Automatizacija upravljanja pravilima vatrozida novih generacija

master's thesis

• Title (english): Rule Management Automation for the Next-Generation Firewalls
• Author: Domagoj Grgurić
• Mentor: Miljenko Mikuc (mentor)
• Committee member: Miljenko Mikuc (predsjednik povjerenstva)
• Committee member: Dragan Jevtić (član povjerenstva)
• Committee member: Ivana Podnar Žarko (član povjerenstva)
• Granter: University of Zagreb; Faculty of Electrical Engineering and Computing; Zagreb
• Defense date and country: 2018-07-09, Croatia
• Scientific / art field, discipline and subdiscipline: TECHNICAL SCIENCES; Computing
• Scientific / art field, discipline and subdiscipline: TECHNICAL SCIENCES; Electrical Engineering

Abstract

Vatrozid je mrežni sustav koji kontrolira mrežni promet. Zadaća vatrozida je zaštita mreže i mrežnih resursa, a tu zadaću ostvaruje tako da na temelju zadanih pravila provjerava svaki paket i podnosi određene radnje npr. ispuštanje ili propuštanje paketa. Prva generacija vatrozida imala je jedinu funkcionalnost filtriranja prometa na temelju paketa. Druga generacija vatrozida omogućuje Stateful inspekciju paketa. Vatrozidi druge generacije provjeravaju je li paket dio neke sjednice ili konekcije. Treća generacija vatrozida naziva se još i vatrozidima nove generacije. Glavna funkcionalnost koja ih razlikuje od vatrozida prve i druge generacije je inspekcija prometa na osnovi aplikacijske razine prema referentnom modelu OSI. Također imaju i integrirani sustav za sprječavanje uljeza.

Juniper SRX uređaj spada u vatrozide nove generacije. Na njemu se nalazi operacijski sustav Junos. U operacijskom sustavu Junos moguće je izvršavanje tekstualnih naredbi - CLI za konfiguriranje vatrozida. Vatrozid pravilo se iz pogleda operacijskog sustava Junos naziva sigurnosna politika. Svaka sigurnosna politika definirana je kontekstom.

Od postojećih rješenja automatiziranog upravljanja pravilima može se koristiti XSLT, SLAX ili Python no to zahtjeva nadograđen Junos s automatizacijom. S obzirom na to da je cilj ovog rada omogućiti automatizirano upravljanje pravilima vatrozida na temelju korisničkih zahtjeva, uzimajući u obzir i mogućnost upravljanja većim mrežnim topologijama, implementirano je programsko rješenje automatizacije u Pythonu. Arhitektura rješenja zasniva se na upravljanju SSH sjednicom i preslikavanjem korisnički definiranih pravila vatrozida u CLI naredbe operacijskog sustava Junos.

Implementirano programsko rješenje ispunjava sve korisničke zahtjeve što je pokazano testiranjem. U testnom okruženju koje predstavlja stvarnu mrežnu topologiju pokazane su funkcionalnosti programskog rješenja. Uspoređeno je programsko rješenje s ručnim dodavanjem pravila čime se pokazalo da je implementirano rješenje intuitivno i jednostavno za korištenje.

Abstract (english)

Network Firewall is a system responsible for controlling network traffic. The task of a Firewall is to protect the network and network resources which is accomplished by filtering network packets based of predefined rules. When a packet is matched with a rule an action is taken such as drop or permit packet. First generation firewalls had only one functionality, which is traffic filtering based on packet inspection. Second generation firewalls enables Stateful packet inspection. These firewalls check if the inspected packet is part of an established connection or session. Third generation firewalls are also called Next-Generation firewalls (NGFW). The main functionality of NGFW is network traffic inspection based on the Application layer (Layer 7). NGFW have integrated IDS and IPS systems.

An example of a NGFW is Juniper SRX which runs Junos Operating System. Junos Operating System enables managing firewall rules using a Command Cline Interface - CLI. Firewall rules are called Security Policies in Junos. Every Security Policy is defined by its Context.

Current firewall managing automation solutions can be accomplished using XSLT, SLAX or Python but they require the Junos with Automation Enhancements. The goal of this paper is to enable firewall managing automation based on specific use cases. The possibility of managing a larger network topology has to be taken into account also. The solution is implemented in Python. The Architecture is based on managing SSH session and mapping user defined firewall rules to equivalent Junos CLI commands.

The implemented solution fulfills all use cases which is demonstrated by testing. All the solutions functionalities are demonstrated in a testing environment which represents a real network topology. A difference is shown between using the implemented solution and Junos CLI commands for managing firewalls. The implemented solution has proven itself to be user-friendly.

• Keywords: vatrozid; automatizacija; upravljanje; Junos; SRX; CLI; Python; SSH; testiranje; pravila; sigurnosne politike; sigurnosna zona; nova generacija vatrozida
• Keywords (english): Firewall; automation; managing; Junos; SRX; CLI; Python; SSH; testing; rules; security policies; security zone; Next-Generation firewalls
• Language: croatian
• URN:NBN: urn:nbn:hr:168:262685
• Study programme: Title: Information and Communication Technology; Study programme type: university; Study level: graduate; Academic / professional title: magistar/magistra inženjer/inženjerka informacijske i komunikacijske tehnologije (magistar/magistra inženjer/inženjerka informacijske i komunikacijske tehnologije)
• Type of resource: Text
• File origin: Born digital
• Access conditions: Closed access
• Created on: 2019-03-13 20:37:40