Automatizacija upravljanja pravilima vatrozida novih generacija

diplomski rad

• Naslov (engleski): Rule Management Automation for the Next-Generation Firewalls
• Autor: Domagoj Grgurić
• Mentor: Miljenko Mikuc (mentor)
• Član povjerenstva: Miljenko Mikuc (predsjednik povjerenstva)
• Član povjerenstva: Dragan Jevtić (član povjerenstva)
• Član povjerenstva: Ivana Podnar Žarko (član povjerenstva)
• Ustanova koja je dodijelila akademski / stručni stupanj: Sveučilište u Zagrebu; Fakultet elektrotehnike i računarstva; Zagreb
• Datum i država obrane: 2018-07-09, Hrvatska
• Znanstveno / umjetničko područje, polje i grana: TEHNIČKE ZNANOSTI; Računarstvo
• Znanstveno / umjetničko područje, polje i grana: TEHNIČKE ZNANOSTI; Elektrotehnika

Sažetak

Vatrozid je mrežni sustav koji kontrolira mrežni promet. Zadaća vatrozida je zaštita mreže i mrežnih resursa, a tu zadaću ostvaruje tako da na temelju zadanih pravila provjerava svaki paket i podnosi određene radnje npr. ispuštanje ili propuštanje paketa. Prva generacija vatrozida imala je jedinu funkcionalnost filtriranja prometa na temelju paketa. Druga generacija vatrozida omogućuje Stateful inspekciju paketa. Vatrozidi druge generacije provjeravaju je li paket dio neke sjednice ili konekcije. Treća generacija vatrozida naziva se još i vatrozidima nove generacije. Glavna funkcionalnost koja ih razlikuje od vatrozida prve i druge generacije je inspekcija prometa na osnovi aplikacijske razine prema referentnom modelu OSI. Također imaju i integrirani sustav za sprječavanje uljeza.

Juniper SRX uređaj spada u vatrozide nove generacije. Na njemu se nalazi operacijski sustav Junos. U operacijskom sustavu Junos moguće je izvršavanje tekstualnih naredbi - CLI za konfiguriranje vatrozida. Vatrozid pravilo se iz pogleda operacijskog sustava Junos naziva sigurnosna politika. Svaka sigurnosna politika definirana je kontekstom.

Od postojećih rješenja automatiziranog upravljanja pravilima može se koristiti XSLT, SLAX ili Python no to zahtjeva nadograđen Junos s automatizacijom. S obzirom na to da je cilj ovog rada omogućiti automatizirano upravljanje pravilima vatrozida na temelju korisničkih zahtjeva, uzimajući u obzir i mogućnost upravljanja većim mrežnim topologijama, implementirano je programsko rješenje automatizacije u Pythonu. Arhitektura rješenja zasniva se na upravljanju SSH sjednicom i preslikavanjem korisnički definiranih pravila vatrozida u CLI naredbe operacijskog sustava Junos.

Implementirano programsko rješenje ispunjava sve korisničke zahtjeve što je pokazano testiranjem. U testnom okruženju koje predstavlja stvarnu mrežnu topologiju pokazane su funkcionalnosti programskog rješenja. Uspoređeno je programsko rješenje s ručnim dodavanjem pravila čime se pokazalo da je implementirano rješenje intuitivno i jednostavno za korištenje.

Sažetak (engleski)

Network Firewall is a system responsible for controlling network traffic. The task of a Firewall is to protect the network and network resources which is accomplished by filtering network packets based of predefined rules. When a packet is matched with a rule an action is taken such as drop or permit packet. First generation firewalls had only one functionality, which is traffic filtering based on packet inspection. Second generation firewalls enables Stateful packet inspection. These firewalls check if the inspected packet is part of an established connection or session. Third generation firewalls are also called Next-Generation firewalls (NGFW). The main functionality of NGFW is network traffic inspection based on the Application layer (Layer 7). NGFW have integrated IDS and IPS systems.

An example of a NGFW is Juniper SRX which runs Junos Operating System. Junos Operating System enables managing firewall rules using a Command Cline Interface - CLI. Firewall rules are called Security Policies in Junos. Every Security Policy is defined by its Context.

Current firewall managing automation solutions can be accomplished using XSLT, SLAX or Python but they require the Junos with Automation Enhancements. The goal of this paper is to enable firewall managing automation based on specific use cases. The possibility of managing a larger network topology has to be taken into account also. The solution is implemented in Python. The Architecture is based on managing SSH session and mapping user defined firewall rules to equivalent Junos CLI commands.

The implemented solution fulfills all use cases which is demonstrated by testing. All the solutions functionalities are demonstrated in a testing environment which represents a real network topology. A difference is shown between using the implemented solution and Junos CLI commands for managing firewalls. The implemented solution has proven itself to be user-friendly.

• Ključne riječi: vatrozid; automatizacija; upravljanje; Junos; SRX; CLI; Python; SSH; testiranje; pravila; sigurnosne politike; sigurnosna zona; nova generacija vatrozida
• Ključne riječi (engleski): Firewall; automation; managing; Junos; SRX; CLI; Python; SSH; testing; rules; security policies; security zone; Next-Generation firewalls
• Jezik: hrvatski
• URN:NBN: urn:nbn:hr:168:262685
• Studijski program: Naziv: Informacijska i komunikacijska tehnologija; Vrsta studija: sveučilišni; Stupanj studija: diplomski; Akademski / stručni naziv: magistar/magistra inženjer/inženjerka informacijske i komunikacijske tehnologije (mag. ing. inf. et comm. techn.)
• Vrsta resursa: Tekst
• Način izrade datoteke: Izvorno digitalna
• Prava pristupa: Zatvoreni pristup
• Datum i vrijeme pohrane: 2019-03-13 20:37:40