (log) các sự kiện trong mạng . Việc ghi lại các sự kiện rất quan trọng trong quá trình theo dõi nhiều thông tin trong hệ thống .Thao tác này sẽ đưa ra tại ngõ ra của hệ thống các message báo lỗi như ai đang làm gì , ai đang đi đâu , hoặc là các loại tấn công có thể có vào mạng . Trong PIX firewall có hai cách để ghi lại thông tin , đó là local và remote . Local logging là việc bản thân Pix có thể ghi lại các sự kiện , nhưng hạn chế của phương pháp này là chỉ ghi được một vài sự kiện . Remote logging là phương pháp cho phép ta lưu các bản tin và sử dụng các scripts để kiểm tra các bản tin đó một cách chi tiết , điểu khiển được dữ liệu và phát ra các bản báo cáo chi tiểt . Remote logging cũng cho phép ta lưu tạm các sự kiện . Để thực hiện được phương pháp này , PIX firewall sử dụng cơ chế syslog , đó là một trong các phương pháp phổ biến nhất để lưu và giữ lại các log messages , trong đó có một host sẽ gửi các syslog messages và một server quản lí syslog , server này có thể là máy chủ sử dụng hệ điều hành Window , Linux / UNIX . PIX firewall sẽ đóng vai trò như là một host gửi các syslog messages đến syslog server , syslog server quyết định sẽ đặt các bản tin này ở đâu còn tùy thuộc vào các software sử dụng cho server . Syslog server có thể viết các bản tin này thành một file hoặc là gửi thông báo khẩn (alert ) đến một người nào đó bằng email hay tin nhắn . Mặc định PIX firewall sẽ tắt chức năng logging , để bật nó lên ta sử dụng câu lênh sau : Pix (config)# logging on Câu lệnh này cần thiết để bắt đầu logging tất cả các sự kiện ở ngõ ra như ở buffer , terminal , hay là ở syslog server . Tuy nhiên sau khi sử dụng lệnh này , ta vẫn phải chỉ ra hình thức logging cụ thể . Để tắt logging , sử dụng no logging on a. Local logging Có 3 loại local logging là : buffered logging (logging từ bộ đệm ) , console logging (logging từ cổng console ) , và terminal logging (logging từ thiết bị đầu cuối ) . - Buffered logging : Khi sử dụng phương pháp này , tất cả các log messages được gửi đến một bộ đệm bên trong PIX firewall . Để bật tính năng này lên , sử dụng câu lệnh sau : Pix(config)# logging buffered <level> Tham số level chỉ ra mức độ chi tiết mà ta muốn xem trong các bản tin , các bản tin này sẽ xuất hiện ở cổng console của pix , tham số này được dùng để giới hạn số lượng bản tin được log . Để xem các bản tin được giữ trong bộ đệm , sử dụng câu lệnh show logging , câu lệnh này chỉ cấu hình logging cũng như các bản tin được giữ trong bộ đệm . Lệnh clear logging cho phép ta làm sạch bộ đệm . Hai lệnh trên được sử dụng ở enable mode . Ví dụ của lệnh show logging : Pix # show logging Syslog logging : enabled Facility : 20 Timestamp logging : disabled Standby logging : disabled Console logging : level debugging , 37 messages logged Monitor logging : disabled Buffer logging : level debugging , 8 messages logged Trap logging : disabled History logging : disabled  NOTE : Cisco đề nghị không nên bật tính năng buffered logging vì sẽ làm giảm hoạt động của PIX . - Console logging : gửi các log messages đến console ( cổng nối tiếp) của PIX firewall . Để bật tính năng này lên , sử dụng : pix(config) # logging console <level> Tham số level sử dụng giống như trong buffer logging . - Terminal logging : gửi các log messages đến một phiên telnet hoặc SSH . Để bật terminal logging , sử dụng : pix(config) # logging monitor <level> Bên cạnh bật chức năng này ở mode global , logging output cùng phải được bật trên mỗi phiên làm việc telnet hoặc SSH hiện tại bằng cách sử dụng câu lệnh terminal monitor . Để tắt nó , sử dụng terminal no monitor . b. Remote logging : syslog Như đã nói ở trước , logging trong pix mặc định là bị tắt đi , ta cần phải bật nó trên trước khi cấu hình logging cho pix . Pix(config) # logging on - Để cấu hình syslog trên pix , đầu tiên cần phải xác định host nào sẽ gửi syslog messages đến bằng cách sử dụng câu lệnh : logging host [<interface>] <ip_address> • Tham số interface chỉ ra interface mà ta muốn gửi các bản tin ra ngoài , • Tham số ip_address chỉ ra điạ chỉ của syslog server trên interface đó . Nếu không chỉ ra interface nào cụ thể , mặc định là lấy inside interface . - Sẽ không có log messages nào được gửi đến syslog cho đến khi ta cấu hình mức độ logging sử dụng câu lệnh sau : logging trap <level> - Khi được cấu hình để sử dụng syslog , PIX firewall sẽ gửi log messages đến syslog server mặc định sử dụng UDP port 514 . Ta có thể thay đổi mặc định này như sau : logging host [<interface>] <ip_address> [tcp | udp / <port_number>] Có thể cấu hình UDP hay là TCP cho syslog , tham số port _number là giá trị nằm trong khoảng 1025 đến 65535 . TCP không phải là phương pháp chuẩn cho việc cấu hình syslog vì hầu hết các syslog server không hỗ trợ . Nếu sử dụng kết nối TCP cho syslog server , cần lưu ý là nếu syslog server bị down thì tất cả lưu lượng trong mạng qua pix sẽ bị khóa . Một lưu ý khác là khi cấu hình TCP syslog thì kết nối syslog sẽ chậm hơn UDP vì TCP phụ thuộc vào quá trình bắt tay 3 bước . Điều này sẽ dẫn đến thêm overhead của kết nối và làm chậm việc gửi syslog messages đến server . - Đối với những pix có hỗ trợ tính năng failover , lệnh logging standby cho phép failover PIX gửi syslog messages cho các log files được đồng bộ trong trường hợp stateful failover xảy ra . c. logging level Mặc dù lệnh logging có 8 level khác nhau được sử dụng trong pix (theo bảng ) , logging level 0 không được sử dụng . Khi cấu hình logging , ta phải chỉ ra mức level có thể bằng số hay bằng từ khóa . Khi đó , PIX firewall ghi lại tất cả các sự kiện như nhau cho mức level được chỉ ra cũng như các level thấp hơn nó . Ví dụ , level mặc định cho pix là level 3 (error) , thì pix cũng sẽ log các sự kiện ở level 2 , level 1 , và level 0 . Ví dụ về các level được ghi lại : d. Logging facility Mỗi syslog message có một số tiện ích (facility number) . Có 24 facility khác nhau được xếp từ 0 đên 23 . 8 facility được sử dụng phổ biến cho syslog là local0 đến local7 . Facility có vai trò giống như những ống dẫn dẫn dắt tiến trình syslog . Tiến trình syslog sẽ đặt các messages vào đúng log file dựa trên facility . Cấu hinh tính năng này như sau : logging facility <facility_code> Các facility_code được sắp xếp theo bảng sau : 3. Content Filtering a. Filtering URL với Websense Có thể sử dụng access-list để cho phép hoặc từ chối truy cập web , nhưng nếu list các site ngày càng dài hơn , thì giải pháp này sẽ ảnh hưởng đến hoạt động của firewall . Ngoài ra , access-list không đưa ra được sự tiện lợi trong việc điều khiển truy cập trong trường hợp này . Ví dụ như nó không thể cho phép hoặc từ chối truy cập đến các trang cụ thể trong website , mà là toàn bộ website được chỉ ra trong câu lệnh của nó . Access-list cũng không có tác dụng đối với những website là những host ảo . Ví dụ như có nhiều website thuộc về cùng một server và tất của các website đó phải có địa chỉ IP , do đó chỉ có thể cho phép hoặc từ chối truy cập đến tất cả các [...]... 525 và 535 Note : Đặc điểm failover của PIX firewall chỉ hỗ trợ chức năng redundancy Một PIX sẽ hoạt động như là active firewall , một PIX khác hoạt động ở chế độ standby mode Không thể sử dụng cả hai firewall cùng vai trò active cùng một lúc tức là PIX firewall không hỗ trợ tính năng load balancing Khi cấu hình failover , 1 firewall có vai trò là primary , một firewall có vai trò là secondary... mà được kiểm tra hoặc phân công các hoạt động khi một signature bị phát hiện Sau khi một policy được tạo ra, nó có thể được đưa vào bất cứ interface nào Mỗi interface có hai policy: một cho informational signature và một cho attack signature Mỗi lần một policy của một class signature được tạo ra và đưa vào interface, tất cả các signature được hỗ trợ của class đó được giám sát trừ khi disable chúng với... signature được gây ra nếu một policy được định nghĩa mà không có các hoạt động, hoạt động mặc định có hiệu quả Lệnh no ip audit name được dùng để bỏ một audit policy Lệnh sh ip audit name miêu tả các audit policy Để bỏ một policy từ một interface, sử dụng lệnh no ip audit interface Để miêu tả cấu hình inteface, sử dụng lệnh sh ip audit interface 5 Failover Chức năng failover của PIX firewall cung cấp... truyền đáp ứng khi một tập các nguyên tắc được so sánh với hoạt động của mạng Nó có thể giám sát các gói của 53 signature phat hiện xâm nhập và được cấu hình để gởi cảnh báo đến một Syslog server, drop packet hoặc reset lại kết nối 53 signature l một tập con của các signature được hỗ trợ bởi Cisco Intrusion Detection System (CIDS) PIX Firewall có thể phát hiện hai loại signature khác nhau: informational... audit interface Có hai lệnh ip auit name khác nhau: ip audit name info và ip audit name attack Lệnh ip audit name info được dùng để tạo ra các policy của các signature được phân loại như thông tin Tất cả informational signature, trừ những cái bị loại bỏ bởi lệnh ip audit signature, trở thành một phần của policy Lệnh ip audit name attack thực hiện cùng chức năng với signature được phân loại như attack... nhận được nội dung đã request Nếu không , request của client bị đánh rớt Websense là một phần mềm cung cấp chức năng filtering cho PIX firewall , giúp cho nhà quản trị mạng giám sát và điều khiển lưu lượng mạng Websense được sử dụng để khóa các URL mà PIX không thể khóa Websense quyết định là khóa hay cho phép một URL nào đó dựa trên thông tin cấu hình của nó và Master Database Cấu hình Websense là... gói IP đến tại một input interface Ví dụ, nếu một attack policy được đưa vào một outside interface, attack signature được gây ra khi attack traffic đến tại outside interface ở hướng vào, kể cả inbound traffic hoặc return traffic t một kết nối outbound b Cấu hình IDS Dùng lệnh ip audit để cấu hình IDS signature Đầu tiên tạo ra một policy với lệnh ip audit name và sau đó đưa policy này đến một interface... firewall (bây giờ đã active) sẽ lấy địa chỉ IP và MAC của primary firewall Primary firewall (bây giờ đang ở standby) sẽ lấy địa chỉ IP và MAC failover của secondary firewall Mặc định địa chỉ MAC của active firewall là các địa chỉ được tạo thành từ NICs của primary firewall và địa chỉ MAC của standby firewall là các địa chỉ được tạo thành từ NICs của secondary firewall Thay vì sử dụng các địa chỉ này... của active firewall Ngoài ra , active không có nghe thông tin gì từ standby trong khoảng 2 poll , nó xem như standby bị hư Nếu standby firewall phát hiện rằng active firewall bị tắt nguồn hoặc là reboot , standby sẽ trở nên active Nếu failover cable bị unplugged , failover không xảy ra Có hai loại failover là standard failover và LAN-based failover , chức năng của hai loại này là như nhau Sự khác. .. firewall khác trong vòng 3 giây , nó được truyền lại Sau 5 lần truyền lại mà vẫn không có ACK , firewall không có ACK messages đó được xem như là bị hư Configuration replication Configuration replication là chức năng đồng bộ cấu hình của primary với secondary Khi configuration replication thành công , cả primary và secondary phải giống nhau về hardware và software , chạy cùng OS và có cùng số interface . Thị Băng Tâm Chương 5: MỘT SỐ CHỨC NĂNG KHÁC CỦA PIXFIREWALL 1. Attack Guard a. DNS guard Giả sử để phân giải một tên đến một địa chỉ , một host có thể. Note : Đặc điểm failover của PIX firewall chỉ hỗ trợ chức năng redundancy . Một PIX sẽ hoạt động như là active firewall , một PIX khác hoạt động ở chế độ