ΔΙΑΧΕΙΡΙΣΗ ΔΙΚΤΥΩΝ TCP/IP Simple Network Management Protocol - SNMP Πρωτόκολλο του στρώματος εφαρμογής για τη διαχείριση συσκευών συνδεδεμένων στο δίκτυο με TCP/IP stack (IP addressable Network Elements). Οι συσκευές μπορεί να είναι routers, switches με 1 πόρτα IP για management, Η/Υ, monitoring devices, sensors, έξυπνες συσκευές διαχειριζόμενες από το Internet ... Το SNMP υλοποιεί απλές διαχειριστικές λειτουργίες. Ακολουθεί το μοντέλο Manager (που ρωτά) - Agent (που απαντά). Χρησιμοποιεί υπόβαθρο UDP στα Ports UDP 161 (agent demon) και UDP 162 (manager demon για αυτόνομα μηνύματα των agents - SNMP traps) Υπενθύμιση: το UDP είναι πρωτόκολλο χωρίς επιβεβαίωση. Προτυποποίηση: RFC (Request for Comments) της IETF (Internet Engineering Task Force): RFC 1157 SNMPv1 και RFCs 1155,1212 SMIv1 RFCs 1905-1907 SNMPv2 και RFCs 2578-2580 SMIv2 RFC 1905-1907 & 2571-2575 SNMPv3
3
ΜΟΝΤΕΛΛΟ ΔΙΑΧΕΙΡΙΣΗΣ SNMP Κλήση SNMP Απάντηση στην ερώτηση Ασύγχρονο μήνυμα (Trap) προς το manager Σύστημα συνδεμένο στο δίκτυο που μπορεί να εκτελεί οποιαδήποτε εργασία Network Management Station (NMS)
4
ΠΡΩΤΟΚΟΛΛΟ ΑΝΤΑΛΛΑΓΗΣ ΠΛΗΡΟΦΟΡΙΩΝ ΔΙΑΧΕΙΡΙΣΗΣ Χρειαζόμαστε ένα κοινό (standard) τρόπο για να ορίζουμε τα αντικείμενα που διαχειριζόμαστε και τη συμπεριφορά τους Χρειάζεται να γνωρίζουμε ποια αντικείμενα είναι διαθέσιμα στον agent και ποιες είναι οι ιδιότητες τους π.χ. κατάσταση ενός Router Interface: Up, Down, Testing Τις πληροφορίες αυτές τις ορίζει η Βάση Πληροφοριών Διαχείρισης (Management Information Base - MIB) Η ΜΙΒ δεν είναι βάση δεδομένων – απλά τυποποιεί αντικείμενα / δείκτες ώστε να απευθύνεται σε αυτά ο manager ανεξάρτητα από κατασκευαστή, λειτουργικό κ.λπ. Η πληροφορία σε αυτή δομείται σύμφωνα με τους κανόνες Structure of Management Information - SMI Υπάρχουν πολλές MIB ανάλογα με το είδος εργασιών π.χ. ATM MIB (RFC 2515), DNS MIB (RFC 1611) κ.λπ. Όλοι οι agent σε routers στο Internet υλοποιούν τουλάχιστον την MIB II (RFC 1213)
5
ΟΡΙΣΜΟΣ ΑΝΤΙΚΕΙΜΕΝΩΝ ΣΤΗ MIB Η MIB είναι δενδρική δομή δεδομένων (data structure) που ορίζει διαχειριζόμενα αντικείμενα (managed objects) με τυποποιημένο τρόπο Κάθε διαχειριζόμενο αντικείμενο έχει ορισμένο τύπο και θέση στη ΜΙΒ Όπου & όταν χρειάζεται, ο agent αναλαμβάνει την αντιστοίχηση των αντικειμένων της MIB με μεταβλητές τιμές που του αποδίδει το συγκεκριμένο σύστημα - operating system, π.χ. χρόνος που το σύστημα είναι σε λειτουργία, System Uptime Οι agents γίνονται compiled για κάθε operating system που υπάρχει στα στοιχεία του δικτύου Ο ορισμός - κωδικοποίηση των αντικειμένων για να περιληφθούν στη MIB γίνεται με την συντακτική αφηρημένη γλώσσα ASN.1 και τους κανόνες Basic Encoding Rules (BER) Ο διαχειριστής χρειάζεται να γνωρίζει μόνο το είδος - τύπο της πληροφορίας και που θα τη βρει και όχι τον τρόπο που αυτή είναι εσωτερικά κωδικοποιημένη Σύνοψη των ορισμών ASN.1: "αφηρημένη" γλώσσα περιγραφής δομών και τύπων ανεξάρτητα από την εφαρμογή BER: Κανόνες κωδικοποίησης σε ASN.1 για τον ορισμό MIBs SMI: Γενική περιγραφή της δομής που πρέπει να έχει μια MIB
6
ΔΕΝΔΡΙΚΗ ΔΟΜΗ MIB Τα διαχειριζόμενα αντικείμενα οργανώνονται σε μια δενδρική δομή, βάση της οποίας προκύπτει και το όνομα τους (που υποδηλώνει τη μοναδική τους θέση στο δένδρο) root ccitt(0) iso(1) joint(2) dod(6) internet(1) directory(1) mgmt(2) experimental(3) private(4) mibΙΙ(1) system(1) interfaces(2) at(3) ip(4) icmp(5) tcp(6) udp(7) egp(8) transmission(10) snmp(11) sysUpTime(3) Έτσι, π.χ. το αντικείμενο sysUptime έχει τη μοναδική αναφορά: 1.3.6.1.2.1.1.3.0 org(3)
7
ΠΑΚΕΤΑ - ΕΝΤΟΛΕΣ SNMP get-request (NMS Agent, UDP port 161) get-response (Agent NMS) getnext-request (NMS Agent) getnext-response (Agent NMS) walk (NMS Agent) bulk-get-request (NMS Agent) set-request (NMS Agent) trap (Agent NMS, UDP port 162) Παραδείγματα Εντολών SNMP snmpget – c – public 147.102.13.19 system.sysUpTime.0 snmpwalk – c – public maria.netmode.ece.ntua.gr
8
ΣΥΝΤΑΞΗ ΑΝΤΙΚΕΙΜΕΝΩΝ Τα διαχειριζόμενα αντικείμενα κωδικοποιούνται στη μορφή (SNMPv2 SMI): <όνομα> OBJECT-TYPE SYNTAX <τύπος αντικειμένου> MAX-ACCESS <"not-accessible" | "accessible-for-notify" | "read-only" | "read-write" | "read-create"> STATUS <"current" | "deprecated" | "obsolete"> DESCRIPTION <κείμενο> INDEX {…} DEFVAL {…} ::= {<θέση του αντικειμένου στον προηγούμενο κλάδο του δένδρου>}
9
ΤΥΠΟΙ ΑΝΤΙΚΕΙΜΕΝΩΝ Syntax INTEGER (μπορεί να χρησιμοποιηθεί και για λίστα απαρίθμησης) Integer32 Unsigned32 Counter32 & Counter64 Gauge32 Timeticks (εκατοστά του δευτερολέπτου, όπως μετρούνται στο σύστημα) OCTET STRING OBJECT IDENTIFIER Opaque RowStatus (TC) DisplayString (TC) IpAddress (TC) 0 Max Gauge
Αυτοματοποιούν διαδικασίες Ομαδοποιούν λειτουργίες Open Source Nagios – Service Monitoring http://www.nagios.org/ OpenNMS – Network Monitoring http://www.opennms.org/index.php/Main_Page Ganglia – Cluster Management http://ganglia.info/ Commercial HP Openview IBM Tivoli
MANAGEMENT PLATFORMS
NAGIOS PLUGINS
Plugin Return Code Service State Host State 0 OK UP 1 WARNING UP or DOWN/UNREACHABLE 2 CRITICAL DOWN/UNREACHABLE 3 UNKNOWN DOWN/UNREACHABLE RETURN CODE | TEXT OUTPUT | OPTIONAL PERFDATA | LONG TEXT LINE … | PERFDATA … 0 | PING OK - Packet loss = 0%, RTA = 0.15 ms 0 | DISK OK - free space: / 3326 MB (56%); | /=2643MB;5948;5958;0;5968
Είδη Απειλών και Επιθέσεων Προστασία Πολιτικές Αρχιτεκτονικές Ελέγχου Πρόσβασης (Authorization & Authentication Infrastructures - ΑΑΙ) & Διαχείρισης Δημοσίων Κλειδιών (Public Key Infrastructures - PKI) Εργαλεία (Access Control Lists – ACL’s, Firewalls) Συστήματα Εντοπισμού Επιθέσεων (Intrusion Detection Systems – IDS) & Ανωμαλιών (Anomaly Detection Systems) Κρυπτογραφία Η σίγουρη μέθοδος εξασφάλισης ενός δικτύου:
ΑΠΕΙΛΕΣ ΑΣΦΑΛΕΙΑΣ ΔΙΚΤΥΩΝ
Απόκτηση πληροφοριών για το σύστημα: Port Scanning Fingerprinting Μη εξουσιοδοτημένη πρόσβαση Υποκλοπή κωδικών Λάθος διαμορφώσεις (ανοικτά συστήματα) Από μη εξουσιοδοτημένα σημεία (π.χ. ανοιχτά σημεία ασύρματης πρόσβασης) Επιθέσεις Άρνησης Υπηρεσίας (Denial of Service Attacks - DoS) Υποκλοπή και παραποίηση επικοινωνιών Packet sniffing "Man-in-the-Middle" attacks Κακόβουλο λογισμικό (malware) Ιοί, Δούρειοι ίπποι (trojans) Αυτόματα διαδιδόμενοι ιοί (worms)
ΤΑΥΤΟΤΗΤΑ ΧΡΗΣΤΗ Μη Εξουσιοδοτημένη Πρόσβαση
Ταυτότητα χρήστη (user Global ID – GID): Μία ταυτότητα αντιστοιχεί σε ένα χρήστη user@netmode.ntua.gr Πολλαπλές ταυτότητες μπορεί να συνυπάρχουν σε διαφορετικούς παρόχους user@netmode.ntua.gr, user@gmail.com …. Ταυτοποίηση χρήστη: Με μόνο Με ψηφιακό πιστοποιητικό σε κατάλογο χρήστη (ανά σύνοδο - session ή αποθηκευμένο σε κατάλογο χρηστών LDAP στο home organization ενός χρήστη) Ταυτοποίηση & Εξουσιοδοτήσεις Χρήστη: Ιδανικά σε Authorization & Authentication Infrastructure, AAI με δυνατότητες περιαγωγής (roaming) του user_profile Κίνδυνοι υποκλοπής από την μεταφορά του user_profile μέσα στο Internet: Περιορισμός της ελάχιστης δυνατής πληροφορίας (π.χ. μέσω των home organizations) Κίνδυνοι υποκλοπής "Αδύναμοι" κωδικοί & πρωτόκολλα - one time passwords? Κακή προστασία μετάδοσης (π.χ. επικοινωνίες χωρίς κρυπτογράφηση, ανεπαρκώς φυλασσόμενες εγκαταστάσέις) Φυσική απώλεια (PDA κλπ.) «Social Engineering»
ΕΠΙΘΕΣΕΙΣ ΑΡΝΗΣΗ ΥΠΗΡΕΣΙΑΣ (1) Denial of Service Attacks - DoS
Επιθέσεις που έχουν σκοπό να αποτρέψουν τη χρήση ενός συστήματος από όλους Εκμεταλλεύονται προβλήματα του λογισμικού (`Operating System ή εφαρμογές εξυπηρετητών) - Software Exploits Θεωρητικά κινδυνεύει οποιοδήποτε σύστημα είναι συνδεδεμένο στο δίκτυο Δρομολογητές και άλλες δικτυακές συσκευές επίσης ευάλωτες Και ένα μοναδικό πακέτο αρκεί σε κάποιες περιπτώσεις για να θέσει εκτός λειτουργίας κάποιο τρωτό σύστημα Δεν γίνονται προσπάθειες παραβίασης ή υποκλοπής στοιχείων Απόκρυψη του επιτιθέμενου με παραποίηση της διεύθυνσης αποστολέα στο πακέτο Χρησιμοποίηση: Διαμάχες hackers, επίδειξη ικανοτήτων, εκδίκηση, κυβερνοπόλεμος
Να εξηγηθούν αδυναμίες υλοποίησης των μη συγκεκριμένων σημείων των δικτυακών πρωτοκόλλων: Teardrop Attack: Ορισμένες υλοποιήσεις του μηχανισμού κατακερματισμού και επανασύνδεσης πακέτων IP δε μπορούσαν να χειριστούν τμήματα πακέτων που είχαν επικαλύψεις μεταξύ τους. Το αποτέλεσμα ήταν η διακοπή λειτουργίας του συστήματος όταν λαμβάνονταν τέτοια πακέτα IP. Η κύρια εφαρμογή που χρησιμοποιήθηκε για επίθεση με αυτό τον τρόπο είχε το όνομα "Teardrop". Ping of Death: Ο επιτιθέμενος αποστέλλει ένα πακέτο ICMP-echo-request μεγέθους μεγαλύτερου από το μέγιστο επιτρεπόμενο από τις προδιαγραφές του πρωτοκόλλου IP. Ο λήπτης δεν καταφέρνει να επανασυνδέσει τα τμήματα πακέτου που προκύπτουν και οδηγείται σε διακοπή λειτουργίας ή επανεκκίνηση.
ΕΠΙΘΕΣΕΙΣ ΑΡΝΗΣΗΣ ΥΠΗΡΕΣΙΑΣ (2) Denial of Service Attacks - DoS
Επιθέσεις εξάντλησης πόρων Εξάντληση υπολογιστικών ή δικτυακών πόρων Χρήση μεγάλου αριθμού νόμιμων δικτυακών κλήσεων Σε κάποιες περιπτώσεις χρησιμοποίηση περισσότερων του ενός συστημάτων επίθεσης – Επιθέσεις Ενίσχυσης (Amplification Attacks) Επόμενο βήμα: Κατανεμημένες Επιθέσεις Άρνησης Υπηρεσίας – Distributed Denial of Service Attacks – DDoS Χρήση πολλών "ελεγχόμενων" υπολογιστών από τον επιτιθέμενο Bots "Αυτόματη" παραβίαση και έλεγχος τους Συνεχίζουν να λειτουργούν χωρίς ο χρήστης τους να αντιλαμβάνεται διαφορά Ιεραρχία ελέγχου τους με ενδιάμεσα στάδια (attack masters)
Οπότε ή οι υπολογιστικοί πόροι θα τελειώσουν ή το δίκτυο θα καταληφθεί. Εξήγηση με μη ολοκληρωμένο 3-way-handshake "Smurf" attack: ένα πακέτο ICMP-echo-request προς τη διεύθυνση Broadcast ενός δικτύου. Κατασκευασμένη διεύθυνση αποστολέα: το θύμα. Απαντήσεις ICMP-echo-reply από όλους τους υπολογιστές προς το θύμα.
Comments