La présentation est en train de télécharger. S'il vous plaît, attendez

La présentation est en train de télécharger. S'il vous plaît, attendez

Protection des ressources de l'entreprise : ISA Server 2004 & filtrage applicatif Stanislas Quastana, CISSP CISSP Architecte Infrastructure Microsoft France.

Présentations similaires


Présentation au sujet: "Protection des ressources de l'entreprise : ISA Server 2004 & filtrage applicatif Stanislas Quastana, CISSP CISSP Architecte Infrastructure Microsoft France."— Transcription de la présentation:

1 Protection des ressources de l'entreprise : ISA Server 2004 & filtrage applicatif Stanislas Quastana, CISSP CISSP Architecte Infrastructure Microsoft France

2 Agenda Introduction Présentation dISA Server 2004 Protection des accès sortants Protections des accès entrants Protections des réseaux internes et VPN Synthèse Ressources utiles Questions / Réponses

3 IntroductionIntroduction

4 Quelques chiffres 95% de toutes les failles évitables avec une configuration alternative (CERT 2002) Environ 70% de toutes les attaques Web se passent au niveau de la couche Application (Gartner Group) Sur les 10 attaques les plus répandues, 8 sont effectuées au niveau application (Symantec Corp) De décembre 2003 à décembre 2004, +80% daugmentation du nombre de vulnérabilités dapplication Web découvertes (Symantec Corp)

5 Attaques au niveau de la couche application Usurpation didentité Site web défiguré Accès non autorisés Modification des données et journaux Vol dinformations propriétaire Interruption de service Implications Mise en conformité ISO Bâle 2 (EU) Data Protection Act (EU) HIPAA (US) Sarbanes Oxley (US) Litiges Partage de fichiers illicites Piratage Responsabilités juridiques des entreprises et des RSSI En France le RSSI a obligation de moyens Impact sur les entreprises

6 Défense en profondeur Données et Ressources Défenses des applications Défenses des machines Défenses du réseau Défenses du périmètre Laccès à une couche inférieure nécessite de passer au préalable par les couches supérieures. Tous les éléments constituant la sécurité de la plateforme sont ainsi répartis au sein de cette approche par couche La gestion des accès aux réseaux fait partie des premières couches de protection dune infrastructure Les pare-feu sont un élément de protection du périmètre et du réseau Sécurité physique Politiques de sécurité

7 Application Layer Content ???????????????????? Un paquet IP vu par un pare-feu « traditionnel » Seul lentête du paquet est analysé Le contenu au niveau de la couche application est comme une boite noire IP Header Source Address, Dest. Address, TTL, Checksum TCP Header Sequence Number Source Port, Destination Port, Checksum La décision de laisser passer est basée sur les numéros de ports Le trafic légitime et les attaques applicatives utilisent les mêmes ports (ex : 80) Internet Trafic HTTP attendu Trafic HTTP non prévu Attaques Trafic non-HTTP Réseau dentreprise

8 Top 10 des attaques : 80% dattaques au niveau de la couche 7 DCOM RPC HTTP SQL Server SMTP Top attacks (source : Symantec Corporation)

9 Le problème Le filtrage de paquets & le statefull inspection ne sont plus suffisants pour se protéger des attaques actuelles Les pare-feux traditionnels se focalisent sur le filtrage de paquets et le statefull inspection Aujourdhui, la plupart des attaques contournent ce type de protection. Quelques exemples : Code Red & Nimda sur les serveurs IIS 4 et 5 OpenSSL/Slapper Blaster, Welchia sur le RPC Endpoint Mapper de Windows Slammer sur les serveurs SQL (ou MSDE) Santy-A sur les forums phpBB (Linux et Windows) Le premier ver dans la nature (in the wild) à exploiter une vulnérabilité dune application Web Les ports et protocoles ne permettent plus de contrôler ce que font les utilisateurs

10 Réseau public Vers réseau interne, DMZ, … Pare-feu niveau Application Pare-feu traditionnel Quel pare-feu utiliser ? Les pare-feu applicatif sont aujourdhui nécessaires pour se protéger des attaques évoluées car ils permettent une analyse approfondie du contenu des paquets réseaux. Comprendre ce quil y a dans la partie données est désormais un pré requis Néanmoins, le remplacement nest pas forcément la meilleure solution

11 Présentation dISA Server 2004

12 2 ème génération de pare-feu de Microsoft Pare-feu multicouches (3,4 et 7) Capacité de filtrage extensible Proxy applicatif Nouvelle architecture Intégration des fonctionnalités de VPN ISA Server 2004 en quelques mots

13 La vue dun paquet IP par ISA Les entêtes du paquet et le contenu sont inspectés Sous réserve de la présence dun filtre applicatif (comme le filtre HTTP) Application Layer Content MSNBC - MSNBC Front Page

14 PolicyEngine NDIS TCP/IP Stack Architecture dISA Server 2004 Firewall Engine Firewallservice Firewall service Application Filter API App Filter Web Proxy Filter Web Filter API (ISAPI) Web filter Web filter User Mode Kernel Mode SMTPFilterRPCFilter DNS Filter Policy Store Packet layer filtering 1 Protocol layer filtering 2 Application layer filtering 3 Kernel mode data pump: Performance optimization 4

15 Les filtres dISA Server 2004 Filtres applicatifs FTP : FTP : permet de bloquer les envois SMTP : gestion des commandes et filtrage des messages (contenu, extension, taille…) POP3 : détection dintrusion RTSP, MMS, PNM, H.323: Streaming DNS: détection dintrusions, transfert de zones RPC: publication de serveurs, filtrage sur les interfaces PPTP : permet la traversée de connexions VPN (Tunneling) SOCKS V4 Web Proxy : gestion de HTTP, HTTPs (filtres web…) Filtres Web Filtre HTTP : analyse du contenu des requêtes web (entêtes et données) des requêtes web (entêtes et données) Authentification RSA SecureID Authentification Radius Authentification OWA Web Forms Translateur de liens : réécriture dURL

16 ISA Server 2004 : un produit évolutif Filtrage applicatif Haute disponibilité Antivirus Détection dintrusion Reporting Accélérateurs SSL Contrôle dURLs Authentification Plus de partenaires sur : + dune trentaine de partenaires !!!

17 DMZ_1 Modèle réseau ISA Server 2004 Nombre de réseaux illimité Type daccès NAT/Routage spécifique à chaque réseau Les réseaux VPN sont considérés comme des réseaux à part entière La machine ISA est considéré comme un réseau (LocalHost) Stratégie de filtrage par réseau Filtrage de paquet sur toutes les interfaces Internet VPN ISA 2004 Toutes topologies / stratégies CorpNet_1 DMZ_n Local Area Network CorpNet_n VPN Quarantaine

18 action traffic utilisateur source destination conditions action sur traffic pour utilisateur depuis source vers destination avec conditions Structure des règles de pare-feu ISA Autoriser Interdire Protocole IP Port(s) TCP/UDP Réseau(x) Adresse(s) IP Machine(s) Réseau(x) Adresse(s) IP Machine(s) Serveur publié Site Web publié Planning Filtre applicatif Utilisateur(s) Groupe(s) Ensemble de règles ordonnées Règles systèmes puis règles utilisateur Plus logique et plus facile à comprendre (versus ISA Server 2000 notamment)

19 Scénarios de mise en œuvre dISA Server 2004 Pare feu de périmètre Multi réseaux DMZ Protection des applications et réseaux internes Passerelle de filtrage applicatif Serveurs Web Serveurs de messagerie Protection des réseaux internes Accès sécurisé et optimisé à Internet Stratégies daccès Cache Web Réseaux multi sites Sécurisation sites distants Intégration du VPN IPSec en mode Tunnel

20 Les versions dISA Server 2004 Édition Standard Inclus toutes les fonctionnalités de : Pare-feu (niveaux 3,4,7) Pare-feu (niveaux 3,4,7) Passerelle VPN Passerelle VPN Proxy cache Proxy cache sur un même serveur Disponible depuis Mai licence par processeur physique Également disponible sous la forme dappliance Édition Entreprise Ajoute la haute disponibilité et la tolérance de panne Ajoute la capacité à monter en charge en utilisant plusieurs serveurs (groupes) Ajoute ladministration centralisée au niveau entreprise Disponible depuis Mars licence par processeur physique SBS 2003 Le Service Pack 1 de Windows 2003 Small Business Server 2003 met à jour les version Premium avec ISA Server 2004 Standard SP1 Disponible depuis Mai 2005

21 Disponible en appliance RimApp ROADBLOCK Firewall HP ProLiant DL320 Firewall/VPN/Cache Server microsoft/ISAserver/index.html microsoft/ISAserver/index.html microsoft/ISAserver/index.html Network Engines NS Appliances spx spx spx Celestix Application-Layer Firewall, VPN and Caching Appliance Pyramid Computer ValueServer Security Avantis ISAwall Avantis ISAwall Corrent Corrent

22 Contrôle des accès sortants

23 Les besoins des entreprises connectées vus par ladministrateur « Je veux contrôler (limiter) les protocoles réseaux utilisés par mes utilisateurs » « Je veux administrer les accès de manière centralisée et intégrée avec mon infrastructure (domaines NT, Active Directory, RADIUS) » « Je veux empêcher mes utilisateurs de télécharger des fichiers illégaux ou dangereux » « Je veux quInternet soit un outil de travail et empêcher mes utilisateurs de surfer sur le Web là où ils veulent. »

24 Contrôle des flux et contenus Les pare-feu permettent une grande granularité dans la définition des règles daccès Filtrage spécifique sur un protocole Authentification des postes ou utilisateurs Certains protocoles comme HTTP, FTP ou SMTP peuvent être restreints sur le contenu (MIME, extension de fichiers, pièce jointe…) Hélas, beaucoup de ces mécanismes deviennent insuffisants/obsolètes face aux méthodes dencapsulation…

25 Quand pare-feu te bloquera HTTP tu utiliseras…

26 Http : le protocole universel… … pour outrepasser un pare-feu ou un proxy Aujourdhui, de nombreuses applications utilisent HTTP comme méthode dencapsulation des protocoles propriétaires afin de saffranchir des ouvertures de ports spécifiques sur les équipements filtrants : Messageries instantanées : MSN Messenger, Yahoo MSN Messenger, Yahoo Messenger, ICQ… Messenger, ICQ… Logiciels P2P : Kazaa, Emule, Bitorrent, Exeem… Bitorrent, Exeem… Messagerie : Outlook 2003 (RPC sur HTTP)… Adware, Spyware : Gator… Chevaux de Troie

27 Protection des accès sortants Client ISA Server 2004 Pare feu traditionnel Internet HTTP http, https, FTP IM, P2P, MS RPC… HTTP, https, FTP… IM P2P MS RPC… IM, P2P, MS RPC… Analyse HTTP (URL, entêtes, contenu…) Exemples de signature dapplications :

28 Filtre applicatif HTTP Exemple de filtrage en fonction du contenu de len-tête POST HTTP/1.1 Accept: */* Accept-Language: en-us Accept-Encoding: gzip, deflate User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0;.NET CLR ; MSN Messenger ) Host: Proxy-Connection: Keep-Alive Connection: Keep-Alive Pragma: no-cache Content-Type: application/x-msn-messenger Content-Length: 7 Common Application Signatures signatures.mspx

29 Démonstration : filtre HTTP Analyse HTTP (URL, entêtes, contenu…)

30 Une fois la session SSL établie, les proxies ou les pare-feu sont incapables de voir les données échangée. De nombreuses logiciels utilisent déjà cette solution. Exemple : Outlook 2003 (RPC over https) Exemple : Outlook 2003 (RPC over https) Comment réduire le risque ? Limiter les accès https : utilisation de listes blanches Bloquer les requêtes dans la phase de négociation Déchiffrer le SSL en sortie au niveau du proxy/firewall (Man In The Middle) Concept intéressant en terme de sécurité mais pas vraiment en terme de confidentialité Plus fort que http : https Plus fort que http : https

31 DNS : un futur « standard » pour lencapsulation ? LA question : « Est il possible pour le DNS de faire des choses plus intéressantes que la résolution de noms qualifiés en adresse IP ? » La réponse est OUI droute: DNS Stream Router TCP Streaming over DNS Utilisable pour du Shell ou de la messagerie instantanée uniquement NSTX : Uniquement sur Linux Informations complémentaires : Attacking Distributed Systems: The DNS Case Study by Dan Kaminsky.

32 Contrôle des accès entrants Ressources exposées

33 Plateforme Web classique et risques associés 2 zones réseau (Front End et Back End) + 2 pare-feu …mais toujours des risques en cas dabsence de filtrage applicatif Le risque ici est principalement lattaque applicative. Par exemple : injections HTML injections SQL Injections PHP …. TCP 80 (HTTP) TCP 443 (HTTPS) TCP 1433 (MS-SQL)

34 Augmentation des risques sur les applications Web Augmentation des vulnérabilités documentées sur les applications Web depuis 18 mois ( Source : Symantec Corporation : )http://ses.symantec.com/pdf/ThreatReportVII.pdf

35 Certificat « Privé » + sa clé privée Certificat « Public » + sa clé privée Lanalyse des URL par ISA 2004 peut stopper les attaques Web au périmètre du réseau, y compris en cas dutilisation de SSL Protection des serveurs Web Pare-feu traditionnel Web Client Si le serveur Web fait une demande dauthentification - tout utilisateur sur Internet peut accéder à cette demande SSLSSL SSL passe au travers des pare- feu traditionnels sans contrôle du fait du chiffrement… …ce qui permet aux attaques applicatives, virus ou autres vers de se propager sans être détectés… …et dinfecter les serveurs internes ! ISA Server 2004 Délégation dauthentification ISA pré authentifie les utilisateurs, éliminant les boites de dialogues redondantes et nautorise que le trafic valide à passer Filtrage avancé de HTTP SSL or HTTP SSLSSL ISA peut déchiffrer et inspecter le trafic SSL Une fois inspecté le trafic peut être envoyé vers le serveur interne de nouveau chiffré ou en clair. Analyse HTTP (URL, contenu…) Internet

36 Démonstration : publication OWA

37 Démonstration : publication FTP Filtre FTP Serveur FTP

38 Protection des accès aux réseaux de lentreprise (VPN et Locaux) Gestion des accès distants et des équipements connectés

39 Développement du marché des PC portables et du nombre de systèmes non administrés dans les réseaux lentreprise Postes personnels mais connectés sur le réseau de lentreprise Postes des intervenants externes Points daccès Wi-fi non déclarés Ordinateur portables qui ne sont pas à jour (du fait de leur mobilité) au niveau de correctifs de sécurité, signature anti-virale… Connexion à des réseaux tiers « inconnus » (hot spot wifi, clients, partenaires…) (hot spot wifi, clients, partenaires…) Accès VPN nomades, réseaux sans fils Augmentation des risques avec le développement de la mobilité

40 Les attaques viennent aussi de linterne Étude et statistiques sur la sinistralité informatique en France (2002)

41 Le meilleur exemple est la propagation dun ver comme Blaster (exploitation dune faille RPC) ou Sasser. Les attaques internes ne sont pas toujours déclenchées de manière intentionnelle

42 Le même exemple de propagation dun ver comme Blaster ou Sasser au travers dun VPN Les connexions distantes peuvent également compromettre la sécurité

43 Une approche de la segmentation En terme de sécurité, les pare-feux sont couramment utilisés pour protéger les réseaux dentreprise des réseaux publics comme Internet Aujourdhui, il est devenu nécessaire de procéder à un découpage du réseau dentreprise et daller au-delà de la simple segmentation réseau (VLANs) La segmentation des réseaux internes revient à implémenter le principe du pare-feu au cœur du réseau de lentreprise en intégrant lanalyse (jusquau niveau de la couche application) des flux

44 Classification Principes de la segmentation Classification Le découpage des réseaux consiste à définir des zones de confiances dans lesquelles des ressources peuvent être placées. Ce découpage nécessite au préalable la définition dune classification adaptée aux besoins et contraintes de lentreprise.

45 Fonctionnement des RPC DCE Serveur RPC (ex: Exchange) Client RPC (ex: Outlook) ServiceUUIDPortExchange{ …4402 AD replication { …3544 MMC{ …9233 Les services RPC obtiennent des port aléatoires (> 1024) lors de leur démarrage, le serveur maintient une table 135/tcp Le client se connecte au portmapper sur le serveur (port tcp 135) Le client connaît lUUID du service quil souhaite utiliser { …} Le client accède à lapplication via le port reçu Le client demande quel port est associé à lUUID ? Le serveur fait correspondre lUUID avec le port courant… 4402/tcp Le RPC End Portmapper répond avec le port et met fin à la connexion 4402/tcp Du fait de la nature aléatoire des ports utilisés par les RPC, limplémentation et le filtrage des RPC est difficile sur la majorité des pare-feu Lensemble des 64,512 ports supérieurs à 1024 ainsi que le port 135 doivent être ouverts sur des pare feu traditionnels

46 Attaques RPC potentielles Reconnaissance (Fingerprinting) RPCDump RPCScan (http://www.securityfriday.com) Déni de service contre le portmapper Élévation de privilèges ou attaques sur dautres services Ver : Blaster, Welchia BotNet : GaoBot, Spybot, Randex

47 Serveur application RPC ISA Server 2004 avec filtre RPC Seul le port TCP 135 (RPC End Portmapper) est ouvert Les ports > 1024 sont ouverts/fermés dynamiquement pour les clients (applications RPC) en fonction des besoins Inspection du trafic vers le RPC End Portmapper au niveau applicatif Seuls les UUIDs de lapplication RPC sont autorisés à lexception de tout autre Filtrage applicatif RPC - principe Application cliente RPC

48 Démonstration filtrage RPC Scan RPC

49 Synthèse Contrôle des flux applicatifs ISA Server 2004 est une solution répondant à ce besoin de filtrage au niveau de la couche Application devenu nécessaire pour protéger les infrastructures Microsoft et non Microsoft. Un pare-feu supportant un grand nombre de scénarios Protection des flux sortants vers Internet, des serveurs exposés sur Internet, des ressources internes par segmentation, filtrage des connexions VPN. Produit extensible Nombreux filtres complémentaires disponible auprès déditeurs tiers. Developpement de filtres adaptés à vos besoins grâce au SDK fourni.

50 Ressources utiles Site Web Microsoft Webcast et séminaires TechNet (Gratuits) Sites externes Newsgroup français Microsoft.public.fr.isaserver Kits de déploiement BlogsBlogs.msdn.com/squasta Kits dévaluation ISA Server Version dévaluation (120 jours) CD (livres blancs et guide déploiement)

51 Questions / Réponses

52 Microsoft France 18, avenue du Québec Courtaboeuf Cedex


Télécharger ppt "Protection des ressources de l'entreprise : ISA Server 2004 & filtrage applicatif Stanislas Quastana, CISSP CISSP Architecte Infrastructure Microsoft France."

Présentations similaires


Annonces Google