Assessment software development for distributed firewalls

(1)

Assessment software development for distributed firewalls

Damien Leroy

Universit´ e Catholique de Louvain Facult´ e des Sciences Appliqu´ ees D´ epartement d’Ing´ enierie Informatique

Ann´ ee acad´ emique 2005-2006

(2)

1 Introduction Probl´ ematique Objectifs

2 R´ esolution

Structure g´ en´ erale R´ ealisations

Probl` emes rencontr´ es

3 Conclusions

Damien Leroy (2005-2006) Assessment software development for distributed firewalls 2/27

(3)

Un r´eseau d’entreprise type

(4)

Un r´eseau d’entreprise type

Probl` eme 1 : Changement de politique

(5)

Un r´eseau d’entreprise type

Probl` eme 2 : Interpr´ etation de la politique ` a travers 2 firewalls

(6)

Un r´eseau d’entreprise type

Probl` eme 3 : Diff´ erents administrateurs

(7)

Un r´eseau d’entreprise type

Probl` eme 3 : Diff´ erents administrateurs

(8)

Un r´eseau d’entreprise type

Probl` eme 4 : Types de firewalls diff´ erents

(9)

Objectifs

Objectifs principaux :

Visualisation de la politique ` a travers 2 firewalls D´ etection d’anomalies

Objectifs secondaires : Parser au moins 1 langage

Support d’autres langages facilement

Test sur configuration r´ eelle

(10)

Objectifs

Objectifs principaux :

Visualisation de la politique ` a travers 2 firewalls D´ etection d’anomalies

Objectifs secondaires : Parser au moins 1 langage

Support d’autres langages facilement Test sur configuration r´ eelle

(11)

1 Introduction Probl´ ematique Objectifs

2 R´ esolution

Structure g´ en´ erale R´ ealisations

Probl` emes rencontr´ es

3 Conclusions

(12)

Etapes

(13)

Etapes

(14)

Etapes

3 grandes parties du m´ emoire

1

Langage pour firewalls

2

Parsing vers ce langage

3

Analyse de configuration de firewalls

(15)

Langages

Sp´ ecifications

Suffisamment riche

Facilement extensible

(16)

Langages

Sp´ ecifications

Suffisamment riche Facilement extensible

(17)

Langages

Exemple

< ?xml version="1.0" encoding="UTF-8" ?>

<firewall srclang="Iptables (iptables-save)">

<filtertable>

<frule target="DROP">

<protocol inverted="false">tcp</protocol>

<interfacein inverted="true">eth0</interfacein>

<ipv4>

<src inverted="false">

<ip>1.2.3.4</ip>

</src>

<dst inverted="false"> ... </dst>

</ipv4>

</frule>

<frule target="ACCEPT"> ... </frule>

[...]

</filtertable>

<interface>...</interface>

</firewall>

(18)

Langages

Exemple

< ?xml version="1.0" encoding="UTF-8" ?>

<firewall srclang="Iptables (iptables-save)">

<filtertable>

<frule target="DROP">

<protocol inverted="false">tcp</protocol>

<interfacein inverted="true">eth0</interfacein>

<ipv4>

<src inverted="false">

<ip>1.2.3.4</ip>

</src>

<dst inverted="false"> ... </dst>

</ipv4>

</frule>

<frule target="ACCEPT"> ... </frule>

[...]

</filtertable>

<interface>...</interface>

</firewall>

(19)

Langages

Exemple

< ?xml version="1.0" encoding="UTF-8" ?>

<firewall srclang="Iptables (iptables-save)">

<filtertable>

<frule target="DROP">

<protocol inverted="false">tcp</protocol>

<interfacein inverted="true">eth0</interfacein>

<ipv4>

<src inverted="false">

<ip>1.2.3.4</ip>

</src>

<dst inverted="false"> ... </dst>

</ipv4>

</frule>

<frule target="ACCEPT"> ... </frule>

[...]

</filtertable>

<interface>...</interface>

</firewall>

(20)

Langages

Exemple

< ?xml version="1.0" encoding="UTF-8" ?>

<firewall srclang="Iptables (iptables-save)">

<filtertable>

<frule target="DROP">

<protocol inverted="false">tcp</protocol>

<interfacein inverted="true">eth0</interfacein>

<ipv4>

<src inverted="false">

<ip>1.2.3.4</ip>

</src>

<dst inverted="false"> ... </dst>

</ipv4>

</frule>

<frule target="ACCEPT"> ... </frule>

[...]

</filtertable>

<interface>...</interface>

</firewall>

(21)

Langages

Exemple

< ?xml version="1.0" encoding="UTF-8" ?>

<firewall srclang="Iptables (iptables-save)">

<filtertable>

<frule target="DROP">

<protocol inverted="false">tcp</protocol>

<interfacein inverted="true">eth0</interfacein>

<ipv4>

<src inverted="false">

<ip>1.2.3.4</ip>

</src>

<dst inverted="false"> ... </dst>

</ipv4>

</frule>

<frule target="ACCEPT"> ... </frule>

[...]

</filtertable>

<interface>...</interface>

</firewall>

(22)

Langages

Exemple

< ?xml version="1.0" encoding="UTF-8" ?>

<firewall srclang="Iptables (iptables-save)">

<filtertable>

<frule target="DROP">

<protocol inverted="false">tcp</protocol>

<interfacein inverted="true">eth0</interfacein>

<ipv4>

<src inverted="false">

<ip>1.2.3.4</ip>

</src>

<dst inverted="false"> ... </dst>

</ipv4>

</frule>

<frule target="ACCEPT"> ... </frule>

[...]

</filtertable>

<interface>...</interface>

</firewall>

(23)

Langages

Exemple

< ?xml version="1.0" encoding="UTF-8" ?>

<firewall srclang="Iptables (iptables-save)">

<filtertable>

<frule target="DROP">

<protocol inverted="false">tcp</protocol>

<interfacein inverted="true">eth0</interfacein>

<ipv4>

<src inverted="false">

<ip>1.2.3.4</ip>

</src>

<dst inverted="false"> ... </dst>

</ipv4>

</frule>

<frule target="ACCEPT"> ... </frule>

[...]

</filtertable>

<interface>...</interface>

</firewall>

(24)

Parser

Classes g´ en´ erales, ´ etendues pour m´ ethodes sp´ ecifiques aux langages

Impl´ ement´ e pour Netfilter/iptables

(25)

Parser

Classes g´ en´ erales, ´ etendues pour m´ ethodes sp´ ecifiques aux langages

Impl´ ement´ e pour Netfilter/iptables

(26)

Introduction R´esolution Conclusions

Structure générale Réalisations Problèmes rencontrés

Parser

Chaˆınes iptables

fwd : prot=TCP & dst_port=0-1024 & src_ip=1.0.1.0/24 => chain1 chain1 : src_port=30 & prot=ESP => chain2

chain1 : dst_port=80 => chain2 chain1 : => DROP

chain2 : dst_ip=1.2.3.4 & src_ip=1.0.0.0/8 => ACCEPT chain2 : dst_ip=4.0.0.0/0 & !fragment => ACCEPT

(27)

Parser

Chaˆınes iptables

fwd : prot=TCP & dst_port=0-1024 & src_ip=1.0.1.0/24 => chain1 chain1 : src_port=30 & prot=ESP => chain2

chain1 : dst_port=80 => chain2 chain1 : => DROP

chain2 : dst_ip=1.2.3.4 & src_ip=1.0.0.0/8 => ACCEPT chain2 : dst_ip=4.0.0.0/0 & !fragment => ACCEPT

−→ Parfois difficile ` a interpr´ eter

(28)

Analyse

Visualisation de la politique g´ en´ erale : policy tree D´ etection d’anomalies

(29)

Analyse

Policy tree

(30)

Analyse

Policy tree

La politique de chaque table : accept

drop

established

(31)

Analyse

Policy tree

La politique de chaque table : accept

drop

established

(32)

Analyse

Anomalies

1. Upstream blocked anomaly

(33)

Analyse

Anomalies

2. Downstream blocked anomaly

(34)

Analyse

Anomalies

3. No reply anomaly

(35)

Analyse

Anomalies

3. No reply anomaly

4. Useless established anomaly

(36)

Analyse

Anomalies plus significatives

(37)

Principaux probl`emes rencontr´es

Suppression des chaˆınes de Netfilter/iptables Construction du policy tree

Place en m´ emoire du policy tree

(38)

1 Introduction Probl´ ematique Objectifs

2 R´ esolution

Structure g´ en´ erale R´ ealisations

Probl` emes rencontr´ es

3 Conclusions

(39)

Limitations

NAT non support´ e

Pertinance des anomalies d´ etect´ ees pour l’instant

Uniquement configuration Netfilter/iptables analys´ ees

(40)

Limitations

NAT non support´ e

Pertinance des anomalies d´ etect´ ees pour l’instant Uniquement configuration Netfilter/iptables analys´ ees

(41)

Limitations

NAT non support´ e

Pertinance des anomalies d´ etect´ ees pour l’instant

Uniquement configuration Netfilter/iptables analys´ ees

(42)

Forces du travail

(43)

Quelques pistes ` a poursuivre

D’autres parsers

Parser dans d’autres contextes

Parser et policy tree pour d’autres analyses de firewalls

D´ etection d’autres anomalies ou de plus pertinantes

(44)

Quelques pistes ` a poursuivre

D’autres parsers

Parser dans d’autres contextes

Parser et policy tree pour d’autres analyses de firewalls D´ etection d’autres anomalies ou de plus pertinantes

(45)

Quelques pistes ` a poursuivre

D’autres parsers

Parser dans d’autres contextes

Parser et policy tree pour d’autres analyses de firewalls

D´ etection d’autres anomalies ou de plus pertinantes

(46)

Quelques pistes ` a poursuivre

D’autres parsers

Parser dans d’autres contextes

Parser et policy tree pour d’autres analyses de firewalls D´ etection d’autres anomalies ou de plus pertinantes