Защита ядра: Списки управления доступом для защиты инфраструктуры

Защита ядра: Списки управления доступом для защиты инфраструктуры Содержание Введение Защита инфраструктуры Общие сведения Способы Примеры ACL Разработка защиты ACL Списки ACL и фрагментированные пакеты Оценка риска Приложения Поддерживаемые IP-протоколы в ПО Cisco IOS Инструкции по развертыванию Примеры развертывания Дополнительные сведения Введение В настоящем документе представлены инструкции и рекомендованные техники разворачивания списков управления доступом защиты инфраструктуры.

Списки ACL для инфраструктуры применяются для минимизации рисков и эффективности прямых атак на инфраструктуру путем явного разрешения только авторизованного трафика на оборудование инфраструктуры и запрета всего остального транзитного трафика. Защита инфраструктуры Общие сведения С целью защиты маршрутизаторов от различных рисков – случайных и злонамеренных – списки ACL для защиты инфраструктуры необходимо определять на точках входа в сеть.

Списки управления доступом IPv4 и IPv6 отказывают в доступе от внешних источников на все адреса инфраструктуры, например, интерфейсы маршрутизаторов.В то же время, списки ACL разрешают непрерывный поток транзитного трафика и предоставляют основные RFC 1918 , RFC 3330 , а также фильтрацию ложных IP-пакетов. Данные, принимаемые маршрутизатором, можно разделить на две обширные категории: трафик, который проходит через маршрутизатор по пути пересылки трафик, предназначенный для маршрутизатора через путь приема, для обработки его процессором маршрутизации При нормальной работе, основная часть трафика проходит через маршрутизатор по пути к конечному пункту назначения.

Однако процессору маршрутизации (RP) необходимо обрабатывать определенные типы данных напрямую, наиболее часто - протоколы маршрутизации, удаленный доступ к маршрутизаторам (например Secure Shell [SSH]) и трафик управления сетью, например, простой протокол управления сетью (SNMP). Кроме того, для протоколов, например, протокола управляющих сообщений Интернета (ICMP) и IP-параметров, необходима обработка с помощью RP. Наиболее часто прямой доступ к маршрутизаторам инфраструктуры необходим только из внутренних источников. Несколько заметных исключений включают внешний обмен трафиком по протоколу пограничных

Стр. 1

шлюзов (BGP), протоколы, которые завершаются на данном маршрутизаторе (например, общей инкапсуляцией маршрутов [GRE] или IPv6 через туннели IPv4), а также потенциально ограниченные пакеты ICMP для проверки соединения, например, сообщения эхо- запроса, ограничения ICMP и истекшего времени жизни (TTL) для трассировки. Примечание. Следует помнить, что ICMP часто используется для простых атак с целью отказа в обслуживании и при необходимости должен быть разрешен только из внешних источников. У всех RP есть ограничения по производительности, в пределах которых они работают. Избыточный трафик, предназначенный для RP, может переполнить маршрутизатор.

Это приведет к высокой загрузке CPU и, следовательно, к потерям пакетов и сбоям протокола маршрутизации, что вызовет отказ в обслуживании. С помощью фильтрации доступа к маршрутизаторам инфраструктуры из внешних источников снижается количество внешних рисков, связанных с прямой атакой на маршрутизатор. Внешние атаки не могут больше достигать оборудования инфраструктуры. Атака отбрасывается на входных интерфейсах автономной системы (AS). Технологии фильтрации, описанные в этом документе, предназначены для фильтрации данных, предназначенных для оборудования сетевой инфраструктуры. Следует различать фильтрацию инфраструктуры и общую фильтрацию.

Единственной целью списков ACL для защиты инфраструктуры является ограничение на гранулярном уровне протоколов и источников, которые могут получить доступ к оборудованию инфраструктуры. Оборудование сетевой инфраструктуры охватывает следующие области: все адреса для управления маршрутизаторами и коммутаторами, включая интерфейсы обратной связи; все адреса внутренних соединений: соединения маршрутизатор-маршрутизатор (доступ точка-точка и множественный); внутренние серверы или службы, к которым необходимо ограничить доступ из внешних источников. В данном документе трафик, не предназначенный для инфраструктуры, часто называется транзитным трафиком.

Способы Существует несколько способов защиты инфраструктуры: Получение ACL (rACLs) Платформы Cisco 12000 и 7500 поддерживают rACL, которые фильтруют весь трафик, предназначенный для RP, и не влияют на транзитный трафик. Необходимо явно разрешить авторизированный трафик и применять rACL на каждом маршрутизаторе. Дополнительные сведения см. в разделе GSR: Получение списков управления доступом. Списки ACL последовательно соединенных маршрутизаторов Маршрутизаторы также можно защищать с помощью определения списков ACL, которые разрешают только авторизированный трафик на интерфейсы маршрутизатора, отклоняя весь остальной, кроме транзитного трафика, который должен быть явно разрешен.

Данный ACL логически похож на rACL, но не влияет на транзитный трафик. Таким образом, он может оказывать негативное влияние на производительность с точки зрения скорости передачи маршрутизатора. Граничная фильтрация с помощью списков ACL инфраструктуры ACL можно применять на границе сети. Для поставщика услуг (SP) - это граница AS. Данный ACL явно фильтрует трафик, предназначенный для адресного пространства инфраструктуры. Для развертывания списков ACL граничной инфраструктуры необходимо четко определить пространство инфраструктуры и требуемые/авторизованные протоколы, которые получают доступ к данному пространству.

ACL применяется при входе в сеть на всех внешних подключениях, например, одноранговых соединениях, подключениях пользователей и т.д. В настоящем документе описывается разработка и развертывание защиты оконечной инфраструктуры списков управления доступом. Примеры ACL

Стр. 2

Списки доступов IPv4 и IPv6 представляют собой простые, но реальные примеры типичных записей, необходимых при защите ACL. Эти базовые ACL необходимо настраивать с учетом элементов конфигурации конкретной площадки. В двойных средах IPv4 и IPv6 применяются два списка доступа. Пример IPv4 !--- Здесь показаны записи для защиты от ложных IP пакетов. !--- Запретить источники адресов для специального использования. !--- Дополнительные сведения об адресах для специального использования см. в разделе RFC 3330.

access-list 110 deny ip host 0.0.0.0 any access-list 110 deny ip 127.0.0.0 0.255.255.255 any access-list 110 deny ip 192.0.2.0 0.0.0.255 any access-list 110 deny ip 224.0.0.0 31.255.255.255 any !--- Отфильтровать пространство RFC 1918. access-list 110 deny ip 10.0.0.0 0.255.255.255 any access-list 110 deny ip 172.16.0.0 0.15.255.255 any access-list 110 deny ip 192.168.0.0 0.0.255.255 any !--- Запретить пространству в качестве источника доступ к AS. !--- Развернуть только на границе AS. access-list 110 deny ip YOUR_CIDR_BLOCK any !--- Разрешить BGP.

access-list 110 permit tcp host bgp_peer host router_ip eq bgp access-list 110 permit tcp host bgp_peer eq bgp host router_ip !--- Запретить доступ в внутренним адресам инфраструктуры. access-list 110 deny ip any INTERNAL_INFRASTRUCTURE_ADDRESSES !--- Разрешить транзитный трафик. access-list 110 permit ip any any Пример IPv6 Список доступа IPv6 необходимо применять в качестве расширенного именованного списка доступа. !--- Настроить список доступа. ipv6 access-list iacl !--- Запретить пространству в качестве источника доступ к AS. !--- Развернуть только на границе AS. deny ipv6 YOUR_CIDR_BLOCK_IPV6 any !--- Разрешить мультипротокол BGP.

permit tcp host bgp_peer_ipv6 host router_ipv6 eq bgp permit tcp host bgp_peer_ipv6 eq bgp host router_ipv6 !--- Запретить доступ в внутренним адресам инфраструктуры. deny ipv6 any INTERNAL_INFRASTRUCTURE_ADDRESSES_IPV6 !--- Разрешить транзитный трафик. permit ipv6 any any Примечание. Ключевое слово log можно использовать для предоставления дополнительных сведений об источнике и пунктах назначения для данного протокола. Хотя данное ключевое слово предоставляет подробные сведения обращений ACL, чрезмерные обращения к записи ACL, которая использует ключевое слово log , увеличивают использование CPU. Влияние регистрации на производительность системы зависит от платформы.

Также использование ключевого слова log выключает коммутацию Cisco Express Forwarding (CEF) для пакетов, которые совпадают с записью в списке доступа. Вместо этого пакеты быстро переключаются. Разработка защиты ACL

Стр. 3

В целом, список ACL инфраструктуры состоит из четырех разделов: Специальный адрес и записи для аутентификации адресов, которые запрещают неавторизованным источникам и пакетам с исходными адресами на сервере доступа доступ к серверу с внешнего источника Примечание. В RFC 3330 определены адреса протокола IPv4 для специального использования, для которых может потребоваться фильтрация. RFC 1918 определяет зарезервированное адресное пространство, которому не могут принадлежать адреса источников в Интернете. RFC 3513 определяет архитектуру адресации IPv6. В RFC 2827 представлены указания по входящей фильтрации.

Явно разрешенный трафик от внешних источников, направляемый на адреса инфраструктуры Выражения deny для всего другого внешнего трафика на адреса инфраструктуры Выражения permit для другого трафика для обычного магистрального трафика на пути к пунктам назначения вне инфраструктуры Последняя строка в списке ACL инфраструктуры разрешает транзитный трафик. permit ip any any для IPv4 и permit ipv6 any any для IPv6. Эта запись гарантирует, что всем IP-протоколам разрешено передавать данные через ядро, а клиенты могут запускать приложения без затруднений. Первым шагом в разработке ACL для защиты инфраструктуры является понимание, какие протоколы требуются.

Хотя на каждой площадке есть свои особые требования, обычно разворачиваются определенные протоколы, которые необходимо освоить. Например, необходимо явно разрешить внешние BGP на внешних одноранговых узлах. Необходимо также явно разрешить другие протоколы, для которых требуется прямой доступ на маршрутизатор инфраструктуры. Например, если вы завершаете туннель GRE на маршрутизаторе основной инфраструктуры, вы должны явно разрешить протокол 47 (GRE). Аналогично, если вы завершаете IPv6 через туннель IPv4 на маршрутизаторе основной инфраструктуры, вы также должны явно разрешить протокол 41 (IPv6 over IPv4). Классификацию ACL можно использовать для идентификации необходимых протоколов.

Классификация ACL состоит из выражений permit для различных протоколов, которые могут быть предназначены для маршрутизатора инфраструктуры. Полный список см. в приложении поддерживаемые IP-протоколы в ПО Cisco IOS®. Использование команды show access-list command для отображения счетчика обращений к элементам списка контроля доступа (ACE) определяет необходимые протоколы. Сомнительные или непредвиденные результаты должны быть проверены и изучены до создания выражений permit для неожидаемых протоколов. Например, IPv4 ACL определяет, необходимо ли разрешить GRE, IPsec (ESP) и туннелирование IPv6 (IP-протокол 41).

access-list 101 permit GRE any infrastructure_ips access-list 101 permit ESP any infrastructure_ips access-list 101 permit 41 any infrastructure_ips access-list 101 permit ip any infrastructure_ips log !--- С помощью ключевого слова log можно получить больше сведений !--- о других разрешенных протоколах. access-list 101 permit ip any any interface ip access-group 101 in IPv6 ACL можно использовать, чтобы определять, необходимо ли разрешать GRE и IPsec (ESP).

ipv6 access-list determine_protocols permit GRE any infrastructure_ips_ipv6 permit ESP any infrastructure_ips_ipv6 permit ipv6 any infrastructure_ips_ipv6 log !--- С помощью ключевого слова log можно получить больше сведений !--- о других не разрешенных явно протоколах. permit ipv6 any any interface ipv6 traffic-filter determine_protocols in

Стр. 4