ISA Server 2004

Juan Luis García Rambla

jlrambla@informatica64.com

Código: HOL-ISA01

Agenda• Introducción.

• Sistema de red.

• Administración de la seguridad.

• Firewall de aplicación.

• Sistema de detección de intrusos.

• Gestión de Caché.

• Soporte y administración.

Introducción

Introducción

• ISA Server se comporta como Firewall de Aplicación aunque puede hacer funcionalidades de Firewall de Red y de Host Bastión.

• Evoluciona de Proxy 2.0 e ISA Server 2000.– Presenta puntos en común como el servicio de Caché, aunque

el sistema ha sido rediseñado.– Presenta una arquitectura de Firewall más marcada que los

anteriores sistemas.– Presenta un subsistema de VPN mejorado.

Arquitectura ISA Server 2004

• Firewall multired:– Nivel de Red.– Nivel de Aplicación.

• Servidor VPN:– Túneles.– Clientes.

• Servidor Caché.

Arquitectura Firewall

• Soporta múltiples redes de trabajo.

• Establecimiento de política por red

• Diseño de objetos para políticas.

• Controlar el flujo de información entre las diferentes redes.

• Soporta enrutamiento y NAT.

Arquitectura Firewall

• Solución extensible de filtrado de conexiones.

• Integración completa con Active Directory.

• Soporte de Firewall sobre usuarios.

• Simplificación en la creación de reglas.

• Aplicación de reglas encadenadas.

Arquitectura Firewall

• Plantillas de implantación.– Firewall de Perímetro.– Firewall de “3 patas”.– Firewall de Front – End.– Firewall de Back – End.– Proxy.

• Asistente de publicación de servidores.

Arquitectura Caché

• Mejora las condiciones de acceso a Internet mediante:– Soporte múltiples unidades de caché.– Soporte Caché en Arrays.– Caché Pasiva.– Soporte Caché Activa.– Soporte de Jobs de Caché.– Soporte de Caché Negativa.– Perfiles de cache por reglas.

Arquitectura VPN• Soporte integrado de gestión de conexiones VPN.

– Permisos de conexión.– Protocolos de autenticación.– Integración RADIUS (IAS).– SDK autentificación de terceros.

• Tratamiento independiente de clientes VPN.

• Monitorización de clientes VPN integrada.

• Redes VPN de cuarentena

Sistema de red

Soporte Multired

• ISA Server 2004 divide los sistemas de red en función de las necesidades planteadas en el marco de la seguridad.– Definición de redes y grupos de redes.– Definición de la interconexión entre redes.

• Cada adaptador del servidor será conectado a cada una de las redes de la empresa.

• Permitirá gestión independiente.

Configuración de redes

• Una red viene determinada por una o más máquinas correspondiendo normalmente con una red física.

• Se pueden especificar reglas a una o más redes.

• La red determina cuales son los clientes que van a disponerse.

• ISA genera una preconfiguración de redes.

• Las redes pueden ser agrupadas en conjunto de redes para su administración.

Interconexión de redes

• Determinan como se van a establecer la conectividad entre las diferentes redes.

• Las redes pueden ser conectadas siguiendo una de estas dos metodologías.– Enrutamiento.– NAT.

• Dentro de una red la comunicación entre equipos se considera como enrutada.

Soporte Multired

• ISA Server 2004 divide los sistemas de red en función de las necesidades planteadas en el marco de la seguridad.

– Definición de redes y grupos de redes.– Definición de la interconexión entre redes mediante NAT o enrutamiento.

• Permite gestión independiente.

• Presenta soporte para redes.– Internas.– Perimetrales.– Externas.– Interconexión sitios VPN.– VPN de Cuarentena

Administración de la Seguridad con ISA Server 2004

Características de seguridad

• Filtros IP.

• Reglas de acceso.

• Publicación de servicios.

• Filtros de aplicación.

• Detección y alertas contra intrusos.

Filtros IP

• Filtrado IP a nivel de paquetes.

• Inspección de parámetros en cabeceras.

• Bloqueos de fragmentos IP.

Reglas de acceso

• Controlan el tráfico de información a través de las redes.

• Determinan la configuración de origen, destino, protocolos y usuarios que realizan la conexión.

• La aplicación de las reglas se determinan en un orden, quedando predefinida una regla que deniega cualquier tráfico de red.

• Existen 2 tipos de reglas:– Reglas de sistema.

– Reglas de Firewall.

Reglas de acceso• ISA Server 2004 proporciona una serie de reglas con los

que se puede controlar la información que circula por la red en función de:– Protocolos.

– Usuarios.

– Tipos de contenido.

– Franjas de tiempo.

– Objetos de red.

Reglas de acceso

• Objetos de red (Toolbox).– IP.

– Grupos de maquinas.

– Redes.

– Grupos de redes.

– URLs.

– Rutas de directorio.

– Dominios.

Reglas de Publicación

• Se utilizan para publicar servidores.

• Asistentes de publicación:– Web Server.

– Secure Web Server.

– Mail Server.

– Definición de servidores por servicios.

Bridging HTTP-s con ISA Server 2004

“Problemática” HTTP-s

• Conexiones HTTP-s ofrecen:– Autenticación mediante certificados.

– Cifrado mediante tuneles SSL.

• Conexiónes HTTP-s condicionan:– Transmisión datos extremo-extremo.

– Paso a través de sistemas de protección de forma oculta.

“Problemática” HTTP-s

• Conexiones HTTP-s– Firewalls e IDS no pueden inspeccionar tráfico.

– Ataques pasan sin ser detectados por firewalls:• SQL Injections.

• Cross-Site Scripting (XSS)

• Red Code.

• Unicode.

“Problemática” HTTP-s

• Cifrado y autenticado es útil contra:– Sniffers.

– Man In The Middle.

• Pero hay que dejar que los sistemas de protección inspeccionen el contenido.– Firewalls.

– IDS.

Bridging HTTP-s

• El proceso de Bridging en conexiones HTTP-s permite que las conexiones se cifren en dos tramos.– Entre cliente y Firewall.

– Entre Firewall y Servidor.

• La otra posibilidad ofrecida establece conexiones estándar no cifradad.

Bridging HTTP-s

• Ventajas:– El Firewall puede inspeccionar el contenido.

– Se pueden aplicar reglas mediante filtros.

– Se pueden detectar ataques.

– No se pierde seguridad.

– Si se desea, se puede dejar descifrado para inspecciones NIDS.

Bridging HTTP-s

• MS ISA Server 2004 permite:– Tunneling HTTPS por cualquier puerto.

• MS ISA Server 2000 hay que configurar puertos SSL.

– Bridging HTTPS con:• Cifrado entre cliente-firewall y firewall servidor.• Cifrado entre cliente-firewall.• Cifrado entre firewall-Servidor.

Firewall de aplicación

Necesidades

• Inspeccionar el tráfico al nivel de aplicación.

• Permitir o denegar el paso de datos a determinados contenidos o aplicaciones.

• Proporcionan controles sobre determinados ataques.

• Sistema extensible sobre filtrados de conexiones.

Métodos de implementación

• Implementadas directamente sobre las reglas de acceso y las publicaciones.

• Como un añadido sobre reglas y publicaciones.

• Como funcionalidad sobre ISA a nivel Firewall.

Filtro HTTP

• Las necesidades de la empresa permiten el tráfico a través del puerto 80.

• Por el puerto 80 no solo viaja tráfico HTTP puro, sino que puede disfrazar otras comunicaciones.– Malware.– P2P.– Servicios de mensajería …

• Determinados ataques contra Servicios Web pueden ser controlados a este nivel.

Controles HTTP

• Mediante el filtro HTTP pueden ser controlados estos aspectos de la comunicación:

– Técnicas de Buffer Overflow.

– Denegación de servicio.

– Subida de datos en escenarios de publicación.

– Control de métodos.

– Control de cabeceras.

Filtro contenido HTTP

• Controlan el tráfico de datos a través de firmas.– En transmisión de datos.– En recepción de datos.

• Impedir tráfico a palabras claves.– Control de acceso a sitios web.

• Detención de comunicaciones de aplicaciones por firma y cabecera.

Control de aplicaciones HTTP

Aplicación Petición Cabecera HTTP Firma

Windows Messenger Request headers User-Agent: MSMSGS

AOL Messenger (and Gecko browsers)

Request headers User-Agent: Gecko/

Yahoo Messenger Request headers Host msg.yahoo.com

Kazaa Request headers P2P-Agent Kazaa, Kazaaclient:

Kazaa Request headers User-Agent: KazaaClient

Kazaa Request headers X-Kazaa-Network: KaZaA

Gnutella Request headers User-Agent: GnutellaGnucleus

Edonkey Request headers User-Agent: e2dk

Morpheus Response header Server Morpheus

Filtro Proxyweb

• Se aplica de forma directa sobre HTTP.

• Permite la extensión del filtro HTTP y de autentificación sobre otros protocolos.

• Garantiza el control sobre comunicaciones en entornos propietarios.

Protocolos RPC

• Un número considerables de servicios se establecen mediante RPC.

• Problemática de las transmisiones RPC.– Inicio de comunicación sobre 135 para localizar el puerto de

comunicación.– Establece comunicación en puertos por encima de 1024.

• El administrador no debería abrir todos los puertos por encima del 1024.

Filtro RPC• Las comunicaciones RPC se pueden parametrizar por el

UUID.– Identificador del servicio RPC.– Identificador del interface.

• ISA Server 2004 presenta un asistente para la creación de protocolos RPC basados en UUID.– Manual.– Automáticamente conectando a un servidor y seleccionando sus UUID

correspondientes.

• El servicio de Firewall aplica con posterioridad los filtros para permitir la transferencia de datos a UUID determinados.

Transmisión RPC

Filtro SMTP

• ISA Server 2004 para el protocolo SMTP presenta un filtro que realiza el control de los comandos SMTP.

• Estos comandos son los que determinan la comunicación y la transmisión de correos.

• Se puede ampliar la funcionalidad del filtro SMTP mediante Message Screener.

Filtro FTP

• Controla la conexión a través de los puertos dinámicos FTP.

• Realiza la conversión de las direcciones para los clientes SecureNat.

• Controla los procesos de escritura, prioritariamente en entornos de publicación.

Filtros de autentificación

• ISA Server 2004 presenta una serie de mecanismos para garantizar los procedimientos de autentificación.– Integración con Directorio Activo.

– Filtro Web RSA para autentificación de usuarios SecurID.

– Filtro de autentificación Radius.

– Filtros de formulario de autentificación para OWA.

Addons

• ISA Server 2004 presenta una arquitectura abierta para:– Desarrollar (SDK ISA Server).– Implementar nuevas herramientas.

• Software de terceros amplían las funcionalidades de ISA Server 2004.

Tipos de Addons

• Implementaciones de antivirus para ISA Server.

• Gestión de tráfico web. Websense.

• Gestión de tráfico y aplicación de cuotas.

• Ampliación de los componentes Sockets.

• Mejoras en sistemas de detección de intrusos.

Sistema de detección de intrusos

Detección de Intrusos

• El servicio proporciona un mecanismo para identificar cuando se está produciendo un ataque.

• ISA Server compara el tráfico de red con registros y patrones de ataques bien conocidos.

• Cuando un ataque es reconocido se genera una alerta.

Controles

• Ataques Winnuke.

• Ataques tipo Land.

• Ping de la muerte.

• Ataques Half-Scan.

• Bombas UDP.

• Escaneo de puertos.

Detección de ataques DNS

• Desbordamiento de nombres de HOST sobre DNS.

• Desbordamiento de longitud DNS.

• Control de trasferencias de zona.

Gestión de Caché

Arquitectura de Caché

• ISA Server proporciona un sistema de almacenamiento para los objetos más consultados por los usuarios.

• La caché puede ser configurada mediante reglas que van a determinar como y con que frecuencia va a ser almacenada la información.

Arquitectura Caché

• Mejora las condiciones de acceso a Internet mediante:– Soporte múltiples unidades de caché.

– Soporte Caché en Arrays.

– Caché Pasiva.

– Soporte Caché Activa.

– Soporte de Jobs de Caché.

– Soporte de Caché Negativa.

– Perfiles de cache por reglas.

Caché Activa

• El sistema de caché activa analiza los objetos de tal forma que puede determinar cuales son a los que más se acceden.

• Existen una serie de reglas que van a determinar cual va a ser el comportamiento de la caché activa.

Reglas de Caché

• Las reglas van a determinar que tipo y como se van a almacenar los objetos en la caché.

• La caché puede almacenar objetos HTTP, SSL y FTP.

• Si una petición no cumple una regla de caché esta es remitida hacia Internet.

Reglas de Caché

• Permiten personalización por conjuntos de origen y/o destino.

• Permiten múltiples caracterizaciones.

• Permite planificación de trabajos de caché.

• Permite cachear en función de:– Tipos de contenido.– Tamaños.– Tipos de protocolo.

Soporte y AdministraciónISA Server 2004

Administración Mejorada

• ISA Server 2004 proporciona una nueva consola de administración mejorada.

• El sistema va a permitir la exportación de datos así como la importación de los mismos para realizar sistemas de implantación de servidores.

• El sistema incluye una herramienta para realizar la copia de seguridad y restauración de los datos del servidor.

• Tanto las copias de seguridad como la exportación de datos se realiza sobre .XML.

Roles Administrativos

• La organización y administración en ISA Server está determinado por roles. Cuando un rol es asignado a un usuario se le está permitiendo realizar determinadas tareas.

• Los roles administrativos son 3:– ISA Server Basic Monitoring.– ISA Server Extended Monitoring.– ISA Server Full Administrator

Servicio de Alerta

• Es el encargado de realizar una notificación cuando ocurre algún suceso.

• Cuando una alerta se produce desencadena una serie de acciones para realizar notificaciones o la programación de acciones.

• La definición de las alertas pueden ser configurados y modificados.

Registro de Sucesos

• Soporte de LOG por filtros de servidor.

• Integración con bases de datos.– MSDE.– SQL.

• Soporte de consultas sobre logs.

• Filtro de consultas.

Monitorización

• Monitorización de servicios de ISA Server.– Firewall.– Data Engine.– Isa Server Job Scheduler.– Remote Access.

• Monitorización de sesiones VPN.

• Monitorización de conectividad.

Informes

• ISA Server 2004 presenta el sistema de Reporting.– Informes sumariales.– Informes de utilización de aplicaciones.– Informes de utilización web.– Informes de seguridad.– Informes de tráfico y uso.

• Generación y publicación de informes planificada.

Boletín quincenal TechNews

Contactos

• Informática 64– http://www.informatica64.com– i64@informatica64.com– +34 91 665 99 98

• Profesor– jlrambla@informatica64.com