Segurança de Redes de Computadores. Ricardo José Cabeça de Souza

(1)

Ricardo José Cabeça de Souza

www.ricardojcsouza.com.br

ricardo.souza@ifpa.edu.br

(2)

Arquitetura Redes

• COMUNICAÇÃO EM CAMADAS

– Para reduzir a complexidade do projeto a maior

parte das redes são organizadas em uma série de

camadas ou níveis

– O número, nome, conteúdo e função de cada

camada difere de uma rede para outra

– Em cada par de camadas adjacentes há uma

interface que define as operações e serviços que a

camada inferior tem a oferecer a superior

(3)

Arquitetura Redes

Camada 4

Camada 3

Camada 2

Camada 1

Meio de Comunicação

Camada 4

Camada 3

Camada 2

Camada 1

P rotocolo da Camada 4

P rotocolo da Camada 3

P rotocolo da Camada 2

P rotocolo da Camada 1

S IS TE MA B

S IS TE MA A

Interface

3/4

Interface

3/4

Interface

2/3

Interface

2/3

Interface

1/2

Interface

1/2

(4)

Arquitetura Redes

• ARQUITETURA DE REDES

– Um conjunto de camadas de protocolos

– É formada por níveis, interfaces e protocolos

– Deve conter informações suficientes para permitir

que um implementador desenvolva o programa

ou construa o hardware de cada camada, de

forma que ela obedeça corretamente ao protocolo

adequado

(5)

Arquitetura Redes

• MODELO DE REFERÊNCIA OSI (Open Systems

Interconnection)

– Baseia-se no conceito de camadas

– Padronizado pela ISO (International Organization for

Standardization)

– Cada camada executa um conjunto bem definido de

funções

– Devem possibilitar troca de informações entre processos

de aplicação (AP – Application Process)

(6)

(7)

Protocolo TCP/IP

, SCTP

(8)

(9)

Arquitetura Redes

• TRANSMISSÃO DE DADOS NO MODELO OSI

PROCESSO

RECEPTOR

PROCESSO

EMISSOR

DADOS DADOS AH DADOS PH DADOS SH DADOS TH DADOS NH DADOS LH BITS

Aplicação

Apresentação

Sessão

Transporte

Rede

Enlace

Física

Aplicação

Apresentação

Sessão

Transporte

Rede

Enlace

Física

C R C

(10)

Arquitetura Redes

PCI Camada de aplicação

PCI Protocol Control Information

SDU Service Date Unit

(11)

Arquitetura TCP/IP

• TCP/IP

– TCP  Transmission Control Protocol

– IP  Internet Protocol

• Meados década de 1960

• Departamento de Defesa dos EUA(DoD)

• Projeto ARPA(Advanced Research Project

Agency)

(12)

Arquitetura TCP/IP

• Principais Características

– Padrões de protocolos abertos

– Independente da especificação do

hardware da rede física

– Esquema de endereçamento universal

– Permite consistentes e amplos serviços aos

usuários

– Independente de arquitetura e sistema

operacional de rede

(13)

Arquitetura TCP/IP

• Definições da Arquitetura TCP/IP são

encontradas em documentos denominados

RFC (Request for Comments)

• Documentos elaborados e distribuídos pelo

Internet Architecture Board

• Subsidiária do IAB

– IRTF(Internet Research Task Force)

(14)

Host A

Transporte

Inter-rede

Interface

de

Rede

Aplicação

Rede Física 1

Intra-Rede

Host B

Transporte

Inter-rede

Interface

de Rede

Aplicação

Rede Física

2 Intra-Rede

Inter-rede

Interface

de Rede

Interface

de Rede

Gateway

Pacote Idêntico MensagemIdêntica

Quadro

Idêntico

Datagrama

Idêntico

Quadro

Idêntico

Datagrama

Idêntico

(15)

Protocolo TCP/IP

• Camada Física/Enlace

– TCP/IP não define nenhum protocolo específico

– Suporta todos os protocolos-padrão e

proprietários

– Exemplo Redes:

• LAN

• WAN

• Etc.

(16)

Arquitetura TCP/IP

• REDE FÍSICA (INTRA-REDE)

– Padrões:

• EIA/TIA 568 (Electronic Indrustry

Association/Telecommunications Industry Association)

• Coaxial

• Fibra Ótica

• Transmissão Sem Fio

• ISDN (Integraded Services Digital Network)

• ATM (Asynchronous Transfer Mode )

EIA encerrou operações em fev/2011 e atribuíu suas atividades ao

ECIA - Electronic Components Industry Association.

(17)

Arquitetura TCP/IP

• REDE FÍSICA (INTRA-REDE)

– Padrões:

(18)

Protocolo TCP/IP

(19)

Camada Enlace

• CAMADA DE INTERFACE DE REDE (ENLACE)

– Fornece interface de serviço a camada de rede

– Determina como os bits da camada física serão

agrupados em quadros(frames)

– Trata os erros de transmissão

– Controle de fluxo de quadros

(20)

Camada Enlace

• PROTOCOLOS NÍVEL DE ENLACE

– Ethernet

– ATM (Asynchronous Transfer Mode)

– FDDI (Fiber Distributed Data Interface)

– HDLC (High-level Data Link Control)

• Protocolo síncrono, orientado a bit, de caráter geral

para canais full-duplex (ponto-a-ponto ou multiponto)

• HDLC é o tipo de encapsulamento padrão para cada

(21)

Protocolo TCP/IP

• Camada Física/Enlace

(22)

• ETHERNET

– Os elementos básicos do Ethernet

• QUADRO(Frame)

– Conjunto padronizado bits usados para transporte

dados

• Protocolo MEDIA ACCESS CONTROL(MAC)

– Regras de acesso

• COMPONENTES DE SINALIZAÇÃO

– Dispositivos eletrônicos para enviar e receber dados

• MEIO FÍSICO

– Cabos ou outros meios

(23)

• O Quadro Ethernet

(24)

Protocolo TCP/IP

• Camada Física/Enlace

– Principal protocolo utilizado: Ethernet

– Frame(Quadro) Ethernet

(25)

• PROTOCOLO MAC (Media Access Control)

• Regras de controle de acesso à mídia – CSMA/CD

– Sinal está sendo transmitido

• PORTADORA

– Quando deseja transmitir

• AUSÊNCIA DE PORTADORA

– Canal ocioso – espera breve tempo – IFG (InterFrame Gap – 96

bits)

• TRANSMITE QUADRO

– Duas estações transmitem simultaneamente

• DETECÇÃO DE COLISÃO

• REPROGRAMAR TRANSMISSÃO

(26)

Protocolo ARP

• Address Resolution Protocol

• Utilizado para mapear endereço IP(Nível

superior) para endereço físico (MAC)

• Permite que o host origem encontre o

endereço MAC do host destino

(27)

Protocolo TCP/IP

• Address Resolution Protocol (ARP)

– Utilizado para mapear endereço IP(Nível superior)

para endereço físico (MAC)

– Permite que o host origem encontre o endereço MAC

do host destino

– Funções:

• Determinar endereço físico

• Responder pedidos outros hosts

– Funcionamento

• Antes de enviar:

– Verifica cache

– Se encontrar endereço, envia frame

(28)

Protocolo TCP/IP

(29)

Protocolo TCP/IP

(30)

Protocolo TCP/IP

(31)

Protocolo ARP

(32)

Protocolo ARP

• Comandos do ARP

– arp /?  help

(33)

Protocolo TCP/IP

• Spanning Tree Protocol (STP)

– É um protocolo de rede que protege a topologia

da rede com loops gerados por algum dispositivo

na rede local Ethernet

– STP é um protocolo da camada de enlace (Data

Link Layer)

– Padronizado pelo IEEE como 802.1D

– Cada LAN é acessada pelas outras LANs através de

um único caminho, sem loops

(34)

Protocolo TCP/IP

• Spanning Tree Protocol (STP)

– A topologia lógica sem loops criada é chamada de árvore

– É uma topologia lógica em estrela ou em estrela estendida

– Spanning-tree (árvore de espalhamento) porque todos os

dispositivos da rede podem ser alcançados ou estão

abrangidos por ela

– O algoritmo usado para criar essa topologia lógica sem

loops é o algoritmo spanning-tree

– Esse algoritmo pode levar um tempo relativamente longo

para convergir

– Para reduzir o tempo que uma rede leva para computar

uma topologia lógica sem loops, foi desenvolvido um novo

algoritmo, chamado rapid spanning-tree

(35)

Protocolo TCP/IP

Se o switch A parar, o segmento 2 continua ativo em razão da redundância

garantida pelo switch B

(36)

Protocolo TCP/IP

• Spanning Tree Protocol (STP)

(37)

Protocolo TCP/IP

• Spanning Tree Protocol (STP)

– A cada Bridge é associado um ID e a que possuir o menor ID na

topologia física é eleita a Bridge Raiz (root bridge) da Árvore STP

– Cada Bridge, exceto a Bridge Raiz, terá uma única Porta Raiz

(root port) que será a que possuir o menor custo (largura de

banda, saltos e/ou delay de propagação de frames) no caminho

desta à Bridge Raiz. Pode ser determinada pelo STP ou pelo

Administrador da Rede

– Para cada LAN, é determinada uma Bridge Designada que é

aquela que possui o menor custo entre a LAN e a Bridge Raiz. A

porta que conecta a LAN à Bridge Designada é denominada

Porta Designada

– Se duas Bridges tiverem o mesmo custo para atingir a Bridge

Raiz, a que tiver o menor ID será considerada a Bridge

(38)

Protocolo TCP/IP

• Spanning Tree Protocol (STP)

1. STP estabelece um nó

raiz chamado de bridge

raiz

2. Constrói uma topologia

que tem um caminho para

alcançar todos os nós

da rede, a partir de uma

árvore com origem na

bridge raiz

3. Os links redundantes

que não fazem parte da

árvore do caminho mais

curto são bloqueados

(39)

Segurança de Redes

• Segurança Camada Enlace

–Alguns Ataques

• Sniffer

(40)

• SNIFFING

– É o procedimento realizado por uma ferramenta

conhecida como Sniffer

– Também conhecido como Packet Sniffer,

Analisador de Rede, Analisador de Protocolo,

Ethernet Sniffer em redes do padrão Ethernet ou

ainda Wireless Sniffer em redes wireless

– Constituída de um software ou hardware capaz de

interceptar e registrar o tráfego de dados em uma

rede de computadores

(41)

Segurança de Redes

• Sniffer

(42)

Segurança de Redes

• Sniffer

– Usado para furto de informações:

• nomes de usuários, senhas, conteúdo de

e-mails, - conversas chat, dados internos em uma

empresa

– Ataques internos (funcionários hostis)

– Ataques remotos, via Internet, com acesso

privilegiado a um gateway (roteador de

perímetro), que fica entre a rede interna e a

externa

(43)

Segurança de Redes

• Sniffer

–Ferramentas:

• IPTraf

• Wireshark

• EtherDetect

• Kismet

(44)

Segurança de Redes

• ARP Poisoning/ARP Spoofing/MITM(Man In The

Middle)

– Quando uma falsa resposta é dada em consultas ARP

– Um endereço MAC é associado a um IP que na

realidade não é o seu correspondente e então é

adicionado na tabela ARP

– Consiste em modificar a tabela ARP de um

computador se passando por outro

– Essa técnica permite desviar mensagens que seriam

destinadas a outro computador para o seu

– Conhecido também como ARP Spoofing e Man In The

(45)

Segurança de Redes

• ARP Poisoning/MITM(Man In The Middle)

(46)

Segurança de Redes

• ARP Poisoning/ARP Spoofing/MITM(Man In The

Middle)

• Ferramentas:

– Arpwatch/ Winarpwatch

• É um programa de monitoração da tabela ARP em uma rede

• A partir de uma cópia da tabela que ele mantém

armazenada, este software de vigilância consegue detectar

qualquer alteração no ARP cache

• Ao detectar alguma mudança na tabela, o Arpwatch gera

relatórios e pode enviar mensagens de aviso por e-mail

(47)

Segurança de Redes

• Segurança Camada Física

– VLAN (Virtual Local Area Network ou Virtual

LAN)

• Estruturas capazes de segmentar, logicamente, uma

rede local em diferentes domínios de broadcast

• Possibilita a partição de uma rede local em diferentes

segmentos lógicos (criação de novos domínios

broadcast), permitindo que usuários fisicamente

distantes (por exemplo, um em cada andar de um

edifício) estejam conectados a mesma rede

(48)

Segurança de Redes

• Benefícios VLAN

– Controle Tráfego broadcast

– Segmentação lógica

– Redução de custos e facilidade de gerenciamento

– Independência da topologia física

(49)

Segurança de Redes

• Segurança Camada Física

– Tipo de VLAN – Modelo 1

• VLAN de nível 1 (também chamada VLAN por

porta, em inglês Port-Based VLAN)

– Define uma rede virtual em função das portas de

conexão no comutador

– Configuração é rápida e simples

– Desvantagem:

»

Movimentação dos usuários  reconfiguração

VLAN

(50)

Segurança de Redes

• VLAN

– Membros de uma VLAN podem ser definidos de

acordo com as portas da ponte/comutador

(51)

Segurança de Redes

(52)

Segurança de Redes

(53)

Segurança de Redes

• Segurança Camada Enlace

– Tipo de VLAN - Modelo 2

• VLAN de nível 2 (igualmente chamada VLAN MAC, em

inglês MAC Address-Based VLAN)

– Consiste em definir uma rede virtual em função dos

endereços MAC das estações

– Este tipo de VLAN é muito mais flexível que a VLAN por porta,

porque a rede é independente da localização da estação

(54)

Segurança de Redes

• Tipo de VLAN - Modelo 2

– VLAN de nível 2 (igualmente chamada VLAN MAC,

em inglês MAC Address-Based VLAN)

– Os membros da rede virtual são identificados pelo

endereço MAC (Media Access Control) da estação

de trabalho

– O comutador reconhece o endereço MAC

pertencente a cada VLAN

(55)

Segurança de Redes

• Tipo de VLAN - Modelo 2

– VLAN de nível 2 (igualmente chamada VLAN MAC, em

inglês MAC Address-Based VLAN)

– Quando uma estação de trabalho é movida, não é

necessário reconfigurá-la para que esta continue

pertencendo a mesma VLAN, já que o endereço MAC faz

parte da sua placa de interface de rede

– Problema: membro de uma VLAN deve ser inicialmente

especificado, obrigatoriamente.

(56)

Segurança de Redes

• Segurança Camada Enlace

– Tipo de VLAN - Modelo 3

• VLAN de nível 2

– Membros de uma VLAN camada 2 também podem ser

identificados de acordo com o campo "tipo de protocolo"

encontrado no cabeçalho da camada 2

(57)

Segurança de Redes

• Segurança Camada Enlace

– Tipo de VLAN - Modelo 3

• VLAN de nível 2

– Membros de uma VLAN camada 2 também podem ser

identificados de acordo com o campo "tipo de protocolo"

encontrado no cabeçalho da camada 2

(58)

Segurança de Redes

• Segurança Camada Enlace

– Tipo de VLAN - Modelo 4

• VLAN de nível 2

– Membros de uma VLAN camada 2 também podem ser

identificados de acordo com o campo “tagged" inserido no

protocolo do cabeçalho da camada 2

– Especificação 802.1Q

– É conseguido introduzindo um TAG com um identificador de

VLAN (VID) entre 1 e 4.094 em cada frame

– As portas do Switch com protocolo 802.1Q podem ser

(59)

Segurança de Redes

(60)

Segurança de Redes

(61)

Segurança de Redes

(62)

Segurança de Redes

(63)

Referências

• FOROUZAN, Behrouz A. Comunicação de dados e redes de computadores.

4. ed. São Paulo: McGraw-Hill, 2008.

• CIFERRI, Cristina D. A. CIFERRI , Ricardo R. FRANÇA, Sônia V. A. Firewall.