Assessment software development for distributed firewalls Damien Leroy Université Catholique de Louvain Faculté des Sciences Appliquées Département d Ingénierie Informatique Année académique 2005-2006 Damien Leroy (2005-2006) Assessment software development for distributed firewalls 1/27
1 Problématique Objectifs 2 3 Damien Leroy (2005-2006) Assessment software development for distributed firewalls 2/27
Un réseau d entreprise type Problématique Objectifs Damien Leroy (2005-2006) Assessment software development for distributed firewalls 3/27
Un réseau d entreprise type Problème 1 : Changement de politique Problématique Objectifs Damien Leroy (2005-2006) Assessment software development for distributed firewalls 4/27
Problématique Objectifs Un réseau d entreprise type Problème 2 : Interprétation de la politique à travers 2 firewalls Damien Leroy (2005-2006) Assessment software development for distributed firewalls 5/27
Un réseau d entreprise type Problème 3 : Différents administrateurs Problématique Objectifs Damien Leroy (2005-2006) Assessment software development for distributed firewalls 6/27
Un réseau d entreprise type Problème 3 : Différents administrateurs Problématique Objectifs Damien Leroy (2005-2006) Assessment software development for distributed firewalls 6/27
Un réseau d entreprise type Problème 4 : Types de firewalls différents Problématique Objectifs Damien Leroy (2005-2006) Assessment software development for distributed firewalls 7/27
Objectifs Problématique Objectifs Objectifs principaux : Visualisation de la politique à travers 2 firewalls Détection d anomalies Objectifs secondaires : Parser au moins 1 langage Support d autres langages facilement Test sur configuration réelle Damien Leroy (2005-2006) Assessment software development for distributed firewalls 8/27
Objectifs Problématique Objectifs Objectifs principaux : Visualisation de la politique à travers 2 firewalls Détection d anomalies Objectifs secondaires : Parser au moins 1 langage Support d autres langages facilement Test sur configuration réelle Damien Leroy (2005-2006) Assessment software development for distributed firewalls 8/27
1 Problématique Objectifs 2 3 Damien Leroy (2005-2006) Assessment software development for distributed firewalls 9/27
Etapes Damien Leroy (2005-2006) Assessment software development for distributed firewalls 10/27
Etapes Damien Leroy (2005-2006) Assessment software development for distributed firewalls 10/27
Etapes 3 grandes parties du mémoire 1 Langage pour firewalls 2 Parsing vers ce langage 3 Analyse de configuration de firewalls Damien Leroy (2005-2006) Assessment software development for distributed firewalls 11/27
Langages Spécifications Suffisamment riche Facilement extensible Damien Leroy (2005-2006) Assessment software development for distributed firewalls 12/27
Langages Spécifications Suffisamment riche Facilement extensible Damien Leroy (2005-2006) Assessment software development for distributed firewalls 12/27
Langages Exemple <?xml version="1.0" encoding="utf-8"?> <firewall srclang="iptables (iptables-save)"> <filtertable> <frule target="drop"> <protocol inverted="false">tcp</protocol> <interfacein inverted="true">eth0</interfacein> <ipv4> <src inverted="false"> <ip>1.2.3.4</ip> </src> <dst inverted="false">... </dst> </ipv4> </frule> <frule target="accept">... </frule> [...] </filtertable> <interface>...</interface> </firewall> Damien Leroy (2005-2006) Assessment software development for distributed firewalls 13/27
Langages Exemple <?xml version="1.0" encoding="utf-8"?> <firewall srclang="iptables (iptables-save)"> <filtertable> <frule target="drop"> <protocol inverted="false">tcp</protocol> <interfacein inverted="true">eth0</interfacein> <ipv4> <src inverted="false"> <ip>1.2.3.4</ip> </src> <dst inverted="false">... </dst> </ipv4> </frule> <frule target="accept">... </frule> [...] </filtertable> <interface>...</interface> </firewall> Damien Leroy (2005-2006) Assessment software development for distributed firewalls 13/27
Langages Exemple <?xml version="1.0" encoding="utf-8"?> <firewall srclang="iptables (iptables-save)"> <filtertable> <frule target="drop"> <protocol inverted="false">tcp</protocol> <interfacein inverted="true">eth0</interfacein> <ipv4> <src inverted="false"> <ip>1.2.3.4</ip> </src> <dst inverted="false">... </dst> </ipv4> </frule> <frule target="accept">... </frule> [...] </filtertable> <interface>...</interface> </firewall> Damien Leroy (2005-2006) Assessment software development for distributed firewalls 13/27
Langages Exemple <?xml version="1.0" encoding="utf-8"?> <firewall srclang="iptables (iptables-save)"> <filtertable> <frule target="drop"> <protocol inverted="false">tcp</protocol> <interfacein inverted="true">eth0</interfacein> <ipv4> <src inverted="false"> <ip>1.2.3.4</ip> </src> <dst inverted="false">... </dst> </ipv4> </frule> <frule target="accept">... </frule> [...] </filtertable> <interface>...</interface> </firewall> Damien Leroy (2005-2006) Assessment software development for distributed firewalls 13/27
Langages Exemple <?xml version="1.0" encoding="utf-8"?> <firewall srclang="iptables (iptables-save)"> <filtertable> <frule target="drop"> <protocol inverted="false">tcp</protocol> <interfacein inverted="true">eth0</interfacein> <ipv4> <src inverted="false"> <ip>1.2.3.4</ip> </src> <dst inverted="false">... </dst> </ipv4> </frule> <frule target="accept">... </frule> [...] </filtertable> <interface>...</interface> </firewall> Damien Leroy (2005-2006) Assessment software development for distributed firewalls 13/27
Langages Exemple <?xml version="1.0" encoding="utf-8"?> <firewall srclang="iptables (iptables-save)"> <filtertable> <frule target="drop"> <protocol inverted="false">tcp</protocol> <interfacein inverted="true">eth0</interfacein> <ipv4> <src inverted="false"> <ip>1.2.3.4</ip> </src> <dst inverted="false">... </dst> </ipv4> </frule> <frule target="accept">... </frule> [...] </filtertable> <interface>...</interface> </firewall> Damien Leroy (2005-2006) Assessment software development for distributed firewalls 13/27
Langages Exemple <?xml version="1.0" encoding="utf-8"?> <firewall srclang="iptables (iptables-save)"> <filtertable> <frule target="drop"> <protocol inverted="false">tcp</protocol> <interfacein inverted="true">eth0</interfacein> <ipv4> <src inverted="false"> <ip>1.2.3.4</ip> </src> <dst inverted="false">... </dst> </ipv4> </frule> <frule target="accept">... </frule> [...] </filtertable> <interface>...</interface> </firewall> Damien Leroy (2005-2006) Assessment software development for distributed firewalls 13/27
Parser Classes générales, étendues pour méthodes spécifiques aux langages Implémenté pour Netfilter/iptables Damien Leroy (2005-2006) Assessment software development for distributed firewalls 14/27
Parser Classes générales, étendues pour méthodes spécifiques aux langages Implémenté pour Netfilter/iptables Damien Leroy (2005-2006) Assessment software development for distributed firewalls 14/27
Parser Chaînes iptables fwd : prot=tcp & dst_port=0-1024 & src_ip=1.0.1.0/24 => chain1 chain1 : src_port=30 & prot=esp => chain2 chain1 : dst_port=80 => chain2 chain1 : => DROP chain2 : dst_ip=1.2.3.4 & src_ip=1.0.0.0/8 => ACCEPT chain2 : dst_ip=4.0.0.0/0 &!fragment => ACCEPT Damien Leroy (2005-2006) Assessment software development for distributed firewalls 15/27
Parser Chaînes iptables fwd : prot=tcp & dst_port=0-1024 & src_ip=1.0.1.0/24 => chain1 chain1 : src_port=30 & prot=esp => chain2 chain1 : dst_port=80 => chain2 chain1 : => DROP chain2 : dst_ip=1.2.3.4 & src_ip=1.0.0.0/8 => ACCEPT chain2 : dst_ip=4.0.0.0/0 &!fragment => ACCEPT Parfois difficile à interpréter Damien Leroy (2005-2006) Assessment software development for distributed firewalls 15/27
Analyse Visualisation de la politique générale : policy tree Détection d anomalies Damien Leroy (2005-2006) Assessment software development for distributed firewalls 16/27
Analyse Policy tree Damien Leroy (2005-2006) Assessment software development for distributed firewalls 17/27
Analyse Policy tree La politique de chaque table : accept drop established Damien Leroy (2005-2006) Assessment software development for distributed firewalls 18/27
Analyse Policy tree La politique de chaque table : accept drop established Damien Leroy (2005-2006) Assessment software development for distributed firewalls 18/27
Analyse Anomalies 1. Upstream blocked anomaly Damien Leroy (2005-2006) Assessment software development for distributed firewalls 19/27
Analyse Anomalies 2. Downstream blocked anomaly Damien Leroy (2005-2006) Assessment software development for distributed firewalls 19/27
Analyse Anomalies 3. No reply anomaly Damien Leroy (2005-2006) Assessment software development for distributed firewalls 19/27
Analyse Anomalies 3. No reply anomaly 4. Useless established anomaly Damien Leroy (2005-2006) Assessment software development for distributed firewalls 19/27
Analyse Anomalies plus significatives Damien Leroy (2005-2006) Assessment software development for distributed firewalls 20/27
Principaux problèmes rencontrés Suppression des chaînes de Netfilter/iptables Construction du policy tree Place en mémoire du policy tree Damien Leroy (2005-2006) Assessment software development for distributed firewalls 21/27
1 Problématique Objectifs 2 3 Damien Leroy (2005-2006) Assessment software development for distributed firewalls 22/27
Limitations NAT non supporté Pertinance des anomalies détectées pour l instant Uniquement configuration Netfilter/iptables analysées Damien Leroy (2005-2006) Assessment software development for distributed firewalls 23/27
Limitations NAT non supporté Pertinance des anomalies détectées pour l instant Uniquement configuration Netfilter/iptables analysées Damien Leroy (2005-2006) Assessment software development for distributed firewalls 23/27
Limitations NAT non supporté Pertinance des anomalies détectées pour l instant Uniquement configuration Netfilter/iptables analysées Damien Leroy (2005-2006) Assessment software development for distributed firewalls 23/27
Forces du travail Damien Leroy (2005-2006) Assessment software development for distributed firewalls 24/27
Quelques pistes à poursuivre D autres parsers Parser dans d autres contextes Parser et policy tree pour d autres analyses de firewalls Détection d autres anomalies ou de plus pertinantes Damien Leroy (2005-2006) Assessment software development for distributed firewalls 25/27
Quelques pistes à poursuivre D autres parsers Parser dans d autres contextes Parser et policy tree pour d autres analyses de firewalls Détection d autres anomalies ou de plus pertinantes Damien Leroy (2005-2006) Assessment software development for distributed firewalls 25/27
Quelques pistes à poursuivre D autres parsers Parser dans d autres contextes Parser et policy tree pour d autres analyses de firewalls Détection d autres anomalies ou de plus pertinantes Damien Leroy (2005-2006) Assessment software development for distributed firewalls 25/27
Quelques pistes à poursuivre D autres parsers Parser dans d autres contextes Parser et policy tree pour d autres analyses de firewalls Détection d autres anomalies ou de plus pertinantes Damien Leroy (2005-2006) Assessment software development for distributed firewalls 25/27
Conclusion Damien Leroy (2005-2006) Assessment software development for distributed firewalls 26/27
Merci de votre attention Des questions? Damien Leroy (2005-2006) Assessment software development for distributed firewalls 27/27