Pare-feu applicatif contre les attaques internes et externes

Présentation au sujet: "Pare-feu applicatif contre les attaques internes et externes"— Transcription de la présentation:

1 Pare-feu applicatif contre les attaques internes et externes
4/15/2017 1:29 AM Sécurité Microsoft ISA Server 2004 Pare-feu applicatif contre les attaques internes et externes Stanislas Quastana, CISSP Architecte Infrastructure - Microsoft France © Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

2 Agenda Partie 1 : Présentation générale ISA Server 2004 (5 minutes)
Sécurité Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Partie 2 : Sécuriser l’accès vers Internet depuis les réseaux locaux pour les utilisateurs de l’entreprise (10 minutes) Partie 3 : protection des serveurs et des réseaux d’entreprise vis-à-vis d’Internet. Exemple avec Exchange Server (25 minutes) Partie 4 : protection des serveurs et des réseaux contre les menaces internes (25 minutes) Synthèse Questions / Réponses (10 minutes)

3 Agenda Partie 1 : Présentation générale ISA Server 2004 (5 minutes)
Sécurité Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Partie 2 : Sécuriser l’accès vers Internet depuis les réseaux locaux pour les utilisateurs de l’entreprise (10 minutes) Partie 3 : protection des serveurs et des réseaux d’entreprise vis-à-vis d’Internet. Exemple avec Exchange Server (25 minutes) Partie 4 : protection des serveurs et des réseaux contre les menaces internes (25 minutes) Synthèse Questions / Réponses (10 minutes)

4 ISA Server 2004 en quelques mots
Sécurité 2ème génération de pare-feu Microsoft Développé par nos équipes d’Haïfa en Israël Pare-feu multicouches (3,4 et 7) Capacité de filtrage extensible Proxy applicatif Nouvelle architecture Intégration des fonctionnalités de VPN Microsoft Haïfa (Merci à Thomas pour la photo )

5 ISA Server 2004 Facilité de mise en oeuvre
4/15/2017 1:29 AM Sécurité Architecture multi réseau Nombre de réseaux illimité Stratégie de filtrage définie par réseau Règles de routage / NAT inter réseaux Topologies réseau type Assistant de définition des relations entre les différents réseaux Support de scénarios complexes Éditeur de stratégies Stratégie de sécurité Pare-feu/VPN unifiée Import-export de configuration (XML) Outils de diagnostique Tableau de bord de supervision Visualisation des journaux temps réel © Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

6 ISA Server 2004 Protection avancée
4/15/2017 1:29 AM Sécurité Inspection de contenu avancée Filtres applicatifs HTTP et SMTP Stratégies riches et flexibles Protection des serveurs de messagerie Filtre applicatif RPC (MAPI et autres) Sécurité Outlook Web Access accrue Filtrage HTTP évolué Méthodes: POST, HEAD... Signatures: mots clés ou chaînes de caractères dans URL, En-tête, Corps Authentification flexible Windows, RADIUS et RSA SecurID Délégation d’authentification © Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

7 Disponible en appliance
Sécurité RimApp ROADBLOCK Firewall HP ProLiant DL320 Firewall/VPN/Cache Server Network Engines NS Appliances Celestix Application-Layer Firewall, VPN and Caching Appliance Pyramid Computer ValueServer Security

8 ISA Server 2004 Architecture
Sécurité Packet layer filtering 1 Protocol layer filtering 2 Application layer filtering 3 Kernel mode data pump: Performance optimization 4 Policy Store Policy Engine Web filter Web filter Web Proxy Filter Web Filter API (ISAPI) SMTP Filter RPC Filter DNS Filter App Filter Application Filter API Firewall service User Mode Firewall Engine TCP/IP Stack Kernel Mode NDIS

9 Structure des règles de pare-feu ISA Server 2004
Sécurité Structure des règles de pare-feu ISA Server 2004 Ensemble de règles ordonnées Plus logique et plus facile à comprendre (vs ISA Server 2000 notamment) Autoriser Interdire Réseau(x) Adresse(s) IP Site(s) Utilisateur(s) Groupe(s) action sur trafic de source vers destination pour utilisateur avec conditions Serveur publié Site Web publié Planning Filtre applicatif Réseau(x) Adresse(s) IP Machine(s) Protocole IP Port(s) TCP/UDP

10 Agenda Partie 1 : Présentation générale ISA Server 2004 (5 minutes)
Sécurité Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Partie 2 : Sécuriser l’accès vers Internet depuis les réseaux locaux pour les utilisateurs de l’entreprise (10 minutes) Partie 3 : protection des serveurs et des réseaux d’entreprise vis-à-vis d’Internet. Exemple avec Exchange Server (25 minutes) Partie 4 : protection des serveurs et des réseaux contre les menaces internes (25 minutes) Synthèse Questions / Réponses (10 minutes)

11 Les besoins des entreprises connectées vus par l’administrateur
Sécurité « Je veux contrôler les protocoles réseaux utilisés par mes utilisateurs » « Je veux administrer les accès de manière centralisée et intégrée avec mon infrastructure (domaines NT, Active Directory, RADIUS) » « Je veux empêcher mes utilisateurs de télécharger des fichiers illégaux ou dangereux » « Je veux qu’Internet soit un outil de travail et empêcher mes utilisateurs de surfer sur le Web là où ils veulent. »

12 Contrôle des protocoles
Sécurité ISA Server 2004 propose en standard une liste des protocoles réseaux les plus utilisés Il est possible de compléter celle-ci en créant les définitions des protocoles utilisés par vos applications. Les règles de pare-feu permettent une grande granularité dans leur définition

13 Contrôle des contenus Sécurité ISA Server 2004 permet de filtrer les contenus des requêtes HTTP et FTP Plusieurs catégories sont prédéfinies et peuvent être personnalisées ou complétées.

14 Filtrage applicatif : filtre HTTP
Sécurité Le filtre HTTP peut être défini sur toutes les règles de pare-feu qui utilisent HTTP. Les options suivantes sont disponibles: Limiter la taille maximale des entêtes (header) dans les requêtes HTTP Limiter la taille de la charge utile (payload) dans les requêtes Limiter les URLs qui peuvent être spécifiées dans une requête Bloquer les réponses qui contiennent des exécutables Windows Bloquer des méthodes HTTP spécifiques Bloquer des extensions HTTP spécifiques Bloquer des entêtes HHTP spécifiques Spécifier comment les entêtes HTTP sont retournés Spécifier comment les entêtes HTTP Via sont transmis ou retournés Bloquer des signatures HTTP spécifiques

15 Utilisation du filtre HTTP
Sécurité Le filtre applicatif HTTP peut être utilisé pour bloquer les applications utilisant HTTP comme méthode d’encapsulation pour d’autres protocoles : Messageries instantanées : MSN Messenger, Yahoo Messenger, ICQ… Logiciels P2P : Kazaa, Emule, Bitorrent… Messagerie : Exchange 2003 (RPC over HTTP)… Spyware : Gator… Chevaux de Troie

16 Filtre applicatif HTTP Exemple de filtrage en fonction du contenu de l’en-tête
Sécurité POST HTTP/1.1 Accept: */* Accept-Language: en-us Accept-Encoding: gzip, deflate User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; .NET CLR ; MSN Messenger ) Host: Proxy-Connection: Keep-Alive Connection: Keep-Alive Pragma: no-cache Content-Type: application/x-msn-messenger Content-Length: 7 Common Application Signatures

17 Démonstration : utilisation du filtre applicatif HTTP (1/2)
Sécurité

18 Démonstration : utilisation du filtre applicatif HTTP (2/2)
Sécurité

19 Agenda Partie 1 : Présentation générale ISA Server 2004 (5 minutes)
Sécurité Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Partie 2 : Sécuriser l’accès vers Internet depuis les réseaux locaux pour les utilisateurs de l’entreprise (10 minutes) Partie 3 : protection des serveurs et des réseaux d’entreprise vis-à-vis d’Internet. Exemple avec Exchange Server (25 minutes) Partie 4 : protection des serveurs et des réseaux contre les menaces internes (25 minutes) Synthèse Questions / Réponses (10 minutes)

20 Sécurité Partie 3 - protection des serveurs et des réseaux d’entreprise vis-à-vis d’Internet La problématique des pare-feux traditionnels Le besoin des pare-feux niveau applicatifs (niveau 7) Le modèle ISA Server : pare-feu multicouches Quelques filtres applicatifs d’ISA 2004 Le filtre HTTP Exemple avec Exchange Server Publication Web : protection d’Outlook Web Access (OWA)

21 Sécurité Le problème Les pare-feux traditionnels se focalisent sur le filtrage de paquets et le statefull inspection Aujourd’hui, la plupart des attaques contournent ce type de protection (ex: Nimda, Code Red, openssl/Slapper…). Les ports et protocoles ne suffisent plus à contrôler ce que font les utilisateurs Hier, les port 80 et 443 était utilisées pour surfer sur le Web Aujourd’hui, ces ports sont utilisés pour la navigation sur le Web, les Webmail, les messageries instantanées, les Web Services, les logiciels P2P… Le filtrage de paquets & le statefull inspection ne sont plus suffisants pour se protéger des attaques d’aujourd’hui !

22 Pare-feu niveau Application Pare-feu traditionnel
4/15/2017 1:29 AM Sécurité Les Pare-feu niveau Application Sont donc nécessaires pour se protéger des attaques d’aujourd’hui… …, ils permettent une analyse approfondie du contenu des paquets réseaux… …car comprendre ce qu’il y a dans le Payload est désormais un pré requis Internet Pare-feu niveau Application Pare-feu traditionnel Vers réseau interne, DMZ… © Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

23 ISA Server = pare-feu multi couches
4/15/2017 1:29 AM Sécurité ISA Server = pare-feu multi couches Filtrage de paquets & statefull inspection Filtrage au niveau de la couche application (analyse approfondie du contenu par des filtres spécifiques) Architecture proxy avancée (web et application TCP/IP) Produit extensible via l’utilisation d’un SDK Produit évolutif avec des Add-On (dans 2 écrans) Un pare-feux idéal pour les environnements Microsoft (grâce à des assistants de configurations spécifiques à Exchange…) et non Microsoft  © Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

24 Les filtres d’ISA Server 2004
Sécurité Filtres applicatifs FTP : permet de bloquer les envois SMTP : gestion des commandes et filtrage des messages (contenu, extension, taille…) POP3 : détection d’intrusion RTSP, MMS, PNM, H.323: Streaming DNS: détection d’intrusions, transfert de zones RPC: publication de serveurs, filtrage sur les interfaces PPTP : permet la traversée de connexions VPN (Tunneling) SOCKS V4 Web Proxy : gestion de HTTP, HTTPs (filtres web…) Filtres Web Filtre HTTP : analyse du contenu des requêtes web (entêtes et données) Authentification RSA SecureID Authentification Radius Authentification OWA Web Forms Translateur de liens

25 ISA Server 2004 : un produit évolutif
Sécurité Filtrage applicatif Haute disponibilité Antivirus Détection d’intrusion Reporting Accélérateurs SSL Contrôle d’URLs Authentification + d’une trentaine de partenaires !!! Plus de partenaires :

26 ISA Server 2004 Protection des serveurs Web - Filtre applicatif HTTP
4/15/2017 1:29 AM ISA Server Protection des serveurs Web - Filtre applicatif HTTP Sécurité Filtre les requêtes entrantes en fonction d’un ensemble de règles Permet de se protéger des attaques qui Demandent des actions inhabituelles Comportent un nombre important de caractères Sont encodés avec un jeu de caractères spécifique Peut être utilisé en conjonction avec l’inspection de SSL pour détecter les attaques sur SSL © Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

27 Protection des serveurs Web (ex: OWA)
4/15/2017 1:29 AM Sécurité Filtre HTTP d’ISA Server 2004 Délégation d’authentification Basic ISA Server pré authentifie les utilisateurs, éliminant les boites de dialogues redondantes et n’autorise que le trafic valide à passer ISA Server peut déchiffrer et inspecter le trafic SSL …ce qui permet aux virus et aux vers de se propager sans être détectés… L’analyse des URL par ISA Server peut stopper les attaques Web au périmètre du réseau, y compris en cas d’utilisation de SSL Le serveur OWA fait une demande d’authentification - tout utilisateur sur Internet peut accéder à cette demande Analyse URL par ISA Server SSL SSL SSL or HTTP Internet ISA Server Pare-feu traditionnel OWA Client Certificat privé Certificat public SSL passe au travers des pare-feu traditionnels sans contrôle du fait du chiffrement… Une fois inspecté le trafic peut être envoyé vers le serveur interne de nouveau chiffré ou en clair. …et d’infecter les serveurs internes ! © Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

28 Démonstration (1/2) Publication d’Exchange 2003 – Outlook Web Access
Sécurité Publication d’Exchange 2003 – Outlook Web Access

29 Démonstration (2/2) Publication d’Exchange 2003 – Outlook Web Access
Sécurité Publication d’Exchange 2003 – Outlook Web Access

30 Agenda Partie 1 : Présentation générale ISA Server 2004 (5 minutes)
Sécurité Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Partie 2 : Sécuriser l’accès vers Internet depuis les réseaux locaux pour les utilisateurs de l’entreprise (10 minutes) Partie 3 : protection des serveurs et des réseaux d’entreprise vis-à-vis d’Internet. Exemple avec Exchange Server (25 minutes) Partie 4 : protection des serveurs et des réseaux contre les menaces internes (25 minutes) Synthèse Questions / Réponses (10 minutes)

31 Les attaques viennent aussi de l’interne
Sécurité Étude et statistiques sur la sinistralité informatique en France (2002)

32 Les attaques internes ne sont pas toujours déclenchées de manière intentionnelle
Sécurité Le meilleur exemple est la propagation d’un ver comme Blaster (exploitation d’une faille RPC) ou Sasser.

33 Fonctionnement des RPC DCE
Sécurité Le RPC End Portmapper répond avec le port et met fin à la connexion Le client accède à l’application via le port reçu Le client demande quel port est associé à l’UUID ? Le client connaît l’UUID du service qu’il souhaite utiliser Le client se connecte au portmapper sur le serveur (port tcp 135) 135/tcp 4402/tcp Service UUID Port Exchange { … 4402 AD replication { … 3544 MMC { … 9233 { …} 4402/tcp Client RPC (ex: Outlook) Serveur RPC (ex: Exchange) Du fait de la nature aléatoire des ports utilisés par les RPC, l’implémentation et le filtrage des RPC est difficile sur la majorité des pare-feu L’ensemble des 64,512 ports supérieurs à 1024 ainsi que le port 135 doivent être ouverts sur des pare feu traditionnels Le serveur fait correspondre l’UUID avec le port courant… Les services RPC obtiennent des port aléatoires (> 1024) lors de leur démarrage, le serveur maintient une table

34 Attaques RPC potentielles
4/15/2017 1:29 AM Sécurité Attaques RPC potentielles Reconnaissance / Fingerprinting NETSTAT RPCDump RPCScan ( Déni de service contre le portmapper Élévation de privilèges ou attaques sur d’autres services Ver  Blaster !!!!! © Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

35 ISA Server 2004 Filtre applicatif RPC
4/15/2017 1:29 AM Sécurité Seul le port TCP 135 (RPC End Portmapper) est ouvert Les ports > 1024 sont ouverts/fermés dynamiquement pour les clients (applications RPC) en fonction des besoins Inspection du trafic vers le RPC End Portmapper au niveau applicatif Seuls les UUIDs de l’application RPC sont autorisés à l’exception de tout autre Serveur application RPC ISA Server Application cliente RPC © Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

36 Démonstration : Filtrage RPC (1/2)
Sécurité Scan RPC (utilisation de RPCScan) RPCScan est disponible sur

37 Démonstration filtrage RPC (2/2)
Sécurité Sans filtrage :  Avec filtrage RPC (ISA Server) : 

38 Protection contre les attaques RPC
4/15/2017 1:29 AM Sécurité Protection contre les attaques RPC Reconnaissance? NETSTAT net montre que 135/tcp RPCDump, RPCScan ne fonctionnent pas simplement DoS contre le portmapper? Les attaques connues échouent Les attaques qui fonctionnent laissent Exchange, AD protégés Attaques de service sur Exchange, AD…? L’obtention d’information n’est plus possible Les connexions entre ISA Server et les applications RPC vont échouer tant que les connexions entre ISA et le client ne sont pas correctement formatées Oui! Oui! Oui! © Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

39 Agenda Partie 1 : Présentation générale ISA Server 2004 (5 minutes)
Sécurité Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Partie 2 : Sécuriser l’accès vers Internet depuis les réseaux locaux pour les utilisateurs de l’entreprise (10 minutes) Partie 3 : protection des serveurs et des réseaux d’entreprise vis-à-vis d’Internet. Exemple avec Exchange Server (25 minutes) Partie 4 : protection des serveurs et des réseaux contre les menaces internes (25 minutes) VPN nomade et Quarantaine Synthèse Questions / Réponses (10 minutes)

40 En résumé ISA 2004 pour protéger vos ressources
Sécurité Un pare-feu qui permettant de concevoir un grand nombre de scénarios Protection des flux sortant vers Internet Protection des serveurs exposés sur Interne Protection des ressources internes par segmentation et filtrage applicatif … Défense en profondeur Analyse aux couches 3,4 et 7 Nombreux filtres applicatifs inclus en standard (HTTP, RPC, SMTP, DNS…) Nombreux filtres complémentaires disponible auprès d’éditeurs tiers Produit extensible adaptable à vos besoins grâce au SDK De nouveaux filtres prévus dans des futures Feature Packs: XML, …

41 Agenda Partie 1 : Présentation générale ISA Server 2004 (5 minutes)
Sécurité Partie 1 : Présentation générale ISA Server 2004 (5 minutes) Partie 2 : Sécuriser l’accès vers Internet depuis les réseaux locaux pour les utilisateurs de l’entreprise (10 minutes) Partie 3 : protection des serveurs et des réseaux d’entreprise vis-à-vis d’Internet. Exemple avec Exchange Server (20 minutes) Partie 4 : protection des serveurs et des réseaux contre les menaces internes (25 minutes) Synthèse Questions / Réponses (10 minutes)

42 Quelques ressources utiles
Sécurité Sites officiels (US) (FR) Sites non officiels (mais très biens ) (tutoriels, docs…) (scripts, outils...) Groupe de discussion français Microsoft.public.fr.isa Séminaires Technet (gratuits)

43 Questions / Réponses Sécurité

44 4/15/2017 1:29 AM Sécurité © Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.