Руководство по безопасности сетевого центра обработки данных Cisco

Обзор технологии БЕЗОПАСНОСТЬ СЕТЕВОГО ЦЕНТРА ОБРАБОТКИ ДАННЫХ В корпоративных центрах обработки данных содержатся ресурсы, приложения и информация, которые часто становятся целью сетевых атак злоумышленников. Оконечные устройства, например, серверы центров обработки данных, являются "лакомым кусочком" для злоумышленника и потому нуждаются в надежной защите. Атаки против групп серверов могут привести к нарушению работоспособности приложений электронной коммерции и приложений типа B2B, а также к краже конфиденциальной информации или информации, представляющей для организации особую ценность.

Для того чтобы снизить вероятность катастрофических последствий, организациям необходимо обеспечить надежную защиту как локальных сетей, так и сетей хранения данных (SAN). Сети SAN традиционно считались относительно безопасными, в первую очередь потому, что способ подключения SAN предусматривает весьма ограниченный доступ к ним со стороны других компонентов центра данных – по существу, SAN представляет собой изолированную сеть.

Такое представление является сильно упрощенным; один-единственный пораженный хост может потенциально заблокировать работу других хостов, подключенных к сети SAN, получить несанкционированный доступ к данным в пределах SAN и, наконец, обойти существующие межсетевые экраны и системы обнаружения вторжений в случае использования каналов IP поверх соединений Fibre Channel. Кроме того, нередко встречаются сети SAN, которые простираются за физические пределы центров обработки данных с целью обеспечения непрерывности бизнеса и скорейшего восстановления после аварий.

Распространение таких технологий, как SCSI over IP (iSCSI) и Fibre Channel over IP (FCIP), использующих протокол TCP/IP в качестве транспорта, обуславливает требования по надежной защите SAN, т.к. эти технологии предполагают передачу конфиденциальной информации по сетям передачи данных общего пользования. В этом документе рассматриваются технологии, реализованные в продуктах Cisco для коммутации в рамках ЦОД класса "премьер" (коммутаторах семейства Cisco Catalyst 6500 Series и коммутаторах класса "директор" семейства Cisco MDS 9000), и решениях Cisco, которые позволяет сделать группы серверов менее уязвимыми перед сетевыми атаками, направленными на локальные сети и сети SAN.

МЕХАНИЗМЫ ОСУЩЕСТВЛЕНИЯ СЕТЕВЫХ АТАК Понимание механизмов проведения сетевых атак двух наиболее распространенных типов позволяет лучше оценить, насколько решения Cisco ® для центров обработки данных смягчают последствия таких атак или предотвращают их осуществление. В данном документе рассматриваются атаки двух типов: кража данных и распространение Интернет- червей. Атаки первого типа направлены на кражу информации; целью атак второго типа является блокирование нормальной работы приложений, поэтому их можно классифицировать как атаки типа "отказ в обслуживании" (DoS).

Кража данных Атаки, направленные на похищение конфиденциальной информации, как правило, начинаются с этапа зондирования и сканирования целевой системы с целью сбора сведений о ней. Злоумышленники могут использовать общедоступные инструменты, например, nmap (http://www.insecure. org ) для получения информации об операционной системе целевого хоста (зондирование), а также сервисов, работающих на сервере (сканирование). Следующий этап атаки заключается в идентификации уязвимостей удаленной системы. Злоумышленники могут использовать общедоступные инструменты, например, nessus (http://www.nessus.org) для выявления уязвимостей, которыми можно воспользоваться при осуществлении атаки.

Вслед за этим злоумышленники могут внедрить на атакуемый хост фрагмент программного кода, который будет выполнять нужные им функции (троянская программа). На этом этапе злоумышленник получает управление сервером ЦОД, и с помощью этого сервера может получать доступ к другим хостам, на которых хранятся конфиденциальные данные (эксплуатация доверительных отношений) или © Cisco Systems, Inc., 1992–2006 г.г. С сохранением всех прав. Стр. 1 из 15

Стр. 1

Обзор технологии установить необходимые программные инструменты для проведения атак со стороны группы серверов. На этом этапе злоумышленник может действовать либо в локальной сети, либо в сети SAN. Если взломанный сервер подключен к локальной сети, злоумышленник может проводить атаки уровня 2 (Ethernet) для перехвата IP-трафика, включая трафик storage-over-IP (т.е. трафика, используемого для обмена данными с хранилищами по IP-сети). Для подмены информации о соответствии IP- и MAC- адресов злоумышленник может использовать атаки с опережающим ответом, использующие уязвимости протокола ARP, (ARP-spoofing) или выполнить лавинообразную генерацию трафика на уровне 2 (MAC flooding).

Если взломанный сервер подключен к сети SAN с использованием HBA- адаптера, то злоумышленник может получить доступ к данным, хранящимся в сети SAN, с помощью атак, использующих подмену глобальных имен (WWN-spoofing), или осуществить доступ к другим серверам по каналам IPFC. Другой хорошо известный метод получения управления сервером заключается во взломе TCP-сеанса. Успешная реализация таких способов атаки, как подмена IP-адреса источника пакетов, эксплуатация доверительных отношений и подбор ISN-номера TCP-соединения позволяет получить управление серверами с предсказуемым ISN-номером TCP-соединения.

Интернет-черви Некоторые атаки, например, атаки DoS и эпидемии Интернет-червей, направлены на блокирование доступа пользователей к приложениям. В процессе проведения этих атак генерируется большой объем трафика и множество запросов на установление соединения (лавины SYN-запросов) или запросов, требующих обработки сервером (лавины ping), что приводит к истощению ресурсов серверов. Дополнительные сложности создаются тем фактом, что Интернет-черви тиражируют себя самостоятельно, безо всякого человеческого участия. Высокая скорость распространения делает эпидемии Интернет-червей особенно опасными.

Например, известно, что во время атаки червя "SQL slammer" число зараженных хостов удваивалось каждые 8,5 секунд, а генерируемый ими трафик мог вырастать до таких масштабов, что полностью "заполнял" канал с пропускной способностью 1 Гбит/с менее, чем за одну минуту. Атаки червей на группу серверов влекут за собой проблемы двух типов: взломанные серверы и неработоспособные сетевые соединения. В последнее время миру пришлось столкнуться с несколькими эпидемиями Интернет-червей, например, Code Red (CERT Advisory CA-2001-19), Nimda (CERT Advisory CA-2001-26 Nimda Worm), SQL slammer (CERT Advisory CA-2003-04) и другие.

Каждый Интернет-червь использует особую уязвимость, но при этом все Интернет-черви обладают некоторыми общими свойствами. Высокоуровневое описание одного Интернет-червя помогает лучше понять, как следует защищать группу серверов от атак других Интернет-червей. Например, Code Red рассылает запросы на установление TCP-соединения с портом 80 на случайные IP-адреса, выискивая уязвимый хост. Затем Code Red использует конкретную уязвимость Microsoft IIS, связанную с переполнением буфера (Microsoft Security Bulletin MS01-033).

После того, как уязвимый хост найден, Code Red вызывает переполнение буфера на сервере и устанавливает на сервере троянскую программу, которая в свою очередь атакует другие серверы. Примечание: Информация о последних эпидемиях Интернет-червей предоставляется организацией CAIDA: http: //www.caida.org/analvsis/securitv/. ОТ ЧЕГО ЖЕ СЛЕДУЕТ ЗАЩИЩАТЬСЯ? Сведения об уязвимостях операционных систем регулярно публикуются в открытых источниках информации. Инструменты осуществления мощных атак также общедоступны, а их интерфейс становится все более простым.

Это означает, что каждый пользователь, обладающий доступом в сеть Интернет, может найти достаточно количество инструментов для взлома и информацию о большом количестве уязвимостей, которыми можно воспользоваться. В ходе исследований, проведенных в 2002 году Институтом компьютерной безопасности (CSI) и ФБР, респонденты отмечали, что примерно 40 - 45 процентов всех атак на их системы были инициированы источниками, находящимися во внутренней сети. Результаты исследований отчетливо свидетельствуют о том, что внутренние устройства сети и приложения, функционирующие во внутренней сети, нуждаются в серьезной защите от атак и попыток несанкционированного доступа.

Архитектура центров обработки данных должна обеспечивать защиту от атак, исходящих от внешних клиентских компьютеров (из Интернет), внутренних клиентских компьютеров и взломанных серверов. ИНСТРУМЕНТЫ ДЛЯ ЛОКАЛЬНЫХ СЕТЕЙ Коммутаторы семейства Cisco Catalyst 6500 Series, сервисные модули Catalyst 6500 Series и продукты Cisco для обнаружения вторжений реализуют различные функции обеспечения безопасности, в частности: ● Контролируемый доступ к группе серверов. Сегодня большинство приложений выполнены в соответствии с многоуровневой архитектурой. Многоуровневая модель предусматривает распределение различных функций между отдельными серверами.

Обычно выделают функции © Cisco Systems, Inc., 1992–2006 г.г. С сохранением всех прав. Стр. 2 из 15

Стр. 2

Обзор технологии представления, функции бизнес-логики и функции для работы с базами данных. Использование многоуровневой архитектуры при построении группы серверов позволяет обеспечить дополнительный уровень безопасности: клиент сможет нарушить безопасность web-сервера, но не сможет получить доступ ни к самому приложению, ни к базе данных. Разделение между уровнями обеспечивается путем использования сетей VLAN.

В каналах клиент-сервер и сервер- сервер допускается прохождение только легитимного трафика (обеспечивается за счет использования таких технологий, как списки контроля доступа (ACL), сети VLAN и частные сети VLAN, причем все эти технологии реализованы на аппаратном уровне и работают на скорости среды передачи). ● Защита от распределенных атак типа "отказ в обслуживании" (DDoS) . Модули Cisco Guard и Cisco Traffic Anomaly Detector для коммутатора Cisco Catalyst 6500 Series позволяют автоматически обнаруживать огромное количество разнообразных DDoS-атак и противостоять им.

При внедрении этих функций обеспечения безопасности в сетевую инфраструктуру сеть оказывается в состоянии выдержать даже самые интенсивные DDoS-атаки и обеспечить защиту ЦОД и его критически важных приложений. ● Дополнительные меры по защите протоколов стека TCP/IP. При разработке многих протоколов стека TCP/IP соображения безопасности не учитывались, поэтому некоторые протоколы крайне уязвимы для атаки подмены адреса отправителя. Протокол TCP предлагает некоторые средства защиты от подмены адреса отправителя, но все равно остается уязвимым для более изощренных атак.

Коммутатор Cisco Catalyst 6500 Series позволяет обеспечить защиту многих протоколов стека TCP/IP благодаря таким функциям, как контроль ARP, использование механизма TCP SYN-COOKIE, обеспечение случайного выбора ISN-номера, аутентификация при использовании протоколов обмена маршрутной информацией и т.д. ● Аутентификация клиентов и серверов, целостность и конфиденциальность данных. Средства шифрования SSL и IPSec позволяют обеспечить аутентификацию клиентов при доступе к серверным приложениям, а также обеспечить целостность и конфиденциальность данных.

Коммутаторы Cisco Catalyst 6500 Series могут снять с серверов вычислительную нагрузку по выполнению операций шифрования и обеспечить распространение открытых ключей. ● Обнаружение и предотвращение вторжений. Решения для обнаружения вторжений, такие как сервисный модуль IDSM2 для коммутатора Cisco Catalyst 6500 Series, и решения для предотвращения вторжений, такие как программное обеспечение Cisco Security Agent, позволяют защитить группу серверов от атак, использующих уязвимости операционной системы и приложений.

Эти технологии дополняются технологиями зеркалирования Catalyst 6500 Series, такими как, виртуализация ACL (VACL), анализ коммутируемых портов удаленного устройства (Remote Switched Port Analyzer, RSPAN) и NetFlow. ● Защита сетевых устройств. Защита механизма управления сетевыми устройствами в ЦОД позволяет предотвратить несанкционированный доступ и атаки DoS. Для реализации механизма защищенного управления используются такие технологии, как списки контроля доступа (ACL), средства аутентификации, авторизации и учета (AAA), протокол Secure Shell (SSH) и средства Syslog.

Функции защиты уровня управления, работающие на Supervisor Engine 720 для коммутаторов семейства Cisco Catalyst 6500 Series и на маршрутизаторах, защищают их центральные процессоры от перегрузок в случае атак DoS. Разграничение доступа и сегментация доступа Коммутаторы Cisco Catalyst 6500 Series в сочетании с сервисным модулем межсетевого экрана (FWSM) поддерживают следующие функции: ● Списки контроля доступа (ACL). Коммутаторы Cisco Catalyst 6500 Series обеспечивают фильтрацию пакетов на скорости среды передачи с использованием списков контроля доступа программного обеспечения Cisco IOS ® и VLAN (VACL).

Списки контроля доступа ACL и VACL обеспечивают детальную фильтрацию трафика на уровне 4 (на уровне порта), предотвращая таким образом доступ к сервисам, которые были случайно оставлены доступными на серверах. Модуль FWSM для Catalyst 6500 Series реализует функции фильтрации пакетов, аналогичные функциям коммутатора Catalyst 6500 Series, и позволяет строить такие схемы маршрутизации, при которых трафик, идущий от клиента к серверу, проходит через несколько уровней ACL. Использование механизма управляющих сеансов (fixup) обеспечивает возможность открытия портов уровня 4 на межсетевых экранах. ● Сети VLAN .

Коммутатором уровня 2 называется устройство, способное группировать подмножества портов в виртуальные домены широковещательной передачи, изолированные друг от друга. Такие домены называют виртуальными локальными сетями (VLAN). Cisco Catalyst 6500 Series поддерживает популярные технологии маркирования трафика VLAN Inter-Switch Link (ISL) и 802.1Q на физических соединениях (иногда их называют магистральными каналами или транками) и использует дополнительные методы маркирования трафика для сохранения информации VLAN. Сети VLAN могут служить для разделения групп серверов, а в сочетании с модулем FWSM их можно использовать для фильтрации трафика, направленного из одной сети VLAN в другую.

Дополнительную информацию об использовании сетей VLAN в качестве средства обеспечения безопасности можно найти в отчете @stake Security Assessment по адресу http://www.cisco.com/warp/public/cc/pd/si/casi/ca6000/tech/stake wp.pdf. © Cisco Systems, Inc., 1992–2006 г.г. С сохранением всех прав. Стр. 3 из 15

Стр. 3

Обзор технологии ● Частные сети VLAN (PVLAN). Сети PVLAN обеспечивают изоляцию портов друг от друга в пределах одной сети VLAN. С помощью частных сетей VLAN можно использовать единственную подсеть и направлять весь генерируемый сервером трафик через "прозрачный" порт или порт масштабирования, в качестве которого обычно выступает порт маршрутизатора, или через интерфейс VLAN модуля FWSM. Эта схема позволяет защитить серверы от атак на уровне 2, таких как атаки с опережающим ARP-ответом, даже в случае, когда устройства в той же сети VLAN не устояли перед атакой. Коммутатор Cisco Catalyst 6500 Series поддерживает разделение сетей PVLAN на аппаратном уровне. ● Сети MPLS VPN.

Применение технологии MPLS для построения VPN позволяет выполнить сегментацию сети с сохранением прозрачности адресного пространства. Такой подход предоставляет возможность построить максимально масштабируемую сеть, в которой используются механизмы идентификации, и одновременно воспользоваться всеми сильными сторонами и гибкостью протокола IP. Сети MPLS VPN обеспечивают тот же уровень конфиденциальности и защищенности информации, что и сети VPN уровня 2 – за счет распространения сведений о маршрутах VPN только на те маршрутизаторы, которые входят в сеть VPN.

Модуль Supervisor Engine 720 для Cisco Catalyst 6500 Series в сочетании с платой Cisco Policy Feature 3B (PFC3BXL) обеспечивает поддержку MPLS VPN на аппаратном уровне. Сети MPLS VPN можно использовать в сочетании с виртуальными межсетевыми экранами на базе FWSM для осуществления контроля состояния соединений VPN. ● Безопасность портов. Центры обработки данных Cisco поддерживают полностью коммутируемую топологию, в которой отсутствует концентратор, а все соединения являются полнодуплексными. Лавинное передачу информации о маршрутизации на уровне 2 следует использовать только в ходе изменения топологии, чтобы ускорить процесс конвергенции сети уровня 2.

Технологии, основанные на лавинной передаче информации о маршрутизации, приводят к снижению производительности, не говоря уже о потенциальных проблемах с безопасностью. Лавинное распространение информации о маршрутизации может быть результатом успешной атаки на сеть, поэтому на портах доступа необходимо сконфигурировать функции защиты на уровне порта. Безопасность на уровне порта позволяет предотвратить лавинное распространение информации на уровне MAC за счет назначения каждому порту списка конкретных MAC-адресов или выдачи разрешения на ограниченное количество MAC- адресов.

При получении пакета защищенным портом система выполняет поиск MAC-адреса источника пакета в списке разрешенных адресов источников, составленном администратором вручную или составленном в процессе использования порта. Если MAC-адрес устройства, подключенного к порту, отсутствует в списке разрешенных адресов, порт блокируется насовсем (по умолчанию), блокируется на определенное время или отбрасывает входящие пакеты, поступающие от неизвестного хоста. ● IEEE 802.1X.

Стандарт IEEE 802.1X определяет правила контроля доступа для соединений клиент-сервер и протокол аутентификации, который используется для предотвращения несанкционированного доступа клиентов к локальной сети через общедоступные порты. Сервер аутентификации выполняет аутентификацию каждого клиента, подключенного к порту коммутатора, и включает порт в состав VLAN перед тем, как предоставить клиенту доступ к каким-либо сервисам, предлагаемым коммутатором или локальной сетью. До момента прохождения клиентом процедуры аутентификации механизм управления доступом 802. 1X пропускает через порт, к которому подключен этот клиент, только трафик протокола EAPOL.

После успешного прохождения аутентификации порт открывается для нормального трафика. Безопасность протоколов стека TCP/IP Коммутаторы семейства Cisco Catalyst 6500 Series в сочетании с сервисными модулями FWSM и ACE обеспечивают реализацию следующих функций безопасности: ● Контроль ARP. Механизмы контроля ARP обеспечивают сопоставление IP-адреса шлюза по умолчанию с его MAC-адресом. Если коммутатор обнаруживает пакет ARP, в котором содержится неверная комбинация адресов, коммутатор отбрасывает этот пакет, предотвращая таким образом атаки, связанные с внесением изменений в ARP-таблицы хостов. ● Средства URPF.

Средства URPF обеспечивают проверку каждого пакета с тем, чтобы убедиться, что пакет пришел от нужного источника по соответствующему интерфейсу. Такая проверка позволяет предотвратить подмену адреса источника пакета. В ходе проверки система проверяет соответствие записи для адреса источника в таблице маршрутизации и идентификатора интерфейса, с которого поступил пакет. Коммутаторы семейства Cisco Catalyst 6500 Series и модуль FWSM реализуют проверку URPF на аппаратном уровне. Модуль Supervisor Engine 720 коммутатора Catalyst 6500 Series поддерживает работу механизма URPF одновременно на нескольких параллельных каналах передачи (до шести). ● Фильтрация фрагментов пакетов.

Коммутаторы семейства Cisco Catalyst 6500 Series позволяют создавать списки ACL Cisco IOS и списки VACL, позволяющие разрешать или запрещать пересылку фрагментов пакетов. Фильтрацию фрагментов можно использовать для предотвращения атак с использованием фрагментации пакетов (например, атак, описанных в документе RFC 1858). Использование фильтрации фрагментов в сочетании с возможностями контроля состояния соединения модуля FWSM для Cisco Catalyst 6500 Series позволяет реализовать повторную сборку и проверку (виртуальную сборку) фрагментов перед их пересылкой. © Cisco Systems, Inc., 1992–2006 г.г. С сохранением всех прав. Стр. 4 из 15

Стр. 4