Pare-feu applicatif contre les attaques internes et externes 4/15/2017 1:29 AM Sécurité Microsoft ISA Server 2004 Pare-feu applicatif contre les attaques internes et externes Stanislas Quastana, CISSP Architecte Infrastructure - Microsoft France http://www.microsoft.com/france/securite © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Agenda Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Sécurité Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Partie 2 : Sécuriser l’accès vers Internet depuis les réseaux locaux pour les utilisateurs de l’entreprise (10 minutes) Partie 3 : protection des serveurs et des réseaux d’entreprise vis-à-vis d’Internet. Exemple avec Exchange Server (25 minutes) Partie 4 : protection des serveurs et des réseaux contre les menaces internes (25 minutes) Synthèse Questions / Réponses (10 minutes)

Agenda Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Sécurité Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Partie 2 : Sécuriser l’accès vers Internet depuis les réseaux locaux pour les utilisateurs de l’entreprise (10 minutes) Partie 3 : protection des serveurs et des réseaux d’entreprise vis-à-vis d’Internet. Exemple avec Exchange Server (25 minutes) Partie 4 : protection des serveurs et des réseaux contre les menaces internes (25 minutes) Synthèse Questions / Réponses (10 minutes)

ISA Server 2004 en quelques mots Sécurité 2ème génération de pare-feu Microsoft Développé par nos équipes d’Haïfa en Israël Pare-feu multicouches (3,4 et 7) Capacité de filtrage extensible Proxy applicatif Nouvelle architecture Intégration des fonctionnalités de VPN Microsoft Haïfa (Merci à Thomas pour la photo )

ISA Server 2004 Facilité de mise en oeuvre 4/15/2017 1:29 AM Sécurité Architecture multi réseau Nombre de réseaux illimité Stratégie de filtrage définie par réseau Règles de routage / NAT inter réseaux Topologies réseau type Assistant de définition des relations entre les différents réseaux Support de scénarios complexes Éditeur de stratégies Stratégie de sécurité Pare-feu/VPN unifiée Import-export de configuration (XML) Outils de diagnostique Tableau de bord de supervision Visualisation des journaux temps réel © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

ISA Server 2004 Protection avancée 4/15/2017 1:29 AM Sécurité Inspection de contenu avancée Filtres applicatifs HTTP et SMTP Stratégies riches et flexibles Protection des serveurs de messagerie Filtre applicatif RPC (MAPI et autres) Sécurité Outlook Web Access accrue Filtrage HTTP évolué Méthodes: POST, HEAD... Signatures: mots clés ou chaînes de caractères dans URL, En-tête, Corps Authentification flexible Windows, RADIUS et RSA SecurID Délégation d’authentification © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Disponible en appliance Sécurité RimApp ROADBLOCK Firewall http://www.rimapp.com/roadblock.htm HP ProLiant DL320 Firewall/VPN/Cache Server http://h18004.www1.hp.com/products/servers/software/microsoft/ISAserver/index.html Network Engines NS Appliances http://www.networkengines.com/sol/nsapplianceseries.aspx Celestix Application-Layer Firewall, VPN and Caching Appliance http://www.celestix.com/products/isa/index.htm Pyramid Computer ValueServer Security 2004 http://www.pyramid.de/e/produkte/server/isa_2004.php

ISA Server 2004 Architecture Sécurité Packet layer filtering 1 Protocol layer filtering 2 Application layer filtering 3 Kernel mode data pump: Performance optimization 4 Policy Store Policy Engine Web filter Web filter Web Proxy Filter Web Filter API (ISAPI) SMTP Filter RPC Filter DNS Filter App Filter Application Filter API Firewall service User Mode Firewall Engine TCP/IP Stack Kernel Mode NDIS

Structure des règles de pare-feu ISA Server 2004 Sécurité Structure des règles de pare-feu ISA Server 2004 Ensemble de règles ordonnées Plus logique et plus facile à comprendre (vs ISA Server 2000 notamment) Autoriser Interdire Réseau(x) Adresse(s) IP Site(s) Utilisateur(s) Groupe(s) action sur trafic de source vers destination pour utilisateur avec conditions Serveur publié Site Web publié Planning Filtre applicatif Réseau(x) Adresse(s) IP Machine(s) Protocole IP Port(s) TCP/UDP

Agenda Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Sécurité Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Partie 2 : Sécuriser l’accès vers Internet depuis les réseaux locaux pour les utilisateurs de l’entreprise (10 minutes) Partie 3 : protection des serveurs et des réseaux d’entreprise vis-à-vis d’Internet. Exemple avec Exchange Server (25 minutes) Partie 4 : protection des serveurs et des réseaux contre les menaces internes (25 minutes) Synthèse Questions / Réponses (10 minutes)

Les besoins des entreprises connectées vus par l’administrateur Sécurité « Je veux contrôler les protocoles réseaux utilisés par mes utilisateurs » « Je veux administrer les accès de manière centralisée et intégrée avec mon infrastructure (domaines NT, Active Directory, RADIUS) » « Je veux empêcher mes utilisateurs de télécharger des fichiers illégaux ou dangereux » « Je veux qu’Internet soit un outil de travail et empêcher mes utilisateurs de surfer sur le Web là où ils veulent. »

Contrôle des protocoles Sécurité ISA Server 2004 propose en standard une liste des protocoles réseaux les plus utilisés Il est possible de compléter celle-ci en créant les définitions des protocoles utilisés par vos applications. Les règles de pare-feu permettent une grande granularité dans leur définition

Contrôle des contenus Sécurité ISA Server 2004 permet de filtrer les contenus des requêtes HTTP et FTP Plusieurs catégories sont prédéfinies et peuvent être personnalisées ou complétées.

Filtrage applicatif : filtre HTTP Sécurité Le filtre HTTP peut être défini sur toutes les règles de pare-feu qui utilisent HTTP. Les options suivantes sont disponibles: Limiter la taille maximale des entêtes (header) dans les requêtes HTTP Limiter la taille de la charge utile (payload) dans les requêtes Limiter les URLs qui peuvent être spécifiées dans une requête Bloquer les réponses qui contiennent des exécutables Windows Bloquer des méthodes HTTP spécifiques Bloquer des extensions HTTP spécifiques Bloquer des entêtes HHTP spécifiques Spécifier comment les entêtes HTTP sont retournés Spécifier comment les entêtes HTTP Via sont transmis ou retournés Bloquer des signatures HTTP spécifiques

Utilisation du filtre HTTP Sécurité Le filtre applicatif HTTP peut être utilisé pour bloquer les applications utilisant HTTP comme méthode d’encapsulation pour d’autres protocoles : Messageries instantanées : MSN Messenger, Yahoo Messenger, ICQ… Logiciels P2P : Kazaa, Emule, Bitorrent… Messagerie : Exchange 2003 (RPC over HTTP)… Spyware : Gator… Chevaux de Troie

Filtre applicatif HTTP Exemple de filtrage en fonction du contenu de l’en-tête Sécurité POST http://64.4.1.18/gtw/gtw.dll?SessID=1 HTTP/1.1 Accept: */* Accept-Language: en-us Accept-Encoding: gzip, deflate User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; .NET CLR 1.1.4322; MSN Messenger 6.2.0133) Host: 64.4.1.18 Proxy-Connection: Keep-Alive Connection: Keep-Alive Pragma: no-cache Content-Type: application/x-msn-messenger Content-Length: 7 Common Application Signatures http://www.microsoft.com/technet/prodtechnol/isa/2004/plan/commonapplicationsignatures.mspx

Démonstration : utilisation du filtre applicatif HTTP (1/2) Sécurité

Démonstration : utilisation du filtre applicatif HTTP (2/2) Sécurité

Agenda Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Sécurité Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Partie 2 : Sécuriser l’accès vers Internet depuis les réseaux locaux pour les utilisateurs de l’entreprise (10 minutes) Partie 3 : protection des serveurs et des réseaux d’entreprise vis-à-vis d’Internet. Exemple avec Exchange Server (25 minutes) Partie 4 : protection des serveurs et des réseaux contre les menaces internes (25 minutes) Synthèse Questions / Réponses (10 minutes)

Sécurité Partie 3 - protection des serveurs et des réseaux d’entreprise vis-à-vis d’Internet La problématique des pare-feux traditionnels Le besoin des pare-feux niveau applicatifs (niveau 7) Le modèle ISA Server : pare-feu multicouches Quelques filtres applicatifs d’ISA 2004 Le filtre HTTP Exemple avec Exchange Server Publication Web : protection d’Outlook Web Access (OWA)

Sécurité Le problème Les pare-feux traditionnels se focalisent sur le filtrage de paquets et le statefull inspection Aujourd’hui, la plupart des attaques contournent ce type de protection (ex: Nimda, Code Red, openssl/Slapper…). Les ports et protocoles ne suffisent plus à contrôler ce que font les utilisateurs Hier, les port 80 et 443 était utilisées pour surfer sur le Web Aujourd’hui, ces ports sont utilisés pour la navigation sur le Web, les Webmail, les messageries instantanées, les Web Services, les logiciels P2P… Le filtrage de paquets & le statefull inspection ne sont plus suffisants pour se protéger des attaques d’aujourd’hui !

Pare-feu niveau Application Pare-feu traditionnel 4/15/2017 1:29 AM Sécurité Les Pare-feu niveau Application Sont donc nécessaires pour se protéger des attaques d’aujourd’hui… …, ils permettent une analyse approfondie du contenu des paquets réseaux… …car comprendre ce qu’il y a dans le Payload est désormais un pré requis Internet Pare-feu niveau Application Pare-feu traditionnel Vers réseau interne, DMZ… © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

ISA Server = pare-feu multi couches 4/15/2017 1:29 AM Sécurité ISA Server = pare-feu multi couches Filtrage de paquets & statefull inspection Filtrage au niveau de la couche application (analyse approfondie du contenu par des filtres spécifiques) Architecture proxy avancée (web et application TCP/IP) Produit extensible via l’utilisation d’un SDK Produit évolutif avec des Add-On (dans 2 écrans) Un pare-feux idéal pour les environnements Microsoft (grâce à des assistants de configurations spécifiques à Exchange…) et non Microsoft  © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Les filtres d’ISA Server 2004 Sécurité Filtres applicatifs FTP : permet de bloquer les envois SMTP : gestion des commandes et filtrage des messages (contenu, extension, taille…) POP3 : détection d’intrusion RTSP, MMS, PNM, H.323: Streaming DNS: détection d’intrusions, transfert de zones RPC: publication de serveurs, filtrage sur les interfaces PPTP : permet la traversée de connexions VPN (Tunneling) SOCKS V4 Web Proxy : gestion de HTTP, HTTPs (filtres web…) Filtres Web Filtre HTTP : analyse du contenu des requêtes web (entêtes et données) Authentification RSA SecureID Authentification Radius Authentification OWA Web Forms Translateur de liens

ISA Server 2004 : un produit évolutif Sécurité Filtrage applicatif Haute disponibilité Antivirus Détection d’intrusion Reporting Accélérateurs SSL Contrôle d’URLs Authentification + d’une trentaine de partenaires !!! Plus de partenaires : http://www.microsoft.com/isaserver/partners/default.asp

ISA Server 2004 Protection des serveurs Web - Filtre applicatif HTTP 4/15/2017 1:29 AM ISA Server 2004 Protection des serveurs Web - Filtre applicatif HTTP Sécurité Filtre les requêtes entrantes en fonction d’un ensemble de règles Permet de se protéger des attaques qui Demandent des actions inhabituelles Comportent un nombre important de caractères Sont encodés avec un jeu de caractères spécifique Peut être utilisé en conjonction avec l’inspection de SSL pour détecter les attaques sur SSL © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Protection des serveurs Web (ex: OWA) 4/15/2017 1:29 AM Sécurité Filtre HTTP d’ISA Server 2004 Délégation d’authentification Basic ISA Server pré authentifie les utilisateurs, éliminant les boites de dialogues redondantes et n’autorise que le trafic valide à passer ISA Server peut déchiffrer et inspecter le trafic SSL …ce qui permet aux virus et aux vers de se propager sans être détectés… L’analyse des URL par ISA Server peut stopper les attaques Web au périmètre du réseau, y compris en cas d’utilisation de SSL Le serveur OWA fait une demande d’authentification - tout utilisateur sur Internet peut accéder à cette demande Analyse URL par ISA Server SSL SSL SSL or HTTP Internet ISA Server Pare-feu traditionnel OWA Client Certificat privé Certificat public SSL passe au travers des pare-feu traditionnels sans contrôle du fait du chiffrement… Une fois inspecté le trafic peut être envoyé vers le serveur interne de nouveau chiffré ou en clair. …et d’infecter les serveurs internes ! © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Démonstration (1/2) Publication d’Exchange 2003 – Outlook Web Access Sécurité Publication d’Exchange 2003 – Outlook Web Access

Démonstration (2/2) Publication d’Exchange 2003 – Outlook Web Access Sécurité Publication d’Exchange 2003 – Outlook Web Access

Agenda Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Sécurité Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Partie 2 : Sécuriser l’accès vers Internet depuis les réseaux locaux pour les utilisateurs de l’entreprise (10 minutes) Partie 3 : protection des serveurs et des réseaux d’entreprise vis-à-vis d’Internet. Exemple avec Exchange Server (25 minutes) Partie 4 : protection des serveurs et des réseaux contre les menaces internes (25 minutes) Synthèse Questions / Réponses (10 minutes)

Les attaques viennent aussi de l’interne Sécurité Étude et statistiques sur la sinistralité informatique en France (2002)

Les attaques internes ne sont pas toujours déclenchées de manière intentionnelle Sécurité Le meilleur exemple est la propagation d’un ver comme Blaster (exploitation d’une faille RPC) ou Sasser.

Fonctionnement des RPC DCE Sécurité Le RPC End Portmapper répond avec le port et met fin à la connexion Le client accède à l’application via le port reçu Le client demande quel port est associé à l’UUID ? Le client connaît l’UUID du service qu’il souhaite utiliser Le client se connecte au portmapper sur le serveur (port tcp 135) 135/tcp 4402/tcp Service UUID Port Exchange {12341234-1111… 4402 AD replication {01020304-4444… 3544 MMC {19283746-7777… 9233 {12341234-1111…} 4402/tcp Client RPC (ex: Outlook) Serveur RPC (ex: Exchange) Du fait de la nature aléatoire des ports utilisés par les RPC, l’implémentation et le filtrage des RPC est difficile sur la majorité des pare-feu L’ensemble des 64,512 ports supérieurs à 1024 ainsi que le port 135 doivent être ouverts sur des pare feu traditionnels Le serveur fait correspondre l’UUID avec le port courant… Les services RPC obtiennent des port aléatoires (> 1024) lors de leur démarrage, le serveur maintient une table

Attaques RPC potentielles 4/15/2017 1:29 AM Sécurité Attaques RPC potentielles Reconnaissance / Fingerprinting NETSTAT RPCDump RPCScan (http://www.securityfriday.com) Déni de service contre le portmapper Élévation de privilèges ou attaques sur d’autres services Ver  Blaster !!!!! © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

ISA Server 2004 Filtre applicatif RPC 4/15/2017 1:29 AM Sécurité Seul le port TCP 135 (RPC End Portmapper) est ouvert Les ports > 1024 sont ouverts/fermés dynamiquement pour les clients (applications RPC) en fonction des besoins Inspection du trafic vers le RPC End Portmapper au niveau applicatif Seuls les UUIDs de l’application RPC sont autorisés à l’exception de tout autre Serveur application RPC ISA Server Application cliente RPC © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Démonstration : Filtrage RPC (1/2) Sécurité Scan RPC (utilisation de RPCScan) RPCScan est disponible sur http://www.securityfriday.com/tools/RpcScan.html

Démonstration filtrage RPC (2/2) Sécurité Sans filtrage :  Avec filtrage RPC (ISA Server) : 

Protection contre les attaques RPC 4/15/2017 1:29 AM Sécurité Protection contre les attaques RPC Reconnaissance? NETSTAT net montre que 135/tcp RPCDump, RPCScan ne fonctionnent pas simplement DoS contre le portmapper? Les attaques connues échouent Les attaques qui fonctionnent laissent Exchange, AD protégés Attaques de service sur Exchange, AD…? L’obtention d’information n’est plus possible Les connexions entre ISA Server et les applications RPC vont échouer tant que les connexions entre ISA et le client ne sont pas correctement formatées Oui! Oui! Oui! © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Agenda Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Sécurité Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Partie 2 : Sécuriser l’accès vers Internet depuis les réseaux locaux pour les utilisateurs de l’entreprise (10 minutes) Partie 3 : protection des serveurs et des réseaux d’entreprise vis-à-vis d’Internet. Exemple avec Exchange Server (25 minutes) Partie 4 : protection des serveurs et des réseaux contre les menaces internes (25 minutes) VPN nomade et Quarantaine Synthèse Questions / Réponses (10 minutes)

En résumé ISA 2004 pour protéger vos ressources Sécurité Un pare-feu qui permettant de concevoir un grand nombre de scénarios Protection des flux sortant vers Internet Protection des serveurs exposés sur Interne Protection des ressources internes par segmentation et filtrage applicatif … Défense en profondeur Analyse aux couches 3,4 et 7 Nombreux filtres applicatifs inclus en standard (HTTP, RPC, SMTP, DNS…) Nombreux filtres complémentaires disponible auprès d’éditeurs tiers Produit extensible adaptable à vos besoins grâce au SDK De nouveaux filtres prévus dans des futures Feature Packs: XML, …

Agenda Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Sécurité Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Partie 2 : Sécuriser l’accès vers Internet depuis les réseaux locaux pour les utilisateurs de l’entreprise (10 minutes) Partie 3 : protection des serveurs et des réseaux d’entreprise vis-à-vis d’Internet. Exemple avec Exchange Server (20 minutes) Partie 4 : protection des serveurs et des réseaux contre les menaces internes (25 minutes) Synthèse Questions / Réponses (10 minutes)

Quelques ressources utiles Sécurité Sites officiels http://www.microsoft.com/firewall (US) http://www.microsoft.com/france/isa (FR) Sites non officiels (mais très biens ) http://www.isaserver.org (tutoriels, docs…) http://www.isatools.org (scripts, outils...) Groupe de discussion français Microsoft.public.fr.isa Séminaires Technet (gratuits) http://www.microsoft.com/france/technet/seminaires/themes.mspx#Securite

Questions / Réponses Sécurité

4/15/2017 1:29 AM Sécurité © 2003-2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.