Segurança 4 - Firewall

Segurança 4 - Firewall

1. Tipos

   • Filtro de Pacote
     • Operam na camada de rede e transporte
       • Comunicação direta entre cliente/servidor
         • Stateless
           • Lista de regras hierarquizadas
         • Statefull
           • Além da tabela de regras existe a tabela de estados
             • O 1º pacote é filtrado pela tabela de regras caso seja aceito será criada uma ocorrência na tabela de estado. O 2º pacote em diante do mesmo fluxo será filtrado a partir da tabela de estado.
               • Assim o pacote é analizado dentro do seu contexto além de ganhar performace por esta sendo filtrado em uma tabela menor
                 • Protocolos não orientados a conexão (UDP, ICMP) são monitorados por um processo de conexão virtual
     • Exige + RAM que CPU
   • Proxy
     • Opera na camada de aplicação
       • Ñ há a comunicação direta. O proxy faz a requisição em nome do cliente
         • Implementa a segurança por obscuridade
         • Gateway Circuito
           • Faz a troca de IP e porta para a comunicação
         • Gateway de Aplicação
           • Troca IP e porta + a inspeção do payload da camada de aplicação
             • Pode trabalhar em conjunto com antivírus
     • Exige + CPU que RAM
       • Aproximadamente 100x mais lento que o filtro de pacote
   • Proxy reverso
   • WAF - Web Aplication Firewall
   • Next Generation

2. Arquitetura

   • Dual homed-host
     • Apenas isola a rede interna da externa
   • Screened host
     • Dá a possibilidade de hospedar um serviço dentro da rede interna para a externa
       • Desvantagem: se o servidor for violado o atacante já estará dentro da rede interna
         • Filtro de pacotes + bastion host
           • Uso de Bastion host
             • Choke point entre a rede interna e externa. Servindo como proxy para outros serviços hospedados na rede interna tbm é projetado para ser seguro.
   • Screenet subnet
     • Cria uma 3ª rede (DMZ) que abriga os serviços para o uso externo.
       • Vantagem: se o servidor for violado o rede interna ainda estará segura

Imagens e arquivos do mapa